Des d\u00e9tails ont \u00e9merg\u00e9 sur l’exploitation par un groupe de menaces li\u00e9es \u00e0 la Chine d’une faille de s\u00e9curit\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9e et d\u00e9sormais corrig\u00e9e dans les commutateurs Cisco en tant que zero-day pour prendre le contr\u00f4le de l’appareil et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n
L’activit\u00e9, attribu\u00e9e \u00e0 Velvet Ant, a \u00e9t\u00e9 observ\u00e9e au d\u00e9but de cette ann\u00e9e et impliquait l’utilisation de CVE-2024-20399 (score CVSS : 6,0) comme arme pour diffuser des logiciels malveillants sur mesure et obtenir un contr\u00f4le \u00e9tendu sur le syst\u00e8me compromis, facilitant \u00e0 la fois l’exfiltration des donn\u00e9es et l’acc\u00e8s persistant.<\/p>\n
\u00ab L’exploit zero-day permet \u00e0 un attaquant disposant d’informations d’identification d’administrateur valides sur la console de gestion du commutateur d’\u00e9chapper \u00e0 l’interface de ligne de commande (CLI) NX-OS et d’ex\u00e9cuter des commandes arbitraires sur le syst\u00e8me d’exploitation sous-jacent Linux \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sygnia dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Velvet Ant a d’abord attir\u00e9 l’attention des chercheurs de la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9 dans le cadre d’une campagne pluriannuelle qui ciblait une organisation anonyme situ\u00e9e en Asie de l’Est en exploitant les anciens appareils F5 BIG-IP comme point d’observation pour mettre en place la persistance sur l’environnement compromis.<\/p>\n L’exploitation furtive de la faille CVE-2024-20399 par un acteur malveillant a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e au d\u00e9but du mois dernier, ce qui a incit\u00e9 Cisco \u00e0 publier des mises \u00e0 jour de s\u00e9curit\u00e9 pour \u00e9liminer la faille.<\/p>\n Parmi les techniques utilis\u00e9es, on peut noter le niveau de sophistication et les tactiques de changement de forme adopt\u00e9es par le groupe, qui s’est d’abord infiltr\u00e9 dans les nouveaux syst\u00e8mes Windows avant de passer aux serveurs et p\u00e9riph\u00e9riques r\u00e9seau Windows h\u00e9rit\u00e9s pour tenter de passer sous le radar.<\/p>\n \u00ab Le passage \u00e0 un fonctionnement \u00e0 partir d’appareils de r\u00e9seau interne marque une nouvelle escalade dans les techniques d’\u00e9vasion utilis\u00e9es pour assurer la poursuite de la campagne d’espionnage \u00bb, a d\u00e9clar\u00e9 Sygnia.<\/p>\n La derni\u00e8re cha\u00eene d’attaque consiste \u00e0 p\u00e9n\u00e9trer dans un commutateur Cisco \u00e0 l’aide de la vuln\u00e9rabilit\u00e9 CVE-2024-20399 et \u00e0 mener des activit\u00e9s de reconnaissance, puis \u00e0 pivoter vers davantage de p\u00e9riph\u00e9riques r\u00e9seau et, finalement, \u00e0 ex\u00e9cuter un binaire de porte d\u00e9rob\u00e9e au moyen d’un script malveillant.<\/p>\n La charge utile, baptis\u00e9e VELVETSHELL, est une fusion de deux outils open source, un backdoor Unix nomm\u00e9 Tiny SHell et un utilitaire proxy appel\u00e9 3proxy. Il prend \u00e9galement en charge les capacit\u00e9s d’ex\u00e9cution de commandes arbitraires, de t\u00e9l\u00e9chargement\/chargement de fichiers et d’\u00e9tablissement de tunnels pour le proxy du trafic r\u00e9seau.<\/p>\n \u00ab Le mode op\u00e9ratoire de Velvet Ant met en \u00e9vidence les risques et les questions concernant les appareils et applications tiers que les entreprises int\u00e8grent \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. \u00ab En raison de la nature de \u00ab bo\u00eete noire \u00bb de nombreux appareils, chaque \u00e9l\u00e9ment mat\u00e9riel ou logiciel a le potentiel de se transformer en surface d’attaque qu’un adversaire est capable d’exploiter. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-pirates-informatiques-chinois-exploitent-une-faille-zero-day-sur-un.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n