Les acteurs malveillants exploitent une faille de s\u00e9curit\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9e affectant les passerelles Ivanti Connect Secure, Policy Secure et ZTA pour d\u00e9ployer une porte d\u00e9rob\u00e9e nomm\u00e9e DSLog<\/strong> sur les appareils sensibles.<\/p>\n C’est selon r\u00e9sultats<\/a> d’Orange Cyberdefense, qui a d\u00e9clar\u00e9 avoir observ\u00e9 l’exploitation du CVE-2024-21893 quelques heures apr\u00e8s la publication publique du code de preuve de concept (PoC).<\/p>\n CVE-2024-21893, qui a \u00e9t\u00e9 divulgu\u00e9 par Ivanti \u00e0 la fin du mois dernier aux c\u00f4t\u00e9s de CVE-2024-21888, fait r\u00e9f\u00e9rence \u00e0 une vuln\u00e9rabilit\u00e9 de falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF) dans le module SAML qui, si elle est exploit\u00e9e avec succ\u00e8s, pourrait permettre l’acc\u00e8s \u00e0 des ressources autrement restreintes. sans aucune authentification.<\/p>\n La soci\u00e9t\u00e9 bas\u00e9e dans l\u2019Utah a depuis reconnu que la faille limitait les attaques cibl\u00e9es, m\u00eame si l\u2019ampleur exacte des compromissions n\u2019est pas claire.<\/p>\n Puis, la semaine derni\u00e8re, la Shadowserver Foundation a r\u00e9v\u00e9l\u00e9 une recrudescence des tentatives d’exploitation ciblant la vuln\u00e9rabilit\u00e9 provenant de plus de 170 adresses IP uniques, peu apr\u00e8s Rapid7 et AssetNote. partag\u00e9<\/a> sp\u00e9cificit\u00e9s techniques suppl\u00e9mentaires.<\/p>\n La derni\u00e8re analyse d’Orange Cyberdefense montre que des compromissions ont \u00e9t\u00e9 d\u00e9tect\u00e9es d\u00e8s le 3 f\u00e9vrier, l’attaque ciblant un client anonyme pour injecter une porte d\u00e9rob\u00e9e qui accorde un acc\u00e8s \u00e0 distance persistant.<\/p>\n “La porte d\u00e9rob\u00e9e est ins\u00e9r\u00e9e dans un fichier Perl existant appel\u00e9 ‘DSLog.pm'”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9, soulignant un mod\u00e8le continu dans lequel des composants l\u00e9gitimes existants \u2013 dans ce cas, un module de journalisation \u2013 sont modifi\u00e9s pour ajouter le code malveillant.<\/p>\n DSLog, l’implant, est \u00e9quip\u00e9 de ses propres astuces pour entraver l’analyse et la d\u00e9tection, notamment l’int\u00e9gration d’un hachage unique par appareil, rendant ainsi impossible l’utilisation du hachage pour contacter la m\u00eame porte d\u00e9rob\u00e9e sur un autre appareil.<\/p>\n La m\u00eame valeur de hachage est fournie par les attaquants au Champ d’en-t\u00eate User-Agent<\/a> dans une requ\u00eate HTTP adress\u00e9e \u00e0 l’appliance pour permettre au malware d’extraire la commande \u00e0 ex\u00e9cuter \u00e0 partir d’un param\u00e8tre de requ\u00eate appel\u00e9 \u00ab cdi \u00bb. L’instruction d\u00e9cod\u00e9e est ensuite ex\u00e9cut\u00e9e en tant qu’utilisateur root.<\/p>\n “Le shell Web ne renvoie pas de statut\/code lorsqu’on tente de le contacter”, a d\u00e9clar\u00e9 Orange Cyberdefense. “Il n’existe aucun moyen connu de le d\u00e9tecter directement.”<\/p>\n Il a en outre observ\u00e9 des preuves selon lesquelles des acteurs malveillants effa\u00e7aient les journaux \u00ab .access \u00bb sur \u00ab plusieurs \u00bb appareils dans le but de dissimuler la piste m\u00e9dico-l\u00e9gale et de passer inaper\u00e7us.<\/p>\n Mais en v\u00e9rifiant les artefacts cr\u00e9\u00e9s lors du d\u00e9clenchement de la vuln\u00e9rabilit\u00e9 SSRF, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 avoir \u00e9t\u00e9 en mesure de d\u00e9tecter 670 actifs compromis lors d’une premi\u00e8re analyse le 3 f\u00e9vrier, un nombre qui est tomb\u00e9 \u00e0 524 le 7 f\u00e9vrier.<\/p>\n Compte tenu de l’exploitation continue des appareils Ivanti, il est hautement recommand\u00e9<\/a> que “tous les clients r\u00e9initialisent leur appareil en usine avant d’appliquer le correctif pour emp\u00eacher l’acteur malveillant d’obtenir la persistance de la mise \u00e0 niveau dans votre environnement”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Une-vulnerabilite-Ivanti-exploitee-pour-installer-la-porte-derobee.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n