Un acteur malveillant qui avait d\u00e9j\u00e0 \u00e9t\u00e9 observ\u00e9 en train d’utiliser un outil de cartographie de r\u00e9seau open source a consid\u00e9rablement \u00e9tendu ses op\u00e9rations pour infecter plus de 1 500 victimes.<\/p>\n
Sysdig, qui suit le cluster sous le nom RAYON DE CRISTAL<\/a>a d\u00e9clar\u00e9 que les activit\u00e9s ont connu une augmentation de 10 fois, ajoutant qu’elles incluent \u00ab l’analyse de masse, l’exploitation de multiples vuln\u00e9rabilit\u00e9s et la mise en place de portes d\u00e9rob\u00e9es \u00e0 l’aide de plusieurs [open-source software] \u00ab\u00a0Outils de s\u00e9curit\u00e9\u00a0\u00bb.<\/p>\n L\u2019objectif principal des attaques est de r\u00e9colter et de vendre des informations d\u2019identification, de d\u00e9ployer des mineurs de crypto-monnaie et de maintenir la persistance dans les environnements des victimes. <\/p>\n Parmi les programmes open source utilis\u00e9s par l’acteur de la menace, on trouve SSH-Serpent<\/a>qui a \u00e9t\u00e9 publi\u00e9 pour la premi\u00e8re fois en janvier 2024. Il a \u00e9t\u00e9 d\u00e9crit comme un outil permettant d’effectuer une travers\u00e9e automatique du r\u00e9seau \u00e0 l’aide de cl\u00e9s priv\u00e9es SSH d\u00e9couvertes sur les syst\u00e8mes.<\/p>\n L’utilisation abusive du logiciel par CRYSTALRAY a \u00e9t\u00e9 document\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 plus t\u00f4t en f\u00e9vrier, l’outil \u00e9tant d\u00e9ploy\u00e9 pour un mouvement lat\u00e9ral suite \u00e0 l’exploitation de failles de s\u00e9curit\u00e9 connues dans les instances publiques Apache ActiveMQ et Atlassian Confluence.<\/p>\n Joshua Rogers, le d\u00e9veloppeur derri\u00e8re SSH-Snake, a d\u00e9clar\u00e9 \u00e0 The Hacker News \u00e0 l’\u00e9poque que l’outil automatise uniquement ce qui aurait autrement \u00e9t\u00e9 des \u00e9tapes manuelles, et a appel\u00e9 les entreprises \u00e0 \u00ab d\u00e9couvrir les chemins d’attaque qui existent \u2013 \u200b\u200bet \u00e0 les corriger \u00bb.<\/p>\n Certains des autres outils utilis\u00e9s par les attaquants incluent asn<\/a>, carte z<\/a>, httpx<\/a>et noyaux<\/a> afin de v\u00e9rifier si un domaine est actif et de lancer des analyses pour les services vuln\u00e9rables tels que Apache ActiveMQ, Apache RocketMQ, Atlassian Confluence, Laravel, Metabase, Openfire, Oracle WebLogic Server et Solr.<\/p>\n CRYSTALRAY utilise \u00e9galement son point d’appui initial pour mener un processus de d\u00e9couverte d’informations d’identification de grande envergure qui va au-del\u00e0 du d\u00e9placement entre les serveurs accessibles via SSH. L’acc\u00e8s permanent \u00e0 l’environnement compromis est r\u00e9alis\u00e9 au moyen d’un cadre de commande et de contr\u00f4le (C2) l\u00e9gitime appel\u00e9 Sliver et d’un gestionnaire de shell invers\u00e9<\/a> nom de code Ornithorynque<\/a>.<\/p>\n Dans une nouvelle tentative de tirer une valeur mon\u00e9taire des actifs infect\u00e9s, les charges utiles des mineurs de crypto-monnaie sont livr\u00e9es pour utiliser illicitement les ressources de la victime \u00e0 des fins de gain financier, tout en prenant simultan\u00e9ment des mesures pour mettre fin aux mineurs concurrents qui pourraient d\u00e9j\u00e0 fonctionner sur les machines.<\/p>\n \u00ab CRYSTALRAY est capable de d\u00e9couvrir et d’extraire des identifiants de syst\u00e8mes vuln\u00e9rables, qui sont ensuite vendus sur le march\u00e9 noir pour des milliers de dollars \u00bb, a d\u00e9clar\u00e9 Miguel Hern\u00e1ndez, chercheur chez Sysdig. \u00ab Les identifiants vendus impliquent une multitude de services, notamment des fournisseurs de services cloud et des fournisseurs de messagerie SaaS. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Les-pirates-informatiques-de-CRYSTALRAY-infectent-plus-de-1-500.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n