{"id":103210,"date":"2022-04-21T19:11:08","date_gmt":"2022-04-21T21:11:08","guid":{"rendered":"https:\/\/teknomers.com\/fr\/un-nouveau-rapport-dincident-revele-comment-hive-ransomware-cible-les-organisations\/"},"modified":"2022-04-21T19:11:13","modified_gmt":"2022-04-21T21:11:13","slug":"un-nouveau-rapport-dincident-revele-comment-hive-ransomware-cible-les-organisations","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/un-nouveau-rapport-dincident-revele-comment-hive-ransomware-cible-les-organisations\/","title":{"rendered":"Un nouveau rapport d’incident r\u00e9v\u00e8le comment Hive Ransomware cible les organisations"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Une r\u00e9cente attaque de ran\u00e7ongiciel Hive men\u00e9e par une filiale impliquait l’exploitation des vuln\u00e9rabilit\u00e9s “ProxyShell” dans Microsoft Exchange Server qui ont \u00e9t\u00e9 divulgu\u00e9es l’ann\u00e9e derni\u00e8re pour chiffrer le r\u00e9seau d’un client anonyme.<\/p>\n

“L’acteur a r\u00e9ussi \u00e0 atteindre ses objectifs malveillants et \u00e0 chiffrer l’environnement en moins de 72 heures \u00e0 compter de la compromission initiale”, a d\u00e9clar\u00e9 Nadav Ovadia, chercheur en s\u00e9curit\u00e9 chez Varonis. mentionn\u00e9<\/a> dans une analyse post-mortem de l’incident. <\/p>\n

Hive, qui a \u00e9t\u00e9 observ\u00e9 pour la premi\u00e8re fois en juin 2021, suit le programme lucratif de ran\u00e7ongiciel en tant que service (RaaS) adopt\u00e9 par d’autres groupes cybercriminels ces derni\u00e8res ann\u00e9es, permettant aux affili\u00e9s de d\u00e9ployer le logiciel malveillant de cryptage de fichiers apr\u00e8s avoir pris pied chez leurs victimes. r\u00e9seaux.<\/p>\n

\"La<\/a><\/div>\n

ProxyShell – suivi en tant que CVE-2021-31207, CVE-2021-34523 et CVE-2021-34473 – implique une combinaison de contournement des fonctionnalit\u00e9s de s\u00e9curit\u00e9, d’\u00e9l\u00e9vation des privil\u00e8ges et d’ex\u00e9cution de code \u00e0 distance dans le serveur Microsoft Exchange, donnant ainsi \u00e0 l’attaquant la capacit\u00e9 pour ex\u00e9cuter du code arbitraire sur les serveurs concern\u00e9s.<\/p>\n

Les probl\u00e8mes ont \u00e9t\u00e9 r\u00e9solus par Microsoft dans le cadre de ses mises \u00e0 jour Patch Tuesday pour avril et mai 2021.<\/p>\n

Dans ce cas, l’exploitation r\u00e9ussie des failles a permis \u00e0 l’adversaire de d\u00e9ployer des shells Web sur le serveur compromis, en les utilisant pour ex\u00e9cuter du code PowerShell malveillant avec les privil\u00e8ges SYSTEM pour cr\u00e9er un nouvel utilisateur administrateur de porte d\u00e9rob\u00e9e, d\u00e9tourner le compte administrateur du domaine et effectuer un mouvement lat\u00e9ral.<\/p>\n

\"Ruche<\/div>\n

Les shells Web utilis\u00e9s dans l’attaque proviendraient d’un r\u00e9f\u00e9rentiel git public<\/a> et donn\u00e9 des noms de fichiers contenant un m\u00e9lange al\u00e9atoire de caract\u00e8res pour \u00e9chapper \u00e0 la d\u00e9tection, a d\u00e9clar\u00e9 Ovadia. Un autre script PowerShell obscurci faisant partie du framework Cobalt Strike a \u00e9galement \u00e9t\u00e9 ex\u00e9cut\u00e9.<\/p>\n

\"La<\/a><\/div>\n

\u00c0 partir de l\u00e0, l’auteur de la menace s’est d\u00e9plac\u00e9 pour analyser le r\u00e9seau \u00e0 la recherche de fichiers pr\u00e9cieux, avant de proc\u00e9der au d\u00e9ploiement de l’ex\u00e9cutable du ran\u00e7ongiciel Golang (nomm\u00e9 “Windows.exe”) pour terminer le processus de cryptage et afficher la note de ran\u00e7on \u00e0 la victime.<\/p>\n

Les autres op\u00e9rations effectu\u00e9es par le logiciel malveillant incluent la suppression des clich\u00e9s instantan\u00e9s, la d\u00e9sactivation des produits de s\u00e9curit\u00e9 et l’effacement des journaux d’\u00e9v\u00e9nements Windows pour \u00e9viter la d\u00e9tection, emp\u00eacher la r\u00e9cup\u00e9ration et garantir que le chiffrement se d\u00e9roule sans aucun probl\u00e8me.<\/p>\n

Au contraire, les r\u00e9sultats sont un autre indicateur que la correction des vuln\u00e9rabilit\u00e9s connues est essentielle pour contrecarrer les cyberattaques et autres activit\u00e9s n\u00e9fastes.<\/p>\n

“Les attaques de ransomwares ont consid\u00e9rablement augment\u00e9 au cours des derni\u00e8res ann\u00e9es et restent la m\u00e9thode pr\u00e9f\u00e9r\u00e9e des acteurs de la menace visant \u00e0 maximiser les profits”, a d\u00e9clar\u00e9 Ovadia. “Cela peut potentiellement nuire \u00e0 la r\u00e9putation d’une organisation, perturber les op\u00e9rations r\u00e9guli\u00e8res et entra\u00eener une perte temporaire, voire permanente, de donn\u00e9es sensibles.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Une r\u00e9cente attaque de ran\u00e7ongiciel Hive men\u00e9e par une filiale impliquait l’exploitation des vuln\u00e9rabilit\u00e9s “ProxyShell” dans Microsoft Exchange Server qui ont \u00e9t\u00e9 divulgu\u00e9es l’ann\u00e9e derni\u00e8re pour chiffrer le r\u00e9seau d’un client anonyme. “L’acteur a r\u00e9ussi \u00e0 atteindre ses objectifs malveillants et \u00e0 chiffrer l’environnement en moins de 72 heures \u00e0 compter de la compromission initiale”, […]<\/p>\n","protected":false},"author":1,"featured_media":103211,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[7087,767,4168,4158,4165,4161,22207,9046,4157,4159,4171,4170,65,4167,4160,680,4163,4162,12070,4392,1883,2178,4172,4169,4166,4164],"class_list":["post-103210","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-cible","tag-comment","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dincident","tag-hive","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-les","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouveau","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-organisations","tag-ransomware","tag-rapport","tag-revele","tag-securite-informatique","tag-securite-internet","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/103210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=103210"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/103210\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/103211"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=103210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=103210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=103210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}