Deux failles zero-day identifi\u00e9es dans Ivanti Connect Secure (ICS) et Policy Secure ont \u00e9t\u00e9 encha\u00een\u00e9es par des acteurs \u00e9tatiques soup\u00e7onn\u00e9s d’\u00eatre li\u00e9s \u00e0 la Chine pour pirater moins de 10 utilisateurs.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Volexity, qui identifi\u00e9<\/a> l’activit\u00e9 sur le r\u00e9seau d’un de ses clients au cours de la deuxi\u00e8me semaine de d\u00e9cembre 2023, l’a attribu\u00e9e \u00e0 un groupe de hackers qu’il traque sous le nom UTA0178<\/strong>. Il existe des preuves sugg\u00e9rant que l\u2019appliance VPN pourrait avoir \u00e9t\u00e9 compromise d\u00e8s le 3 d\u00e9cembre 2023.<\/p>\n Les deux vuln\u00e9rabilit\u00e9s qui ont \u00e9t\u00e9 exploit\u00e9es dans la nature pour permettre l’ex\u00e9cution de commandes non authentifi\u00e9es sur le p\u00e9riph\u00e9rique ICS sont les suivantes\u00a0:<\/p>\n Les vuln\u00e9rabilit\u00e9s peuvent \u00eatre transform\u00e9es en cha\u00eene d\u2019exploitation pour prendre en charge les instances sensibles sur Internet.<\/p>\n \u00ab Si CVE-2024-21887 est utilis\u00e9 conjointement avec CVE-2023-46805, l’exploitation ne n\u00e9cessite pas d’authentification et permet \u00e0 un acteur malveillant de cr\u00e9er des requ\u00eates malveillantes et d’ex\u00e9cuter des commandes arbitraires sur le syst\u00e8me \u00bb, Ivanti dit<\/a> dans un avis.<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 avoir observ\u00e9 des tentatives de la part des acteurs malveillants de manipuler le v\u00e9rificateur d’int\u00e9grit\u00e9 interne d’Ivanti (TIC<\/a>), qui offre un instantan\u00e9 de l\u2019\u00e9tat actuel de l\u2019appliance.<\/p>\n Les correctifs devraient \u00eatre publi\u00e9s de mani\u00e8re \u00e9chelonn\u00e9e \u00e0 partir de la semaine du 22 janvier 2024. Entre-temps, il a \u00e9t\u00e9 recommand\u00e9 aux utilisateurs d’appliquer une solution de contournement pour se prot\u00e9ger contre les menaces potentielles.<\/p>\n Dans l’incident analys\u00e9 par Volexity, les deux failles auraient \u00e9t\u00e9 utilis\u00e9es pour “voler des donn\u00e9es de configuration, modifier des fichiers existants, t\u00e9l\u00e9charger des fichiers distants et inverser le tunnel depuis l’appliance VPN ICS”.<\/p>\n L’attaquant a ensuite modifi\u00e9 un fichier CGI l\u00e9gitime (compcheck.cgi) sur l’appliance VPN ICS pour permettre l’ex\u00e9cution de commandes. De plus, un fichier JavaScript charg\u00e9 par la page de connexion Web SSL VPN a \u00e9t\u00e9 modifi\u00e9 pour enregistrer les frappes au clavier et exfiltrer les informations d’identification associ\u00e9es aux utilisateurs se connectant \u00e0 l’appareil.<\/p>\n “Les informations et les informations d’identification collect\u00e9es par l’attaquant lui ont permis de se tourner vers une poign\u00e9e de syst\u00e8mes en interne et, finalement, d’obtenir un acc\u00e8s illimit\u00e9 aux syst\u00e8mes du r\u00e9seau”, ont d\u00e9clar\u00e9 les chercheurs de Volexity Matthew Meltzer, Robert Jan Mora, Sean Koessel, Steven Adair et Thomas Lancaster. dit.<\/p>\n Les attaques se caract\u00e9risent \u00e9galement par des efforts de reconnaissance, des mouvements lat\u00e9raux et le d\u00e9ploiement d’un shell Web personnalis\u00e9 baptis\u00e9 GLASSTOKEN via le fichier CGI de porte d\u00e9rob\u00e9e pour maintenir un acc\u00e8s \u00e0 distance persistant aux serveurs Web externes.<\/p>\n L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA), dans un alerte<\/a> de sa propre initiative, a d\u00e9clar\u00e9 avoir ajout\u00e9 les deux lacunes \u00e0 ses vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV<\/a>), exhortant les agences f\u00e9d\u00e9rales \u00e0 appliquer les correctifs d’ici le 31 janvier 2024.<\/p>\n “Les syst\u00e8mes accessibles \u00e0 Internet, en particulier les appareils critiques comme Appliances VPN et pare-feu<\/a>sont redevenus une cible privil\u00e9gi\u00e9e des attaquants”, a d\u00e9clar\u00e9 Volexity.<\/p>\n \u00ab Ces syst\u00e8mes se trouvent souvent sur des parties critiques du r\u00e9seau, ne peuvent pas ex\u00e9cuter de logiciels de s\u00e9curit\u00e9 traditionnels et se trouvent g\u00e9n\u00e9ralement \u00e0 l’endroit id\u00e9al pour qu’un attaquant puisse op\u00e9rer. Les organisations doivent s’assurer qu’elles ont mis en place une strat\u00e9gie pour pouvoir surveiller l’activit\u00e9 de ces \u00e9l\u00e9ments. appareils et r\u00e9agir rapidement si quelque chose d’inattendu se produit.<\/p>\n <\/p>\n\n
\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Des-pirates-chinois-exploitent-des-failles-Zero-Day-dans-Ivanti.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n