{"id":153501,"date":"2022-05-18T19:44:37","date_gmt":"2022-05-18T21:44:37","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-pirates-obtiennent-une-persistance-sans-fichier-sur-les-serveurs-sql-cibles-a-laide-dun-utilitaire-integre\/"},"modified":"2022-05-18T19:44:43","modified_gmt":"2022-05-18T21:44:43","slug":"les-pirates-obtiennent-une-persistance-sans-fichier-sur-les-serveurs-sql-cibles-a-laide-dun-utilitaire-integre","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-pirates-obtiennent-une-persistance-sans-fichier-sur-les-serveurs-sql-cibles-a-laide-dun-utilitaire-integre\/","title":{"rendered":"Les pirates obtiennent une persistance sans fichier sur les serveurs SQL cibl\u00e9s \u00e0 l’aide d’un utilitaire int\u00e9gr\u00e9"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Microsoft a averti mardi qu’il avait r\u00e9cemment rep\u00e9r\u00e9 une campagne malveillante ciblant les serveurs SQL qui exploite un binaire PowerShell int\u00e9gr\u00e9 pour assurer la persistance sur les syst\u00e8mes compromis.<\/p>\n

Les intrusions, qui utilisent les attaques par force brute comme vecteur de compromis initial, se distinguent par leur utilisation de l’utilitaire “sqlps.exe<\/a>“, le g\u00e9ant de la technologie mentionn\u00e9<\/a> dans une s\u00e9rie de tweets.<\/p>\n

Les objectifs ultimes de la campagne sont inconnus, tout comme l’identit\u00e9 de l’acteur mena\u00e7ant qui l’organise. Microsoft traque le malware sous le nom “UtilisationSuspSQL<\/a>.”<\/p>\n

L’utilitaire sqlps.exe, fourni par d\u00e9faut avec toutes les versions de SQL Servers, permet \u00e0 un agent SQL (un service Windows d’ex\u00e9cuter des t\u00e2ches planifi\u00e9es) d’ex\u00e9cuter des t\u00e2ches \u00e0 l’aide du sous-syst\u00e8me PowerShell.<\/p>\n

“Les attaquants obtiennent une persistance sans fichier en engendrant l’utilitaire sqlps.exe, un wrapper PowerShell pour ex\u00e9cuter des applets de commande SQL, pour ex\u00e9cuter des commandes de reconnaissance et changer le mode de d\u00e9marrage du service SQL en LocalSystem”, a not\u00e9 Microsoft.<\/p>\n

\"Serveurs<\/div>\n

De plus, les attaquants ont \u00e9galement \u00e9t\u00e9 observ\u00e9s en train d’utiliser le m\u00eame module pour cr\u00e9er un nouveau compte avec r\u00f4le d’administrateur syst\u00e8me<\/a>permettant effectivement de prendre le contr\u00f4le de SQL Server.<\/p>\n

Ce n’est pas la premi\u00e8re fois que des acteurs de la menace militarisent des binaires l\u00e9gitimes d\u00e9j\u00e0 pr\u00e9sents dans un environnement, une technique appel\u00e9e vivre hors de la terre (LotL), pour atteindre leurs objectifs inf\u00e2mes.<\/p>\n

\"La<\/a><\/div>\n

Un avantage offert par de telles attaques est qu’elles tendent \u00e0 \u00eatre sans fichier<\/a> car ils ne laissent aucun artefact derri\u00e8re eux et les activit\u00e9s sont moins susceptibles d’\u00eatre signal\u00e9es par un logiciel antivirus car ils utilisent un logiciel de confiance.<\/p>\n

L’id\u00e9e est de permettre \u00e0 l’attaquant de se fondre dans l’activit\u00e9 r\u00e9guli\u00e8re du r\u00e9seau et les t\u00e2ches administratives normales, tout en restant cach\u00e9 pendant de longues p\u00e9riodes.<\/p>\n

“L’utilisation de ce binaire vivant hors du pays (LOLBin) inhabituel souligne l’importance d’obtenir une visibilit\u00e9 compl\u00e8te sur le comportement d’ex\u00e9cution des scripts afin d’exposer le code malveillant”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Microsoft a averti mardi qu’il avait r\u00e9cemment rep\u00e9r\u00e9 une campagne malveillante ciblant les serveurs SQL qui exploite un binaire PowerShell int\u00e9gr\u00e9 pour assurer la persistance sur les syst\u00e8mes compromis. Les intrusions, qui utilisent les attaques par force brute comme vecteur de compromis initial, se distinguent par leur utilisation de l’utilitaire “sqlps.exe“, le g\u00e9ant de la […]<\/p>\n","protected":false},"author":1,"featured_media":153502,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[9589,4168,4158,4165,4161,74,7085,66881,4157,4159,4171,4170,1151,65,4167,4160,4163,4162,10294,66879,4394,1181,4172,4169,8541,8542,60,196,66880,4166,4164],"class_list":["post-153501","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-cibles","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dun","tag-fichier","tag-integre","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-laide","tag-les","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-obtiennent","tag-persistance","tag-pirates","tag-sans","tag-securite-informatique","tag-securite-internet","tag-serveurs","tag-sql","tag-sur","tag-une","tag-utilitaire","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/153501","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=153501"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/153501\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/153502"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=153501"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=153501"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=153501"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}