Cisco a confirm\u00e9 qu’un acteur de menace chinois connu sous le nom de typhon de sel a eu acc\u00e8s en abusant probablement d’un d\u00e9faut de s\u00e9curit\u00e9 connu suivi comme CVE-2018-0171<\/a>et en obtenant des titres de connexion l\u00e9gitimes de connexion dans le cadre d’une campagne cibl\u00e9e destin\u00e9e aux grandes soci\u00e9t\u00e9s de t\u00e9l\u00e9communications am\u00e9ricaines.<\/p>\n “L’acteur de menace a ensuite d\u00e9montr\u00e9 sa capacit\u00e9 \u00e0 persister dans des environnements cibles \u00e0 travers l’\u00e9quipement de plusieurs fournisseurs pendant de longues p\u00e9riodes, en maintenant l’acc\u00e8s dans un cas pendant plus de trois ans”, Cisco Talos dit<\/a>d\u00e9crivant les pirates comme tr\u00e8s sophistiqu\u00e9s et bien financ\u00e9s.<\/p>\n “Le long calendrier de cette campagne sugg\u00e8re un degr\u00e9 \u00e9lev\u00e9 de coordination, de planification et de patience – les caract\u00e9ristiques standard de la menace persistante avanc\u00e9e (APT) et des acteurs parrain\u00e9s par l’\u00c9tat.”<\/p>\n L’\u00e9quipement de r\u00e9seautage Major a d\u00e9clar\u00e9 qu’il ne trouvait aucune preuve que d’autres bogues de s\u00e9curit\u00e9 connus avaient \u00e9t\u00e9 arm\u00e9es par l’\u00e9quipage de piratage, contrairement \u00e0 un r\u00e9cent rapport de l’avenir enregistr\u00e9 qui a r\u00e9v\u00e9l\u00e9 des tentatives d’exploitation impliquant des d\u00e9fauts suivis en tant que CVE-2023-20198 et CVE-2023-20273 \u00e0 CVE-2023-20198 et CVE-2023-20273 pour Infiltrez les r\u00e9seaux.<\/p>\n Un aspect important de la campagne est l’utilisation de r\u00e9f\u00e9rences vol\u00e9es valides pour obtenir un acc\u00e8s initial, bien que la mani\u00e8re dont ils sont acquis sont inconnus \u00e0 ce stade. L’acteur de menace a \u00e9galement \u00e9t\u00e9 observ\u00e9 en faisant des efforts pour obtenir des informations d’identification via des configurations de p\u00e9riph\u00e9riques r\u00e9seau et d\u00e9chiffrer des comptes locaux avec des types de mots de passe faibles.<\/p>\n “De plus, nous avons observ\u00e9 l’acteur de menace capturant le SNMP, le TACACS et le trafic RADIUS, y compris les cl\u00e9s secr\u00e8tes utilis\u00e9es entre les dispositifs r\u00e9seau et les serveurs TACAC \/ RADIUS”, a not\u00e9 Talos. “L’intention de cette capture de trafic est presque certainement d’\u00e9num\u00e9rer des d\u00e9tails d’identification suppl\u00e9mentaires pour une utilisation de suivi.”<\/p>\n Un autre comportement notable pr\u00e9sent\u00e9 par Salt Typhoon implique de tirer parti des techniques de vie (LOTL) sur les appareils de r\u00e9seau, abusant de l’infrastructure de confiance alors que Pivot pointe pour passer d’un t\u00e9l\u00e9com \u00e0 un autre.<\/p>\n Il est soup\u00e7onn\u00e9 que ces appareils sont utilis\u00e9s comme relais interm\u00e9diaires pour atteindre la cible finale pr\u00e9vue ou comme premier saut pour les op\u00e9rations d’exfiltration des donn\u00e9es sortantes, car il offre un moyen pour que l’adversaire reste non d\u00e9tect\u00e9 pendant de longues p\u00e9riodes.<\/p>\n En outre, Salt Typhoon a \u00e9t\u00e9 rep\u00e9r\u00e9 en modifiant les configurations du r\u00e9seau pour cr\u00e9er des comptes locaux, activer l’acc\u00e8s \u00e0 la coquille invit\u00e9 et faciliter l’acc\u00e8s \u00e0 distance via SSH. Un utilitaire sur mesure nomm\u00e9 JumbledPath a \u00e9galement \u00e9t\u00e9 utilis\u00e9 qui leur permet d’ex\u00e9cuter une capture de paquets sur un appareil Cisco distant via un h\u00f4te de saut d\u00e9fini par l’acteur.<\/p>\n Le binaire elfe \u00e0 base de GO est \u00e9galement capable de nettoyer les journaux et de d\u00e9sactiver la journalisation pour tenter d’obscurcir les traces de l’activit\u00e9 malveillante et de rendre l’analyse m\u00e9dico-l\u00e9gale plus difficile. Ceci est compl\u00e9t\u00e9 par des \u00e9tapes p\u00e9riodiques entreprises pour effacer les journaux pertinents, notamment .Bash_history, Auth.log, Lastlog, WTMP et BTMP, le cas \u00e9ch\u00e9ant.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Cisco-confirme-que-Salt-Typhoon-exploite-CVE-2018-0171-pour-cibler-les.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n