Les acteurs mena\u00e7ants li\u00e9s au ransomware Black Basta pourraient avoir exploit\u00e9 une faille d’\u00e9l\u00e9vation de privil\u00e8ges r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans le service de rapport d’erreurs de Microsoft Windows en tant que jour z\u00e9ro, selon de nouvelles d\u00e9couvertes de Symantec.<\/p>\n
La faille de s\u00e9curit\u00e9 en question est CVE-2024-26169<\/a> (score CVSS : 7,8), un bug d’\u00e9l\u00e9vation de privil\u00e8ges dans le service de rapport d’erreurs Windows qui pourrait \u00eatre exploit\u00e9 pour obtenir les privil\u00e8ges SYST\u00c8ME. Il a \u00e9t\u00e9 corrig\u00e9 par Microsoft en mars 2024.<\/p>\n “L’analyse d’un outil d’exploitation d\u00e9ploy\u00e9 lors d’attaques r\u00e9centes a r\u00e9v\u00e9l\u00e9 qu’il aurait pu \u00eatre compil\u00e9 avant l’application du correctif, ce qui signifie qu’au moins un groupe aurait pu exploiter la vuln\u00e9rabilit\u00e9 en tant que jour z\u00e9ro”, a d\u00e9clar\u00e9 l’\u00e9quipe Symantec Threat Hunter, qui fait partie de Broadcom. dit dans un rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Le groupe de menaces \u00e0 motivation financi\u00e8re est suivi par la soci\u00e9t\u00e9 sous le nom de Cardinal, \u00e9galement connu sous les noms de Storm-1811 et UNC4393<\/a>.<\/p>\n Il est connu pour mon\u00e9tiser l’acc\u00e8s en d\u00e9ployant le ransomware Black Basta, g\u00e9n\u00e9ralement en exploitant l’acc\u00e8s initial obtenu par d’autres attaquants \u2013 initialement QakBot puis DarkGate \u2013 pour violer les environnements cibles.<\/p>\n Ces derniers mois, l\u2019acteur malveillant a \u00e9t\u00e9 observ\u00e9 utilisant des produits Microsoft l\u00e9gitimes tels que Quick Assist et Microsoft Teams comme vecteurs d\u2019attaque pour infecter les utilisateurs.<\/p>\n “L’acteur malveillant utilise Teams pour envoyer des messages et lancer des appels dans le but de se faire passer pour le personnel informatique ou du service d’assistance”, Microsoft dit<\/a>. “Cette activit\u00e9 conduit \u00e0 une utilisation abusive de Quick Assist, suivie d’un vol d’informations d’identification \u00e0 l’aide d’EvilProxy, de l’ex\u00e9cution de scripts batch et de l’utilisation de SystemBC pour la persistance, le commandement et le contr\u00f4le.”<\/p>\n Symantec a d\u00e9clar\u00e9 avoir observ\u00e9 que l’outil d’exploitation \u00e9tait utilis\u00e9 dans le cadre d’une tentative d’attaque de ransomware, mais sans succ\u00e8s.<\/p>\n L’outil “profite du fait que le fichier Windows werkernel.sys utilise un descripteur de s\u00e9curit\u00e9 nul lors de la cr\u00e9ation des cl\u00e9s de registre”, explique-t-il.<\/p>\n “L’exploit profite de cela pour cr\u00e9er une cl\u00e9 de registre ‘HKLMSoftwareMicrosoftWindows NTCurrentVersionImage File Execution OptionsWerFault.exe’ o\u00f9 il d\u00e9finit la valeur ‘Debugger’ comme son propre chemin d’acc\u00e8s ex\u00e9cutable. Cela permet au exploiter pour d\u00e9marrer un shell avec des privil\u00e8ges administratifs.”<\/p>\n L’analyse des m\u00e9tadonn\u00e9es de l’artefact montre qu’il a \u00e9t\u00e9 compil\u00e9 le 27 f\u00e9vrier 2024, plusieurs semaines avant que la vuln\u00e9rabilit\u00e9 ne soit corrig\u00e9e par Microsoft, tandis qu’un autre \u00e9chantillon d\u00e9couvert sur VirusTotal avait un horodatage de compilation du 18 d\u00e9cembre 2023.<\/p>\n Alors que les auteurs de menaces sont enclins \u00e0 modifier l’horodatage des fichiers et des r\u00e9pertoires d’un syst\u00e8me compromis pour dissimuler leurs actions ou entraver les enqu\u00eates, une technique appel\u00e9e horodatage<\/a> \u2013 Symantec a soulign\u00e9 qu’il y a probablement tr\u00e8s peu de raisons de le faire dans ce cas.<\/p>\n Ce d\u00e9veloppement intervient au milieu de l\u2019\u00e9mergence d\u2019une nouvelle famille de ransomwares appel\u00e9e DORRA<\/a> il s’agit d’une variante de la famille de logiciels malveillants Makop, car les attaques de ran\u00e7ongiciels continuent d’avoir un impact une sorte de renaissance<\/a> apr\u00e8s un creux en 2022.<\/p>\n Selon Mandiant, soci\u00e9t\u00e9 appartenant \u00e0 Google, l’\u00e9pid\u00e9mie de ransomware a connu une augmentation de 75\u00a0% des publications sur les sites de fuite de donn\u00e9es, avec plus de 1,1 milliard de dollars vers\u00e9s aux attaquants<\/a> en 2023, contre 567 millions de dollars en 2022 et 983 millions de dollars en 2021.<\/p>\n “Cela montre que la l\u00e9g\u00e8re baisse des activit\u00e9s d’extorsion observ\u00e9e en 2022 \u00e9tait une anomalie, potentiellement due \u00e0 des facteurs tels que l’invasion de l’Ukraine et la fuite des conversations Conti”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. dit<\/a>.<\/p>\n \u00ab La r\u00e9surgence actuelle des activit\u00e9s d’extorsion est probablement due \u00e0 divers facteurs, notamment la r\u00e9installation de l’\u00e9cosyst\u00e8me cybercriminel apr\u00e8s une ann\u00e9e tumultueuse en 2022, de nouveaux entrants et de nouveaux partenariats et offres de services de ransomware par des acteurs auparavant associ\u00e9s \u00e0 des groupes prolifiques qui avaient \u00e9t\u00e9 perturb\u00e9s. “.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Black-Basta-Ransomware-a-peut-etre-exploite-une-faille-Zero-Day-de.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n