Une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans le logiciel Veeam Backup & Replication est exploit\u00e9e par une op\u00e9ration de ransomware naissante connue sous le nom d’EstateRansomware.<\/p>\n
Le groupe IB, bas\u00e9 \u00e0 Singapour, qui a d\u00e9couvert l’acteur de la menace d\u00e9but avril 2024, a d\u00e9clar\u00e9 que le modus operandi impliquait l’exploitation de CVE-2023-27532 (score CVSS : 7,5) pour mener \u00e0 bien les activit\u00e9s malveillantes.<\/p>\n
L’acc\u00e8s initial \u00e0 l’environnement cible aurait \u00e9t\u00e9 facilit\u00e9 au moyen d’un dispositif VPN SSL pare-feu Fortinet FortiGate utilisant un compte inactif.<\/p>\n
\u00ab L’acteur de la menace a pivot\u00e9 lat\u00e9ralement du pare-feu FortiGate via le service VPN SSL pour acc\u00e9der au serveur de basculement \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Yeo Zi Wei dit<\/a> dans une analyse publi\u00e9e aujourd’hui.<\/p>\n \u00ab Avant l’attaque par ransomware, des tentatives de force brute VPN ont \u00e9t\u00e9 constat\u00e9es en avril 2024 \u00e0 l’aide d’un compte inactif identifi\u00e9 comme \u00ab Acc1 \u00bb. Plusieurs jours plus tard, une connexion VPN r\u00e9ussie \u00e0 l’aide de \u00ab Acc1 \u00bb a \u00e9t\u00e9 retrac\u00e9e jusqu’\u00e0 l’adresse IP distante 149.28.106[.]252.”<\/p>\n Ensuite, les acteurs de la menace ont proc\u00e9d\u00e9 \u00e0 l’\u00e9tablissement de connexions RDP entre le pare-feu et le serveur de basculement, puis au d\u00e9ploiement d’une porte d\u00e9rob\u00e9e persistante nomm\u00e9e \u00ab svchost.exe \u00bb qui est ex\u00e9cut\u00e9e quotidiennement via une t\u00e2che planifi\u00e9e.<\/p>\n L’acc\u00e8s ult\u00e9rieur au r\u00e9seau a \u00e9t\u00e9 r\u00e9alis\u00e9 \u00e0 l’aide de la porte d\u00e9rob\u00e9e pour \u00e9chapper \u00e0 la d\u00e9tection. La principale fonction de la porte d\u00e9rob\u00e9e est de se connecter \u00e0 un serveur de commande et de contr\u00f4le (C2) via HTTP et d’ex\u00e9cuter des commandes arbitraires \u00e9mises par l’attaquant.<\/p>\n Group-IB a d\u00e9clar\u00e9 avoir observ\u00e9 l’acteur exploitant la faille Veeam CVE-2023-27532 dans le but d’activer xp_cmdshell sur le serveur de sauvegarde et de cr\u00e9er un compte d’utilisateur malveillant nomm\u00e9 \u00ab VeeamBkp \u00bb, tout en effectuant des activit\u00e9s de d\u00e9couverte de r\u00e9seau, d’\u00e9num\u00e9ration et de collecte d’informations d’identification \u00e0 l’aide d’outils comme NetScan, AdFind et NitSoft \u00e0 l’aide du compte nouvellement cr\u00e9\u00e9.<\/p>\n \u00ab Cette exploitation impliquait potentiellement une attaque provenant du dossier VeeamHax sur le serveur de fichiers contre la version vuln\u00e9rable du logiciel Veeam Backup & Replication install\u00e9e sur le serveur de sauvegarde \u00bb, a \u00e9mis l’hypoth\u00e8se Zi Wei.<\/p>\n \u00ab Cette activit\u00e9 a facilit\u00e9 l’activation de la proc\u00e9dure stock\u00e9e xp_cmdshell et la cr\u00e9ation ult\u00e9rieure du compte \u00ab VeeamBkp \u00bb. \u00bb<\/p>\n L’attaque a abouti au d\u00e9ploiement du ransomware, mais pas avant d’avoir pris des mesures pour affaiblir les d\u00e9fenses et de s’\u00eatre d\u00e9plac\u00e9e lat\u00e9ralement du serveur AD vers tous les autres serveurs et postes de travail utilisant des comptes de domaine compromis.<\/p>\n \u00ab Windows Defender a \u00e9t\u00e9 d\u00e9sactiv\u00e9 de mani\u00e8re permanente \u00e0 l’aide de DC.exe [Defender Control]suivi du d\u00e9ploiement et de l’ex\u00e9cution du ransomware avec PsExec.exe<\/a>“, a d\u00e9clar\u00e9 le Groupe IB.<\/p>\n Cette r\u00e9v\u00e9lation intervient alors que Cisco Talos a r\u00e9v\u00e9l\u00e9 que la plupart des gangs de ransomwares donnent la priorit\u00e9 \u00e0 l’\u00e9tablissement d’un acc\u00e8s initial en utilisant des failles de s\u00e9curit\u00e9 dans les applications publiques, des pi\u00e8ces jointes de phishing ou en violant des comptes valides, et en contournant les d\u00e9fenses dans leurs cha\u00eenes d’attaque.<\/p>\n Le mod\u00e8le de double extorsion consistant \u00e0 exfiltrer les donn\u00e9es avant de crypter les fichiers a en outre donn\u00e9 naissance \u00e0 des outils personnalis\u00e9s d\u00e9velopp\u00e9s par les acteurs (par exemple, Exmatter, Exbyte et StealBit) pour envoyer les informations confidentielles \u00e0 une infrastructure contr\u00f4l\u00e9e par l’adversaire.<\/p>\n Cela n\u00e9cessite que ces groupes de cybercriminalit\u00e9 \u00e9tablissent un acc\u00e8s \u00e0 long terme pour explorer l’environnement afin de comprendre la structure du r\u00e9seau, localiser les ressources qui peuvent soutenir l’attaque, \u00e9lever leurs privil\u00e8ges ou leur permettre de se fondre dans la masse, et identifier les donn\u00e9es de valeur qui peuvent \u00eatre vol\u00e9es.<\/p>\n \u00ab Au cours de l’ann\u00e9e \u00e9coul\u00e9e, nous avons assist\u00e9 \u00e0 des changements majeurs dans le domaine des ransomwares avec l’\u00e9mergence de plusieurs nouveaux groupes de ransomwares, chacun pr\u00e9sentant des objectifs, des structures op\u00e9rationnelles et une victimologie uniques \u00bb, a d\u00e9clar\u00e9 Talos. dit<\/a>.<\/p>\n \u00ab Cette diversification met en \u00e9vidence une \u00e9volution vers des activit\u00e9s cybercriminelles plus cibl\u00e9es, alors que des groupes tels que Hunters International, Cactus et Akira se taillent des niches sp\u00e9cifiques, en se concentrant sur des objectifs op\u00e9rationnels distincts et des choix stylistiques pour se diff\u00e9rencier. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Un-nouveau-groupe-de-ransomware-exploite-la-vulnerabilite-du-logiciel.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n