Une porte d\u00e9rob\u00e9e jusqu’alors non document\u00e9e appel\u00e9e Msupedge a \u00e9t\u00e9 utilis\u00e9e contre une cyberattaque ciblant une universit\u00e9 anonyme \u00e0 Taiwan.<\/p>\n
\u00ab La caract\u00e9ristique la plus notable de cette porte d\u00e9rob\u00e9e est qu’elle communique avec un serveur de commande et de contr\u00f4le (C&C) via le trafic DNS \u00bb, a d\u00e9clar\u00e9 l’\u00e9quipe Symantec Threat Hunter, qui fait partie de Broadcom, dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Les origines de la porte d\u00e9rob\u00e9e sont actuellement inconnues, tout comme les objectifs derri\u00e8re l\u2019attaque.<\/p>\n Le vecteur d’acc\u00e8s initial qui a probablement facilit\u00e9 le d\u00e9ploiement de Msupedge impliquerait l’exploitation d’une faille critique r\u00e9cemment divulgu\u00e9e affectant PHP (CVE-2024-4577, score CVSS\u00a0: 9,8), qui pourrait \u00eatre utilis\u00e9e pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance<\/a>.<\/p>\n La porte d\u00e9rob\u00e9e en question est une biblioth\u00e8que de liens dynamiques (DLL) install\u00e9e dans les chemins \u00ab csidl_drive_fixedxampp” et \u00ab csidl_systemwbem \u00bb. L’une des DLL, wuplog.dll, est lanc\u00e9e par le serveur HTTP Apache (httpd). Le processus parent de la deuxi\u00e8me DLL n’est pas clair.<\/p>\n L’aspect le plus notable de Msupedge est sa d\u00e9pendance au tunneling DNS pour la communication avec le serveur C&C, avec un code bas\u00e9 sur l’open source DNSCAT2<\/a> outil.<\/p>\n \u00ab Il re\u00e7oit des commandes en effectuant une r\u00e9solution de nom \u00bb, a not\u00e9 Symantec. \u00ab Msupedge re\u00e7oit non seulement des commandes via le trafic DNS, mais utilise \u00e9galement l’adresse IP r\u00e9solue du serveur C&C (ctl.msedeapi[.]net) comme commande.”<\/p>\n Plus pr\u00e9cis\u00e9ment, le troisi\u00e8me octet de l\u2019adresse IP r\u00e9solue fonctionne comme un bo\u00eetier de commutation<\/a> qui d\u00e9termine le comportement de la porte d\u00e9rob\u00e9e en lui soustrayant sept et en utilisant sa notation hexad\u00e9cimale pour d\u00e9clencher les r\u00e9ponses appropri\u00e9es. Par exemple, si le troisi\u00e8me octet est 145, la valeur nouvellement d\u00e9riv\u00e9e se traduit par 138 (0x8a).<\/p>\n Les commandes prises en charge par Msupedge sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n Le d\u00e9veloppement intervient alors que Groupe de menace UTG-Q-010<\/a> a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle campagne de phishing qui exploite les leurres li\u00e9s \u00e0 la cryptomonnaie et \u00e0 l’emploi pour distribuer un malware open source appel\u00e9 Pupy RAT.<\/p>\n \u00ab La cha\u00eene d’attaque implique l’utilisation de fichiers .lnk malveillants avec un chargeur DLL int\u00e9gr\u00e9, aboutissant au d\u00e9ploiement de la charge utile Pupy RAT \u00bb, a d\u00e9clar\u00e9 Symantec dit<\/a>\u00ab Pupy est un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) bas\u00e9 sur Python avec des fonctionnalit\u00e9s de chargement de DLL r\u00e9flexif et d’ex\u00e9cution en m\u00e9moire, entre autres. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-pirates-informatiques-exploitent-une-vulnerabilite-PHP-pour-deployer-une.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/section>\n