Les acteurs malveillants \u00e0 l’origine du ransomware BianLian ont \u00e9t\u00e9 observ\u00e9s en train d’exploiter les failles de s\u00e9curit\u00e9 du logiciel JetBrains TeamCity pour mener leurs attaques d’extorsion uniquement.<\/p>\n
Selon un nouveau rapport<\/a> Selon GuidePoint Security, qui a r\u00e9pondu \u00e0 une intrusion r\u00e9cente, l’incident “a commenc\u00e9 avec l’exploitation d’un serveur TeamCity qui a abouti au d\u00e9ploiement d’une impl\u00e9mentation PowerShell de la porte d\u00e9rob\u00e9e Go de BianLian”.<\/p>\n BianLian est apparu en juin 2022 et s’est depuis tourn\u00e9 exclusivement vers l’extorsion bas\u00e9e sur l’exfiltration apr\u00e8s la sortie d’un d\u00e9crypteur en janvier 2023.<\/p>\n La cha\u00eene d’attaque observ\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 implique l’exploitation d’une instance TeamCity vuln\u00e9rable \u00e0 l’aide de CVE-2024-27198 ou CVE-2023-42793 pour obtenir un premier acc\u00e8s \u00e0 l’environnement, suivie de la cr\u00e9ation de nouveaux utilisateurs sur le serveur de build et de l’ex\u00e9cution de commandes malveillantes pour post-exploitation et mouvement lat\u00e9ral.<\/p>\n Il n\u2019est actuellement pas clair laquelle des deux failles a \u00e9t\u00e9 utilis\u00e9e par l\u2019acteur mena\u00e7ant \u00e0 des fins d\u2019infiltration.<\/p>\n Les acteurs BianLian sont connu<\/a> pour implanter une porte d\u00e9rob\u00e9e personnalis\u00e9e adapt\u00e9e \u00e0 chaque victime \u00e9crite en Go, ainsi que pour supprimer des outils de bureau \u00e0 distance comme AnyDesk, Atera, SplashTop et TeamViewer. La porte d\u00e9rob\u00e9e est suivie par Microsoft comme BianPorte<\/a>.<\/p>\n “Apr\u00e8s plusieurs tentatives infructueuses pour ex\u00e9cuter sa porte d\u00e9rob\u00e9e Go standard, l’acteur malveillant s’est tourn\u00e9 vers la vie hors du terrain et a exploit\u00e9 une impl\u00e9mentation PowerShell de sa porte d\u00e9rob\u00e9e, qui fournit une fonctionnalit\u00e9 presque identique \u00e0 celle qu’il aurait avec sa porte d\u00e9rob\u00e9e Go.” \u00bb ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Justin Timothy, Gabe Renfro et Keven Murphy.<\/p>\n La porte d\u00e9rob\u00e9e PowerShell obscurcie (\u00ab web.ps1 \u00bb) est con\u00e7ue pour \u00e9tablir un socket TCP pour une communication r\u00e9seau suppl\u00e9mentaire avec un serveur contr\u00f4l\u00e9 par un acteur, permettant ainsi aux attaquants distants de mener des actions arbitraires sur un h\u00f4te infect\u00e9.<\/p>\n “La porte d\u00e9rob\u00e9e, d\u00e9sormais confirm\u00e9e, est capable de communiquer avec le [command-and-control] serveur et s’ex\u00e9cutent de mani\u00e8re asynchrone en fonction des objectifs post-exploitation de l’attaquant distant”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n La divulgation intervient alors que VulnCheck d\u00e9taille de nouveaux exploits de preuve de concept (PoC) pour une faille de s\u00e9curit\u00e9 critique affectant Atlassian Confluence Data Center et Confluence Server (CVE-2023-22527) qui pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance sans fichier et au chargement du fichier. Shell Web Godzilla directement en m\u00e9moire.<\/p>\n La faille a depuis \u00e9t\u00e9 utilis\u00e9e pour d\u00e9ployer le ransomware C3RB3R, les mineurs de crypto-monnaie et les chevaux de Troie d’acc\u00e8s \u00e0 distance au cours des deux derniers mois, ce qui indique une exploitation g\u00e9n\u00e9ralis\u00e9e dans la nature.<\/p>\n “Il existe plusieurs fa\u00e7ons d’atteindre Rome”, Jacob Baines de VulnCheck not\u00e9<\/a>. “Bien que l’utilisation de freemarker.template.utility.Execute semble \u00eatre le moyen populaire d’exploiter CVE-2023-22527, d’autres chemins plus furtifs g\u00e9n\u00e8rent des indicateurs diff\u00e9rents.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/03\/Les-acteurs-de-la-menace-BianLian-exploitent-les-failles-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n