Les serveurs Microsoft SQL (MS SQL) mal s\u00e9curis\u00e9s sont cibl\u00e9s aux \u00c9tats-Unis, dans l’Union europ\u00e9enne et dans les r\u00e9gions d’Am\u00e9rique latine (LATAM) dans le cadre d’une campagne continue motiv\u00e9e par des raisons financi\u00e8res pour obtenir un premier acc\u00e8s.<\/p>\n
“La campagne de menace analys\u00e9e semble se terminer de deux mani\u00e8res, soit par la vente d’un ‘acc\u00e8s’ \u00e0 l’h\u00f4te compromis, soit par la livraison finale de charges utiles de ransomware”, ont d\u00e9clar\u00e9 les chercheurs de Securonix Den Iuzvyk, Tim Peck et Oleg Kolesnikov dans une \u00e9tude technique. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n La campagne, li\u00e9e \u00e0 des acteurs d’origine turque, a \u00e9t\u00e9 baptis\u00e9e R\u00c9#TURGENCE<\/strong> par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n L’acc\u00e8s initial aux serveurs implique la conduite d’attaques par force brute, suivies de l’utilisation de option de configuration xp_cmdshell<\/a> pour ex\u00e9cuter des commandes shell sur l’h\u00f4te compromis. Cette activit\u00e9 refl\u00e8te celle d\u2019une campagne ant\u00e9rieure baptis\u00e9e DB#JAMMER qui a vu le jour en septembre 2023.<\/p>\n Cette \u00e9tape ouvre la voie \u00e0 la r\u00e9cup\u00e9ration d’un script PowerShell \u00e0 partir d’un serveur distant charg\u00e9 de r\u00e9cup\u00e9rer une charge utile de balise Cobalt Strike obscurcie.<\/p>\n La bo\u00eete \u00e0 outils post-exploitation est ensuite utilis\u00e9e pour t\u00e9l\u00e9charger l’application de bureau \u00e0 distance AnyDesk \u00e0 partir d’un partage r\u00e9seau mont\u00e9 afin d’acc\u00e9der \u00e0 la machine et de t\u00e9l\u00e9charger des outils suppl\u00e9mentaires tels que Mimikatz pour r\u00e9colter les informations d’identification et Advanced Port Scanner pour effectuer la reconnaissance.<\/p>\n Le mouvement lat\u00e9ral est effectu\u00e9 au moyen d’un utilitaire d’administration syst\u00e8me l\u00e9gitime appel\u00e9 PsExec<\/a>qui peut ex\u00e9cuter des programmes<\/a> sur les h\u00f4tes Windows distants.<\/p>\n Cette cha\u00eene d\u2019attaque culmine finalement avec le d\u00e9ploiement de Imitez un ransomware<\/a>dont une variante a \u00e9galement \u00e9t\u00e9 utilis\u00e9e dans la campagne DB#JAMMER.<\/p>\n “Les indicateurs ainsi que les TTP malveillants utilis\u00e9s dans les deux campagnes sont compl\u00e8tement diff\u00e9rents, il y a donc de tr\u00e8s fortes chances qu’il s’agisse de deux campagnes disparates”, a d\u00e9clar\u00e9 Kolesnikov \u00e0 The Hacker News.<\/p>\n \u00ab Plus pr\u00e9cis\u00e9ment, alors que les m\u00e9thodes d\u2019infiltration initiales sont similaires, DB#JAMMER \u00e9tait l\u00e9g\u00e8rement plus sophistiqu\u00e9 et utilisait le tunneling. RE#TURGENCE est plus cibl\u00e9 et a tendance \u00e0 utiliser des outils l\u00e9gitimes ainsi que de surveillance et de gestion \u00e0 distance, tels qu’AnyDesk, dans le but de se fondre dans l’activit\u00e9 normale.<\/p>\n Securonix a d\u00e9clar\u00e9 avoir d\u00e9couvert une erreur de s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC) commise par les acteurs de la menace, qui lui a permis de surveiller l’activit\u00e9 du presse-papiers en raison du fait que le fonctionnalit\u00e9 de partage du presse-papiers<\/a> d’AnyDesk a \u00e9t\u00e9 activ\u00e9.<\/p>\n Cela a permis de glaner leurs origines turques et leur pseudonyme en ligne atseverse, qui correspond \u00e9galement \u00e0 un profil sur Steam et un forum de hacking turc appel\u00e9 SpyHack<\/a>.<\/p>\n “\u00c9vitez toujours d’exposer les serveurs critiques directement \u00e0 Internet”, pr\u00e9viennent les chercheurs. “Dans le cas de RE#TURGENCE, les attaquants ont pu directement p\u00e9n\u00e9trer par force brute dans le serveur depuis l’ext\u00e9rieur du r\u00e9seau principal.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Des-pirates-informatiques-turcs-exploitent-des-serveurs-MS-SQL-mal.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n