Microsoft a r\u00e9v\u00e9l\u00e9 qu’un d\u00e9faut de s\u00e9curit\u00e9 d\u00e9sormais r\u00e9gl\u00e9 ayant un impact sur le syst\u00e8me de fichiers journaux communs de Windows (CLFS) a \u00e9t\u00e9 exploit\u00e9 comme un jour z\u00e9ro dans les attaques de ransomwares visant un petit nombre de cibles.<\/p>\n
“Les objectifs incluent des organisations dans les secteurs de l’information (TI) et de l’immobilier des \u00c9tats-Unis, le secteur financier du Venezuela, une soci\u00e9t\u00e9 de logiciels espagnol et le secteur de la vente au d\u00e9tail en Arabie saoudite”, le g\u00e9ant de la technologie dit<\/a>.<\/p>\n La vuln\u00e9rabilit\u00e9 en question est le CVE-2025-29824, un bogue d’escalade des privil\u00e8ges dans les CLF qui pourrait \u00eatre exploit\u00e9 pour r\u00e9aliser les privil\u00e8ges du syst\u00e8me. Il a \u00e9t\u00e9 corrig\u00e9 par Redmond dans le cadre de sa mise \u00e0 jour du patch mardi pour avril 2025.<\/p>\n Microsoft suit l’activit\u00e9 et l’exploitation post-compromise du CVE-2025-29824 sous le surnom Storm-2460, les acteurs de la menace tirant \u00e9galement parti d’un logiciel malveillant nomm\u00e9 Pipemagic pour fournir l’exploit ainsi que des charges utiles de ransomware.<\/p>\n Le vecteur d’acc\u00e8s initial exact utilis\u00e9 dans les attaques n’est actuellement pas connu. Cependant, les acteurs de la menace ont \u00e9t\u00e9 observ\u00e9s \u00e0 l’aide de l’utilitaire CerUtil pour t\u00e9l\u00e9charger des logiciels malveillants \u00e0 partir d’un site tiers l\u00e9gitime qui \u00e9tait auparavant compromis pour mettre en sc\u00e8ne les charges utiles.<\/p>\n Le malware est un malveillant Fichier msbuild<\/a> Cela contient une charge utile crypt\u00e9e, qui est ensuite d\u00e9ball\u00e9e pour lancer PipeMagic, un cheval de Troie bas\u00e9 sur un plugin qui a \u00e9t\u00e9 d\u00e9tect\u00e9 dans la nature depuis 2022.<\/p>\n Il convient de mentionner ici que le CVE-2025-29824 est le deuxi\u00e8me faille Windows Zero-Day \u00e0 \u00eatre livr\u00e9 via PipeMagic apr\u00e8s CVE-2025-24983, un bogue d’escalade du sous-syst\u00e8me de noyau Windows WinD32, qui a \u00e9t\u00e9 signal\u00e9 par ESET et corrig\u00e9 par Microsoft le mois dernier.<\/p>\n Auparavant, PipeMagic a \u00e9galement \u00e9t\u00e9 observ\u00e9 en relation avec des attaques de ransomwares Nokoyawa qui ont exploit\u00e9 une autre faille CLFS z\u00e9ro-jour (CVE-2023-28252).<\/p>\n “Dans certaines des autres attaques que nous attribuons au m\u00eame acteur, nous avons \u00e9galement observ\u00e9 qu’avant d’exploiter la vuln\u00e9rabilit\u00e9 d’altitude de privil\u00e8ge CLFS, les machines de la victime ont \u00e9t\u00e9 infect\u00e9es par une porte d\u00e9rob\u00e9e modulaire personnalis\u00e9e nomm\u00e9e` `Pipemagic ” qui est lanc\u00e9e via un script MSBuild”, Kaspersky ” indiqu\u00e9<\/a> en avril 2023.<\/p>\n Il est crucial de noter que Windows 11, version 24H2, n’est pas affect\u00e9 par cette exploitation sp\u00e9cifique, comme acc\u00e8s \u00e0 certaines classes d’informations syst\u00e8me au sein Ntquerysystemimformation<\/a> est limit\u00e9 aux utilisateurs avec Sedebugprivilege<\/a>qui g\u00e9n\u00e9ralement seulement utilisateurs de type administratif<\/a> peut obtenir.<\/p>\n “L’exploit cible une vuln\u00e9rabilit\u00e9 dans le pilote du noyau CLFS”, a expliqu\u00e9 l’\u00e9quipe Microsoft Threat Intelligence. “L’exploit utilise ensuite une corruption de m\u00e9moire et l’API RTLSetAllBits pour \u00e9craser le jeton du processus d’exploit avec la valeur 0xffffffff, permettant \u00e0 tous les privil\u00e8ges du processus, ce qui permet l’injection de processus dans les processus syst\u00e8me.”<\/p>\n L’exploitation r\u00e9ussie est suivie par l’acteur de menace qui extrait les informations d’identification de l’utilisateur en vidant la m\u00e9moire de LSASS et en chiffrant les fichiers sur le syst\u00e8me avec une extension al\u00e9atoire.<\/p>\n Microsoft a d\u00e9clar\u00e9 qu’il n’\u00e9tait pas en mesure d’obtenir un \u00e9chantillon de ransomware pour l’analyse, mais a d\u00e9clar\u00e9 que la note de ran\u00e7on avait chut\u00e9 apr\u00e8s le cryptage comprenait un domaine TOR attach\u00e9 \u00e0 la Ransomexx<\/a> Famille de ransomwares.<\/p>\n “Les acteurs de la menace des ransomwares appr\u00e9cient l’\u00e9l\u00e9vation post-compromise des exploits de privil\u00e8ges, car ceux-ci pourraient leur permettre de d\u00e9g\u00e9n\u00e9rer l’acc\u00e8s initial, y compris les transferts de distributeurs de logiciels malveillants de marchandises, dans un acc\u00e8s privil\u00e9gi\u00e9”, a d\u00e9clar\u00e9 Microsoft. “Ils utilisent ensuite un acc\u00e8s privil\u00e9gi\u00e9 pour un d\u00e9ploiement g\u00e9n\u00e9ralis\u00e9 et une d\u00e9tonation des ransomwares dans un environnement.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/PipeMagic-Trojan-exploite-la-vulnerabilite-Windows-Zero-Day-au-deploiement-des.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n