Une intrusion pr\u00e9sum\u00e9e de ransomware contre une cible non identifi\u00e9e a utilis\u00e9 une appliance Mitel VoIP comme point d’entr\u00e9e pour ex\u00e9cuter du code \u00e0 distance et obtenir un acc\u00e8s initial \u00e0 l’environnement.<\/p>\n
La r\u00e9sultats<\/a> proviennent de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike, qui a retrac\u00e9 la source de l’attaque \u00e0 un appareil Mitel VoIP bas\u00e9 sur Linux assis sur le p\u00e9rim\u00e8tre du r\u00e9seau, tout en identifiant \u00e9galement un exploit jusque-l\u00e0 inconnu ainsi que quelques mesures anti-l\u00e9gales adopt\u00e9es par l’acteur sur le appareil pour effacer les traces de leurs actions.<\/p>\n L’exploit en question est suivi comme CVE-2022-29499<\/a> et a \u00e9t\u00e9 corrig\u00e9 par Mitel en avril 2022. Il est not\u00e9 9,8 sur 10 pour la gravit\u00e9 sur le syst\u00e8me de notation des vuln\u00e9rabilit\u00e9s CVSS, ce qui en fait une lacune critique.<\/p>\n “Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le composant Mitel Service Appliance de MiVoice Connect (Mitel Service Appliances – SA 100, SA 400 et Virtual SA) qui pourrait permettre \u00e0 un acteur malveillant d’ex\u00e9cuter du code \u00e0 distance (CVE-2022-29499) dans le contexte du Service Appliance \u00bb, la soci\u00e9t\u00e9 c’est not\u00e9<\/a> dans un avis.<\/p>\n L’exploit impliquait deux Requ\u00eates HTTP GET<\/a> – qui sont utilis\u00e9s pour r\u00e9cup\u00e9rer une ressource sp\u00e9cifique \u00e0 partir d’un serveur – pour d\u00e9clencher l’ex\u00e9cution de code \u00e0 distance en r\u00e9cup\u00e9rant des commandes malveillantes \u00e0 partir de l’infrastructure contr\u00f4l\u00e9e par l’attaquant.<\/p>\n Dans l’incident enqu\u00eat\u00e9 par CrowdStrike, l’attaquant aurait utilis\u00e9 l’exploit pour cr\u00e9er un shell invers\u00e9, l’utilisant pour lancer un shell Web (“pdf_import.php”) sur l’appliance VoIP et t\u00e9l\u00e9charger l’open source Ciseau<\/a> outil proxy.<\/p>\n Le binaire a ensuite \u00e9t\u00e9 ex\u00e9cut\u00e9, mais seulement apr\u00e8s l’avoir renomm\u00e9 en “memdump<\/a>” dans une tentative de voler sous le radar et d’utiliser l’utilitaire comme ” proxy inverse pour permettre \u00e0 l’acteur de la menace de pivoter plus loin dans l’environnement via l’appareil VOIP. ” Mais la d\u00e9tection ult\u00e9rieure de l’activit\u00e9 a stopp\u00e9 leur progression et les a emp\u00each\u00e9s de se d\u00e9placer lat\u00e9ralement \u00e0 travers le r\u00e9seau.<\/p>\n
![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n