L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA), ainsi que le Coast Guard Cyber \u200b\u200b\u200b\u200bCommand (CGCYBER), ont publi\u00e9 jeudi un avertissement conjoint sur les tentatives continues de la part des acteurs de la menace d’exploiter la faille Log4Shell dans les serveurs VMware Horizon pour atteindre la cible. r\u00e9seaux.<\/p>\n
“Depuis d\u00e9cembre 2021, plusieurs groupes d’acteurs malveillants ont exploit\u00e9 Log4Shell sur VMware Horizon non corrig\u00e9 et accessible au public et [Unified Access Gateway] serveurs \u00bb, les agences a dit<\/a>. “Dans le cadre de cette exploitation, des acteurs pr\u00e9sum\u00e9s d’APT ont implant\u00e9 des logiciels malveillants de chargeur sur des syst\u00e8mes compromis avec des ex\u00e9cutables int\u00e9gr\u00e9s permettant la commande et le contr\u00f4le \u00e0 distance (C2).”<\/p>\n Dans un cas, l’adversaire aurait pu se d\u00e9placer lat\u00e9ralement \u00e0 l’int\u00e9rieur du r\u00e9seau de la victime, obtenir l’acc\u00e8s \u00e0 un r\u00e9seau de reprise apr\u00e8s sinistre et collecter et exfiltrer des donn\u00e9es sensibles des forces de l’ordre.<\/p>\n Log4Shell, suivi comme CVE-2021-44228 (score CVSS\u00a0: 10,0), est une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance affectant la biblioth\u00e8que de journalisation Apache Log4j qui est utilis\u00e9e par un large \u00e9ventail de services grand public et d’entreprise, de sites Web, d’applications et d’autres produits.<\/p>\n L’exploitation r\u00e9ussie de la faille pourrait permettre \u00e0 un attaquant d’envoyer une commande sp\u00e9cialement con\u00e7ue \u00e0 un syst\u00e8me affect\u00e9, permettant aux acteurs d’ex\u00e9cuter un code malveillant et de prendre le contr\u00f4le de la cible.<\/p>\n Sur la base des informations recueillies dans le cadre de deux missions de r\u00e9ponse aux incidents, les agences ont d\u00e9clar\u00e9 que les attaquants avaient arm\u00e9 l’exploit pour supprimer des charges utiles malveillantes, y compris des scripts PowerShell et un outil d’acc\u00e8s \u00e0 distance appel\u00e9 “hmsvc.exe” qui est \u00e9quip\u00e9 de capacit\u00e9s pour enregistrer les frappes au clavier et d\u00e9ployer d’autres logiciels malveillants.<\/p>\n “Le logiciel malveillant peut fonctionner comme un proxy de tunnellisation C2, permettant \u00e0 un op\u00e9rateur distant de pivoter vers d’autres syst\u00e8mes et de se d\u00e9placer plus loin dans un r\u00e9seau”, ont not\u00e9 les agences, ajoutant qu’il offre \u00e9galement un “acc\u00e8s \u00e0 l’interface utilisateur graphique (GUI) sur un syst\u00e8me Windows cible. bureau.”<\/p>\n Les scripts PowerShell, observ\u00e9s dans l’environnement de production d’une deuxi\u00e8me organisation, ont facilit\u00e9 le mouvement lat\u00e9ral, permettant aux acteurs APT d’implanter des logiciels malveillants de chargeur contenant des ex\u00e9cutables qui incluent la possibilit\u00e9 de surveiller \u00e0 distance le bureau d’un syst\u00e8me, d’obtenir un acc\u00e8s invers\u00e9 au shell, d’exfiltrer des donn\u00e9es et de t\u00e9l\u00e9charger et ex\u00e9cuter les binaires de la prochaine \u00e9tape.<\/p>\n De plus, le collectif contradictoire a exploit\u00e9 CVE-2022-22954, une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance dans VMware Workspace ONE Access et Identity Manager qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e en avril 2022, pour implanter le shell Web Dingo J-spy.<\/p>\n L’activit\u00e9 continue li\u00e9e \u00e0 Log4Shell, m\u00eame apr\u00e8s plus de six mois, sugg\u00e8re que la faille est d’un grand int\u00e9r\u00eat pour les attaquants, y compris les acteurs des menaces persistantes avanc\u00e9es (APT) parrain\u00e9s par l’\u00c9tat, qui ont cibl\u00e9 de mani\u00e8re opportuniste des serveurs non corrig\u00e9s pour prendre pied pour une activit\u00e9 de suivi. .<\/p>\n Selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 ExtraHop, les vuln\u00e9rabilit\u00e9s de Log4j ont fait l’objet de tentatives d’analyse incessantes, les secteurs de la finance et de la sant\u00e9 devenant un march\u00e9 d\u00e9mesur\u00e9 pour les attaques potentielles.<\/p>\n “Log4j est l\u00e0 pour rester, nous verrons des attaquants l’exploiter encore et encore”, a d\u00e9clar\u00e9 Randori, propri\u00e9t\u00e9 d’IBM. a dit<\/a> dans un rapport d’avril 2022. “Log4j enfoui profond\u00e9ment dans des couches et des couches de code tiers partag\u00e9, ce qui nous am\u00e8ne \u00e0 la conclusion que nous verrons des instances de la vuln\u00e9rabilit\u00e9 Log4j exploit\u00e9es dans des services utilis\u00e9s par des organisations qui utilisent beaucoup d’open source.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n