{"id":1098058,"date":"2024-01-12T12:48:42","date_gmt":"2024-01-12T14:48:42","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-acteurs-etatiques-utilisent-ivanti-vpn-zero-days-comme-une-arme-en-deployant-5-familles-de-logiciels-malveillants\/"},"modified":"2024-01-12T12:48:46","modified_gmt":"2024-01-12T14:48:46","slug":"des-acteurs-etatiques-utilisent-ivanti-vpn-zero-days-comme-une-arme-en-deployant-5-familles-de-logiciels-malveillants","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-acteurs-etatiques-utilisent-ivanti-vpn-zero-days-comme-une-arme-en-deployant-5-familles-de-logiciels-malveillants\/","title":{"rendered":"Des acteurs \u00e9tatiques utilisent Ivanti VPN Zero-Days comme une arme en d\u00e9ployant 5 familles de logiciels malveillants"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>12 janvier 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Vuln\u00e9rabilit\u00e9\/intelligence des menaces<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Jusqu’\u00e0 cinq familles de logiciels malveillants diff\u00e9rentes ont \u00e9t\u00e9 d\u00e9ploy\u00e9es par des acteurs \u00e9tatiques pr\u00e9sum\u00e9s dans le cadre d’activit\u00e9s post-exploitation exploitant deux vuln\u00e9rabilit\u00e9s zero-day dans les appliances VPN Ivanti Connect Secure (ICS) depuis d\u00e9but d\u00e9cembre 2023.<\/p>\n

“Ces familles permettent aux auteurs de menaces de contourner l’authentification et de fournir un acc\u00e8s d\u00e9rob\u00e9 \u00e0 ces appareils”, Mandiant dit<\/a> dans une analyse publi\u00e9e cette semaine. La soci\u00e9t\u00e9 de renseignement sur les menaces appartenant \u00e0 Google suit l’acteur mena\u00e7ant sous le surnom UNC5221<\/strong>. <\/p>\n

Les attaques exploitent une cha\u00eene d’exploitation comprenant une faille de contournement d’authentification (CVE-2023-46805) et une vuln\u00e9rabilit\u00e9 d’injection de code (CVE-2024-21887) pour prendre le contr\u00f4le des instances sensibles.<\/p>\n

\"La<\/a><\/center><\/div>\n

Volexity, qui a attribu\u00e9 l’activit\u00e9 \u00e0 un acteur d’espionnage chinois pr\u00e9sum\u00e9 nomm\u00e9 UTA0178, a d\u00e9clar\u00e9 que les deux failles \u00e9taient utilis\u00e9es pour obtenir un acc\u00e8s initial, d\u00e9ployer des webshells, des fichiers l\u00e9gitimes par porte d\u00e9rob\u00e9e, capturer des informations d’identification et des donn\u00e9es de configuration, et pivoter davantage dans l’environnement de la victime.<\/p>\n

Selon Ivanti, les intrusions ont touch\u00e9 moins de 10 clients, ce qui indique qu’il pourrait s’agir d’une campagne tr\u00e8s cibl\u00e9e. Correctifs pour les deux vuln\u00e9rabilit\u00e9s (officieusement appel\u00e9s Connectez-vous<\/a>) devraient \u00eatre disponibles dans la semaine du 22 janvier.<\/p>\n

L’analyse des attaques par Mandiant a r\u00e9v\u00e9l\u00e9 la pr\u00e9sence de cinq familles de logiciels malveillants personnalis\u00e9s diff\u00e9rents, outre l’injection de code malveillant dans des fichiers l\u00e9gitimes au sein d’ICS et l’utilisation d’autres outils l\u00e9gitimes tels que Occup\u00e9Box<\/a> et PySoxy<\/a> pour faciliter l\u2019activit\u00e9 ult\u00e9rieure.<\/p>\n

“En raison du fait que certaines sections de l’appareil sont en lecture seule, UNC5221 a exploit\u00e9 un script Perl (sessionserver.pl) pour remonter le syst\u00e8me de fichiers en lecture\/\u00e9criture et permettre le d\u00e9ploiement de THINSPOOL, un dropper de script shell qui \u00e9crit le shell Web LIGHTWIRE sur un fichier Connect Secure l\u00e9gitime et d’autres outils de suivi”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n

LIGHTWIRE est l’un des deux shells Web, l’autre \u00e9tant WIREFIRE, qui sont des \u00ab points d’ancrage l\u00e9gers \u00bb con\u00e7us pour garantir un acc\u00e8s \u00e0 distance persistant aux appareils compromis. Alors que LIGHTWIRE est \u00e9crit en Perl CGI, WIREFIRE est impl\u00e9ment\u00e9 en Python.<\/p>\n

\"La<\/a><\/center><\/div>\n

Sont \u00e9galement utilis\u00e9s dans les attaques un voleur d’informations d’identification bas\u00e9 sur JavaScript appel\u00e9 WARPWIRE et une porte d\u00e9rob\u00e9e passive nomm\u00e9e ZIPLINE qui est capable de t\u00e9l\u00e9charger\/t\u00e9l\u00e9charger des fichiers, d’\u00e9tablir un shell invers\u00e9, de cr\u00e9er un serveur proxy et de configurer un serveur de tunneling pour r\u00e9partir le trafic entre plusieurs points de terminaison. .<\/p>\n

“Cela indique qu’il ne s’agit pas d’attaques opportunistes et que l’UNC5221 avait l’intention de maintenir sa pr\u00e9sence sur un sous-ensemble de cibles hautement prioritaires qu’il a compromises apr\u00e8s la publication in\u00e9vitable d’un correctif”, a ajout\u00e9 Mandiant.<\/p>\n

UNC5221 n’a \u00e9t\u00e9 li\u00e9 \u00e0 aucun groupe connu ou \u00e0 un pays particulier, bien que le ciblage des infrastructures de pointe en militarisant les failles du jour z\u00e9ro et en utilisant une infrastructure de commandement et de contr\u00f4le (C2) compromise pour contourner la d\u00e9tection porte toutes les caract\u00e9ristiques d’un menace persistante avanc\u00e9e (APT). <\/p>\n

“L’activit\u00e9 de l’UNC5221 d\u00e9montre que l’exploitation et la vie \u00e0 la p\u00e9riph\u00e9rie des r\u00e9seaux restent une cible viable et attractive pour les acteurs de l’espionnage”, a d\u00e9clar\u00e9 Mandiant.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n