L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) a r\u00e9v\u00e9l\u00e9 que l’environnement r\u00e9seau d’une organisation gouvernementale anonyme a \u00e9t\u00e9 compromis via un compte administrateur appartenant \u00e0 un ancien employ\u00e9.<\/p>\n
“Cela a permis \u00e0 l’acteur malveillant de s’authentifier avec succ\u00e8s aupr\u00e8s d’un point d’acc\u00e8s interne \u00e0 un r\u00e9seau priv\u00e9 virtuel (VPN),” l’agence dit<\/a> dans un avis conjoint publi\u00e9 jeudi aux c\u00f4t\u00e9s du Centre multi-\u00c9tats de partage et d\u2019analyse d\u2019informations (MS-ISAC).<\/p>\n “L’acteur mena\u00e7ant li\u00e9 au [virtual machine] via le VPN de la victime dans le but de se fondre dans le trafic l\u00e9gitime pour \u00e9chapper \u00e0 la d\u00e9tection. \u00bb<\/p>\n On soup\u00e7onne que l’acteur malveillant a obtenu les informations d’identification \u00e0 la suite d’une violation de donn\u00e9es distincte, car les informations d’identification sont apparues sur des canaux accessibles au public contenant des informations de compte divulgu\u00e9es.<\/p>\n Le compte administrateur, qui avait acc\u00e8s \u00e0 un serveur SharePoint virtualis\u00e9, a \u00e9galement permis aux attaquants d’acc\u00e9der \u00e0 un autre ensemble d’informations d’identification stock\u00e9es sur le serveur, qui disposait de privil\u00e8ges administratifs \u00e0 la fois sur le r\u00e9seau sur site et sur Azure Active Directory (maintenant appel\u00e9 Microsoft Entra ID). ).<\/p>\n Cela a en outre permis d’explorer l’environnement sur site de la victime et d’ex\u00e9cuter diverses requ\u00eates LDAP (Lightweight Directory Access Protocol) sur un contr\u00f4leur de domaine. Les attaquants \u00e0 l\u2019origine de cette activit\u00e9 malveillante sont actuellement inconnus.<\/p>\n Une enqu\u00eate plus approfondie sur l\u2019incident n\u2019a r\u00e9v\u00e9l\u00e9 aucune preuve que l\u2019adversaire s\u2019est d\u00e9plac\u00e9 lat\u00e9ralement de l\u2019environnement sur site vers l\u2019infrastructure cloud Azure.<\/p>\n Les attaquants ont finalement acc\u00e9d\u00e9 aux informations sur l’h\u00f4te et l’utilisateur et ont publi\u00e9 les informations sur le Web sombre pour un gain financier probable, note le bulletin, incitant l’organisation \u00e0 r\u00e9initialiser les mots de passe de tous les utilisateurs, \u00e0 d\u00e9sactiver le compte administrateur et \u00e0 supprimer les privil\u00e8ges \u00e9lev\u00e9s pour le deuxi\u00e8me compte. .<\/p>\n Il convient de souligner qu’aucun des deux comptes n’avait activ\u00e9 l’authentification multifacteur (MFA), soulignant la n\u00e9cessit\u00e9 de s\u00e9curiser les comptes privil\u00e9gi\u00e9s qui accordent l’acc\u00e8s aux syst\u00e8mes critiques. Il est \u00e9galement recommand\u00e9 de mettre en \u0153uvre le principe du moindre privil\u00e8ge et de cr\u00e9er des comptes d’administrateur distincts pour segmenter l’acc\u00e8s aux environnements sur site et cloud.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-reseau-du-gouvernement-de-lEtat-americain-pirate-via-le.jpg\")
<\/a><\/center><\/div>\n