Mandiant, propri\u00e9t\u00e9 de Google, a d\u00e9clar\u00e9 avoir identifi\u00e9 de nouveaux logiciels malveillants employ\u00e9s par un acteur de menace d’espionnage li\u00e9 \u00e0 la Chine connu sous le nom d’UNC5221 et d’autres groupes de menaces au cours d’activit\u00e9s post-exploitation ciblant les appareils Ivanti Connect Secure VPN et Policy Secure.<\/p>\n
Cela inclut des shells Web personnalis\u00e9s tels que BUSHWALK, CHAINLINE, FRAMESTING et une variante de LIGHTWIRE.<\/p>\n
“CHAINLINE est une porte d\u00e9rob\u00e9e du shell Web Python int\u00e9gr\u00e9e dans un package Ivanti Connect Secure Python qui permet l’ex\u00e9cution de commandes arbitraires”, explique la soci\u00e9t\u00e9. dit<\/a>l’attribuant \u00e0 UNC5221, ajoutant qu’il a \u00e9galement d\u00e9tect\u00e9 plusieurs nouvelles versions de WARPWIRE, un voleur d’informations d’identification bas\u00e9 sur JavaScript.<\/p>\n Les cha\u00eenes d’infection impliquent une exploitation r\u00e9ussie des CVE-2023-46805 et CVE-2024-21887, qui permettent \u00e0 un acteur malveillant non authentifi\u00e9 d’ex\u00e9cuter des commandes arbitraires sur l’appliance Ivanti avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n Ces failles ont \u00e9t\u00e9 exploit\u00e9es en tant que Zero Day depuis d\u00e9but d\u00e9cembre 2023. L’Office f\u00e9d\u00e9ral allemand de la s\u00e9curit\u00e9 de l’information (BSI) dit<\/a> il est au courant de \u00ab\u00a0plusieurs syst\u00e8mes compromis\u00a0\u00bb dans le pays.<\/p>\n BUSHWALK, \u00e9crit en Perl et d\u00e9ploy\u00e9 en contournant les mesures d’att\u00e9nuation \u00e9mises par Ivanti lors d’attaques hautement cibl\u00e9es, est int\u00e9gr\u00e9 dans un fichier Connect Secure l\u00e9gitime nomm\u00e9 \u00ab querymanifest.cgi \u00bb et offre la possibilit\u00e9 de lire ou d’\u00e9crire des fichiers sur un serveur. <\/p>\n D’autre part, FRAMESTING est un shell Web Python int\u00e9gr\u00e9 dans un package Ivanti Connect Secure Python (situ\u00e9 dans le chemin suivant “\/home\/venv3\/lib\/python3.6\/site-packages\/cav-0.1-py3.6.egg \/cav\/api\/resources\/category.py”) qui permet l’ex\u00e9cution de commandes arbitraires.<\/p>\n L’analyse de Mandiant de la porte d\u00e9rob\u00e9e passive ZIPLINE a \u00e9galement r\u00e9v\u00e9l\u00e9 son utilisation de \u00ab fonctionnalit\u00e9s \u00e9tendues pour garantir l’authentification de son protocole personnalis\u00e9 utilis\u00e9 pour \u00e9tablir le commandement et le contr\u00f4le (C2) \u00bb.<\/p>\n De plus, les attaques se caract\u00e9risent par l’utilisation d’utilitaires open source comme Impacket<\/a>, CrackMapExec<\/a>, iode<\/a>et Enum4linux<\/a> pour prendre en charge les activit\u00e9s post-exploitation sur les appliances Ivanti CS, y compris la reconnaissance du r\u00e9seau, les mouvements lat\u00e9raux et l’exfiltration de donn\u00e9es dans les environnements victimes.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Avertissement-de-nouveaux-logiciels-malveillants-apparaissent-lors-dattaques-exploitant-les.jpg\")
<\/a><\/center><\/div>\n