Un logiciel malveillant r\u00e9cemment d\u00e9couvert a \u00e9t\u00e9 utilis\u00e9 dans la nature au moins depuis mars 2021 pour d\u00e9tourner les serveurs Microsoft Exchange appartenant \u00e0 un large \u00e9ventail d’entit\u00e9s dans le monde, avec des infections persistantes dans 20 organisations en juin 2022.<\/p>\n
Doubl\u00e9 Gestionnaire de session<\/strong>l’outil malveillant se fait passer pour un module pour Internet Information Services (IIS<\/a>), un logiciel de serveur Web pour les syst\u00e8mes Windows, apr\u00e8s avoir exploit\u00e9 l’une des failles ProxyLogon dans les serveurs Exchange. <\/p>\n Les cibles comprenaient 24 ONG distinctes, des organisations gouvernementales, militaires et industrielles couvrant l’Afrique, l’Am\u00e9rique du Sud, l’Asie, l’Europe, la Russie et le Moyen-Orient. \u00c0 ce jour, 34 serveurs au total ont \u00e9t\u00e9 compromis par une variante de SessionManager.<\/p>\n C’est loin d’\u00eatre la premi\u00e8re fois que la technique est observ\u00e9e dans des attaques r\u00e9elles. L’utilisation d’un module IIS escroc comme moyen de distribuer des implants furtifs refl\u00e8te la tactique d’un voleur d’informations d’identification appel\u00e9 Owowa qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 en d\u00e9cembre 2021.<\/p>\n “La suppression d’un module IIS en tant que porte d\u00e9rob\u00e9e permet aux pirates de maintenir un acc\u00e8s persistant, r\u00e9sistant aux mises \u00e0 jour et relativement furtif \u00e0 l’infrastructure informatique d’une organisation cibl\u00e9e\u00a0; que ce soit pour collecter des e-mails, mettre \u00e0 jour d’autres acc\u00e8s malveillants ou g\u00e9rer clandestinement des serveurs compromis qui peuvent \u00eatre comme une infrastructure malveillante \u00bb, Pierre Delcher, chercheur chez Kaspersky a dit<\/a>.<\/p>\n La soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 a attribu\u00e9 les intrusions avec un niveau de confiance moyen \u00e0 \u00e9lev\u00e9 \u00e0 un adversaire suivi sous le nom de Gelsemium, citant des chevauchements dans les \u00e9chantillons de logiciels malveillants li\u00e9s aux deux groupes et aux victimes cibl\u00e9es.<\/p>\n ProxyLogon, depuis sa divulgation en mars 2021, a attir\u00e9 l’attention r\u00e9p\u00e9t\u00e9e de plusieurs acteurs de la menace, et la derni\u00e8re cha\u00eene d’attaque ne fait pas exception, l’\u00e9quipe de Gelsemium exploitant les failles pour supprimer SessionManager, une porte d\u00e9rob\u00e9e cod\u00e9e en C++ et con\u00e7ue pour traiter HTTP requ\u00eates envoy\u00e9es au serveur.<\/p>\n “De tels modules malveillants s’attendent g\u00e9n\u00e9ralement \u00e0 des requ\u00eates HTTP apparemment l\u00e9gitimes mais sp\u00e9cifiquement con\u00e7ues de la part de leurs op\u00e9rateurs, d\u00e9clenchent des actions bas\u00e9es sur les instructions cach\u00e9es des op\u00e9rateurs, le cas \u00e9ch\u00e9ant, puis transmettent de mani\u00e8re transparente la requ\u00eate au serveur pour qu’elle soit trait\u00e9e comme n’importe quelle autre requ\u00eate”, a d\u00e9clar\u00e9 Delcher. expliqu\u00e9.<\/p>\n Consid\u00e9r\u00e9 comme une “porte d\u00e9rob\u00e9e d’acc\u00e8s initial persistant l\u00e9ger”, SessionManager est livr\u00e9 avec des capacit\u00e9s de lecture, d’\u00e9criture et de suppression de fichiers arbitraires\u00a0; ex\u00e9cuter des binaires depuis le serveur\u00a0; et \u00e9tablir des communications avec d’autres terminaux du r\u00e9seau.<\/p>\n Le logiciel malveillant agit en outre comme un canal secret pour effectuer une reconnaissance, collecter des mots de passe en m\u00e9moire et fournir des outils suppl\u00e9mentaires tels que Mimikatz ainsi qu’un utilitaire de vidage de m\u00e9moire d’Avast.<\/p>\n Les conclusions interviennent alors que la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis exhort\u00e9<\/a> les agences gouvernementales et les entit\u00e9s du secteur priv\u00e9 utilisant la plate-forme Exchange pour passer de l’ancienne m\u00e9thode d’authentification de base aux alternatives d’authentification moderne avant son d\u00e9sapprobation<\/a> le 1er octobre 2022.<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656672569_13_Nouvelle-porte-derobee-SessionManager-ciblant-les-serveurs-Microsoft-IIS-dans.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n