Des acteurs de menace de provenance inconnue ont \u00e9t\u00e9 attribu\u00e9s \u00e0 une campagne malveillante ciblant principalement les organisations au Japon depuis janvier 2025.<\/p>\n
“L’attaquant a exploit\u00e9 la vuln\u00e9rabilit\u00e9 CVE-2024-4577, un d\u00e9faut d’ex\u00e9cution du code distant (RCE) dans la mise en \u0153uvre de PHP-CGI de PHP sur Windows, pour acc\u00e9der initial aux machines victimes”, a d\u00e9clar\u00e9 le chercheur de Cisco Talos Chetan Raghuprasad dit<\/a> Dans un rapport technique publi\u00e9 jeudi.<\/p>\n “L’attaquant utilise les plugins de la pr\u00e9sence publique Kit de frappe Cobalt ‘Taowu’<\/a> pour les activit\u00e9s d’exploitation des montants. “<\/p>\n Les cibles de l’activit\u00e9 malveillante comprennent des entreprises dans tous les secteurs de la technologie, des t\u00e9l\u00e9communications, du divertissement, de l’\u00e9ducation et du commerce \u00e9lectronique au Japon.<\/p>\n Tout commence par les acteurs de la menace exploitant la vuln\u00e9rabilit\u00e9 CVE-2024-4577 pour obtenir un acc\u00e8s initial et ex\u00e9cuter des scripts PowerShell pour ex\u00e9cuter le cobalt strike inverse http shellcode la charge utile pour s’accorder un acc\u00e8s \u00e0 distance persistant au crit\u00e8re d’\u00e9valuation compromis.<\/p>\n L’\u00e9tape suivante implique de r\u00e9aliser la reconnaissance, l’escalade des privil\u00e8ges et les mouvements lat\u00e9raux \u00e0 l’aide d’outils comme la juicypotato, la rotation, la patate douce, le fscan et la ceinture de s\u00e9curit\u00e9. Une persistance suppl\u00e9mentaire est \u00e9tablie via des modifications du registre Windows, des t\u00e2ches planifi\u00e9es et des services sur mesure \u00e0 l’aide des plugins du kit de frappe Cobalt appel\u00e9 Taowu.<\/p>\n “Pour maintenir la furtivit\u00e9, ils effacent les journaux d’\u00e9v\u00e9nements \u00e0 l’aide de commandes Wevtutil, en supprimant les traces de leurs actions des journaux de s\u00e9curit\u00e9, syst\u00e8me et d’applications Windows”, a not\u00e9 Raghuprasad. “Finalement, ils ex\u00e9cutent des commandes Mimikatz pour vider et exfilter les mots de passe et les hachages NTLM de la m\u00e9moire sur la machine de la victime.”<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Flaw-PHP-CGI-RCE-exploite-dans-les-attaques-contre-les-secteurs.png\")
<\/a><\/center><\/div>\n