Une nouvelle campagne de logiciels malveillants a \u00e9t\u00e9 observ\u00e9e ciblant les dispositifs Edge de Cisco, Asus, QNAP et Synology pour les enfiler dans un botnet nomm\u00e9 Polarege depuis au moins la fin de 2023.<\/p>\n
Compagnie de cybers\u00e9curit\u00e9 fran\u00e7aise Sekoia dit<\/a> il a observ\u00e9 les acteurs de la menace inconnus tirant parti CVE-2023-20118<\/a> (Score CVSS: 6,5), une faille de s\u00e9curit\u00e9 critique impactant Cisco Small Business RV016, RV042, RV042G, RV082, RV320 et RV325 qui pourraient entra\u00eener une ex\u00e9cution de commande arbitraire sur des appareils susceptibles.<\/p>\n La vuln\u00e9rabilit\u00e9 reste non corrig\u00e9e en raison des routeurs atteignant le statut de fin de vie (EOL). En tant qu’att\u00e9nuations, Cisco a recommand\u00e9 au d\u00e9but de 2023 que la faille soit att\u00e9nu\u00e9e en d\u00e9sactivant la gestion \u00e0 distance et en bloquant l’acc\u00e8s aux ports 443 et 60443.<\/p>\n Dans l’attaque enregistr\u00e9e contre les pots de miel de Sekoia, la vuln\u00e9rabilit\u00e9 aurait \u00e9t\u00e9 utilis\u00e9e pour livrer un implant pr\u00e9alablement sans papiers, une porte d\u00e9rob\u00e9e TLS qui incorpore la possibilit\u00e9 d’\u00e9couter les connexions client entrantes et d’ex\u00e9cuter des commandes.<\/p>\n La porte d\u00e9rob\u00e9e est lanc\u00e9e au moyen d’un script shell appel\u00e9 “Q” qui est r\u00e9cup\u00e9r\u00e9 via FTP et ex\u00e9cut\u00e9 apr\u00e8s une exploitation r\u00e9ussie de la vuln\u00e9rabilit\u00e9. Il est livr\u00e9 avec des capacit\u00e9s \u00e0 –<\/p>\n CodeDamed Polaredge, le malware entre dans une boucle infinie, \u00e9tablissant une session TLS ainsi que pour engener un processus enfant pour g\u00e9rer les demandes des clients et ex\u00e9cuter des commandes \u00e0 l’aide de l’exec_command.<\/p>\n “Le binaire informe le serveur C2 qu’il a r\u00e9ussi \u00e0 infecter un nouvel appareil”, a d\u00e9clar\u00e9 les chercheurs de Sekoia, Jeremy Scion et Felix Aim\u00e9. “Le malware transmet ces informations sur le serveur de rapports, permettant \u00e0 l’attaquant de d\u00e9terminer quel p\u00e9riph\u00e9rique a \u00e9t\u00e9 infect\u00e9 via l’appariement d’adresse \/ port IP.”<\/p>\n Une analyse plus approfondie a r\u00e9v\u00e9l\u00e9 des charges utiles Polaredge similaires utilis\u00e9es pour cibler les dispositifs ASUS, QNAP et Synology. Tous les artefacts ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s sur Virustotal par des utilisateurs situ\u00e9s \u00e0 Taiwan. Les charges utiles sont distribu\u00e9es via FTP \u00e0 l’aide de l’adresse IP 119.8.186[.]227, qui appartient \u00e0 Huawei Cloud.<\/p>\n En tout, le botnet aurait compromis 2 017 adresses IP uniques dans le monde, la plupart des infections d\u00e9tect\u00e9es aux \u00c9tats-Unis, \u00e0 Ta\u00efwan, en Russie, en Inde, au Br\u00e9sil, en Australie et en Argentine.<\/p>\n “Le but de ce botnet n’a pas encore \u00e9t\u00e9 d\u00e9termin\u00e9”, ont not\u00e9 les chercheurs. “Un objectif de Polaredge pourrait \u00eatre de contr\u00f4ler les dispositifs de bord compromis, les transformant en bo\u00eetes de relais op\u00e9rationnelles pour lancer des cyberattaques offensives.”<\/p>\n “Le botnet exploite plusieurs vuln\u00e9rabilit\u00e9s sur diff\u00e9rents types d’\u00e9quipements, mettant en \u00e9vidence sa capacit\u00e9 \u00e0 cibler divers syst\u00e8mes. La complexit\u00e9 des charges utiles souligne encore la sophistication de l’op\u00e9ration, sugg\u00e9rant qu’elle est men\u00e9e par des op\u00e9rateurs qualifi\u00e9s.<\/p>\n La divulgation intervient alors que SecurityScoreCard a r\u00e9v\u00e9l\u00e9 qu’un botnet massif comprenant plus de 130 000 appareils infect\u00e9s est en cours d’arme Signes non interactifs<\/a> avec authentification de base.<\/p>\n Les panneaux non interactifs sont g\u00e9n\u00e9ralement utilis\u00e9s pour les protocoles d’authentification et de h\u00e9ritage de service \u00e0 service comme POP, IMAP et SMTP. Ils ne d\u00e9clenchent pas l’authentification multi-facteurs (MFA) dans de nombreuses configurations. L’authentification de base, en revanche, permet de transmettre les informations d’identification au format en texte clair.<\/p>\n L’activit\u00e9, probablement le travail d’un groupe affili\u00e9 aux Chinois en raison de l’utilisation d’infrastructures li\u00e9es \u00e0 CDS Global Cloud et Ucloud HK, utilise des informations d’identification vol\u00e9es \u00e0 partir de journaux d’infostealer sur un large \u00e9ventail de comptes M365 pour obtenir un acc\u00e8s non autoris\u00e9 et obtenir des donn\u00e9es sensibles.<\/p>\n “Cette technique contourne les protections de connexion modernes et \u00e9chappe \u00e0 l’application de la MFA, cr\u00e9ant un angle mort critique pour les \u00e9quipes de s\u00e9curit\u00e9”, la soci\u00e9t\u00e9 dit<\/a>. “Les attaquants exploitent les informations d’identification vol\u00e9es des journaux d’infostealer pour cibler syst\u00e9matiquement les comptes \u00e0 grande \u00e9chelle.”<\/p>\n “Ces attaques sont enregistr\u00e9es dans des journaux de connexion non interactifs, qui sont souvent n\u00e9glig\u00e9s par les \u00e9quipes de s\u00e9curit\u00e9. Les attaquants exploitent cet \u00e9cart pour effectuer des tentatives de pulv\u00e9risation de mot de passe \u00e0 haut volume non d\u00e9tect\u00e9es. Cette tactique a \u00e9t\u00e9 observ\u00e9e dans plusieurs locataires M365 \u00e0 l’\u00e9chelle mondiale, indiquant une menace g\u00e9n\u00e9rale et continue.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Polaredge-Botnet-exploite-Cisco-et-dautres-defauts-pour-detourner-les.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\n<\/a><\/center><\/div>\n