Un acteur chinois sophistiqu\u00e9 de la menace persistante avanc\u00e9e (APT) a exploit\u00e9 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique dans le pare-feu de Sophos qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e plus t\u00f4t cette ann\u00e9e pour infiltrer une cible sud-asiatique anonyme dans le cadre d’une attaque tr\u00e8s cibl\u00e9e.<\/p>\n
“L’attaquant met en \u0153uvre[ed] une porte d\u00e9rob\u00e9e Web Shell int\u00e9ressante, cr\u00e9er[d] une forme secondaire de persistance, et finalement lancer[ed] attaques contre le personnel du client,” Volexity a dit<\/a> dans un rapport. “Ces attaques visaient \u00e0 violer davantage les serveurs Web h\u00e9berg\u00e9s dans le cloud h\u00e9bergeant les sites Web publics de l’organisation.”<\/p>\n La faille zero-day en question est identifi\u00e9e comme CVE-2022-1040 (score CVSS\u00a0: 9,8) et concerne une vuln\u00e9rabilit\u00e9 de contournement d’authentification qui peut \u00eatre arm\u00e9e pour ex\u00e9cuter du code arbitraire \u00e0 distance. Cela affecte les versions 18.5 MR3 (18.5.3) et ant\u00e9rieures de Sophos Firewall.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a publi\u00e9 un correctif pour la faille le 25 mars 2022, a not\u00e9 qu’elle avait \u00e9t\u00e9 utilis\u00e9e abusivement pour \u00ab cibler un petit ensemble d’organisations sp\u00e9cifiques principalement dans la r\u00e9gion de l’Asie du Sud \u00bb et qu’elle avait directement inform\u00e9 les entit\u00e9s concern\u00e9es.<\/p>\n Selon Volexity, les premi\u00e8res preuves de l’exploitation de la faille ont commenc\u00e9 le 5 mars 2022, lorsqu’il a d\u00e9tect\u00e9 une activit\u00e9 r\u00e9seau anormale provenant du pare-feu Sophos d’un client anonyme ex\u00e9cutant la version alors \u00e0 jour, pr\u00e8s de trois semaines avant la divulgation publique de la vuln\u00e9rabilit\u00e9.<\/p>\n “L’attaquant utilisait l’acc\u00e8s au pare-feu pour mener des attaques de type “man-in-the-middle” (MitM)”, ont d\u00e9clar\u00e9 les chercheurs. “L’attaquant a utilis\u00e9 les donn\u00e9es collect\u00e9es lors de ces attaques MitM pour compromettre des syst\u00e8mes suppl\u00e9mentaires en dehors du r\u00e9seau o\u00f9 r\u00e9sidait le pare-feu.”<\/p>\n La s\u00e9quence d’infection apr\u00e8s la violation du pare-feu impliquait en outre la porte d\u00e9rob\u00e9e d’un composant l\u00e9gitime du logiciel de s\u00e9curit\u00e9 avec le Derri\u00e8re<\/a> shell Web accessible \u00e0 distance \u00e0 partir de n’importe quelle URL choisie par l’auteur de la menace.<\/p>\n Il convient de noter que le shell Web Behinder a \u00e9galement \u00e9t\u00e9 exploit\u00e9 plus t\u00f4t ce mois-ci par des groupes APT chinois dans un ensemble distinct d’intrusions exploitant une faille zero-day dans les syst\u00e8mes Atlassian Confluence Server (CVE-2022-26134).<\/p>\n De plus, l’attaquant aurait cr\u00e9\u00e9 des comptes d’utilisateurs VPN pour faciliter l’acc\u00e8s \u00e0 distance, avant de passer \u00e0 la modification des r\u00e9ponses DNS pour des sites Web sp\u00e9cialement cibl\u00e9s – principalement le syst\u00e8me de gestion de contenu (CMS) de la victime – dans le but d’intercepter les informations d’identification des utilisateurs et les cookies de session.<\/p>\n L’acc\u00e8s aux cookies de session a par la suite \u00e9quip\u00e9 le malveillant pour prendre le contr\u00f4le du site WordPress et installer un second shell web baptis\u00e9 GlaceScorpion<\/a>l’attaquant l’utilisant pour d\u00e9ployer trois implants open source sur le serveur Web, y compris PupyRAT<\/a>, Pantegana<\/a>et M\u00e8che<\/a>.<\/p>\n “DriftingCloud est un acteur de menace efficace, bien \u00e9quip\u00e9 et persistant ciblant cinq-poisons<\/a>-cibles li\u00e9es. Ils sont capables de d\u00e9velopper ou d’acheter des exploits zero-day pour atteindre leurs objectifs, faisant pencher la balance en leur faveur lorsqu’il s’agit d’acc\u00e9der aux r\u00e9seaux cibles.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1655463141_19_Des-pirates-chinois-ont-exploite-la-faille-Zero-Day-de.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n