Une grande soci\u00e9t\u00e9 de d\u00e9veloppement de logiciels dont les logiciels sont utilis\u00e9s par diff\u00e9rentes entit\u00e9s \u00e9tatiques en Ukraine a \u00e9t\u00e9 la cible d’un logiciel malveillant “peu commun”, selon une nouvelle \u00e9tude.<\/p>\n
Le malware, observ\u00e9 pour la premi\u00e8re fois le matin du 19 mai 2022, est une variante personnalis\u00e9e de la porte d\u00e9rob\u00e9e open source connue sous le nom de GoMet<\/a> et est con\u00e7u pour maintenir un acc\u00e8s permanent au r\u00e9seau.<\/p>\n “Cet acc\u00e8s pourrait \u00eatre exploit\u00e9 de diverses mani\u00e8res, y compris un acc\u00e8s plus approfondi ou pour lancer des attaques suppl\u00e9mentaires, y compris le potentiel de compromission de la cha\u00eene d’approvisionnement logicielle”, a d\u00e9clar\u00e9 Cisco Talos. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Bien qu’il n’y ait pas d’indicateurs concrets reliant l’attaque \u00e0 un seul acteur ou groupe, l’\u00e9valuation de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 indique une activit\u00e9 de l’\u00c9tat-nation russe.<\/p>\n Les rapports publics sur l’utilisation de GoMet dans des attaques r\u00e9elles n’ont jusqu’\u00e0 pr\u00e9sent d\u00e9couvert que deux cas document\u00e9s\u00a0: un en 2020, co\u00efncidant avec la divulgation de CVE-2020-5902, une faille critique d’ex\u00e9cution de code \u00e0 distance dans le r\u00e9seau BIG-IP de F5. dispositifs.<\/p>\n La deuxi\u00e8me instance a impliqu\u00e9 l’exploitation r\u00e9ussie de CVE-2022-1040, une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance dans Sophos Firewall, par un groupe anonyme de menace persistante avanc\u00e9e (APT) plus t\u00f4t cette ann\u00e9e.<\/p>\n “Nous n’avons pas vu GoMet d\u00e9ploy\u00e9 dans les autres organisations avec lesquelles nous travaillons en \u00e9troite collaboration et surveillons, ce qui implique qu’il est cibl\u00e9 d’une mani\u00e8re ou d’une autre, mais pourrait \u00eatre utilis\u00e9 contre des cibles suppl\u00e9mentaires sur lesquelles nous n’avons pas de visibilit\u00e9”, Nick Biasini, responsable de la sensibilisation pour Cisco Talos, a d\u00e9clar\u00e9 \u00e0 The Hacker News.<\/p>\n “Nous avons \u00e9galement men\u00e9 une analyse historique relativement rigoureuse et voyons tr\u00e8s peu d’utilisation de GoMet historiquement, ce qui indique en outre qu’il est utilis\u00e9 de mani\u00e8re tr\u00e8s cibl\u00e9e.”<\/p>\n GoMet, comme son nom l’indique, est \u00e9crit en Go et est livr\u00e9 avec des fonctionnalit\u00e9s qui permettent \u00e0 l’attaquant de r\u00e9quisitionner \u00e0 distance le syst\u00e8me compromis, y compris le t\u00e9l\u00e9chargement de fichiers, l’ex\u00e9cution de commandes arbitraires et l’utilisation de l’ancrage initial pour se propager \u00e0 d’autres r\u00e9seaux et syst\u00e8mes via ce qui est appel\u00e9 un guirlande<\/a>.<\/p>\n Une autre caract\u00e9ristique notable de l’implant est sa capacit\u00e9 \u00e0 ex\u00e9cuter des t\u00e2ches planifi\u00e9es en utilisant cron<\/a>. Alors que le code d’origine est configur\u00e9 pour ex\u00e9cuter des t\u00e2ches cron une fois par heure, la version modifi\u00e9e de la porte d\u00e9rob\u00e9e utilis\u00e9e dans l’attaque est con\u00e7ue pour s’ex\u00e9cuter toutes les deux secondes et v\u00e9rifier si le logiciel malveillant est connect\u00e9 \u00e0 un serveur de commande et de contr\u00f4le.<\/p>\n “La majorit\u00e9 des attaques que nous avons vues r\u00e9cemment sont li\u00e9es \u00e0 l’acc\u00e8s, soit directement, soit via l’acquisition d’informations d’identification”, a d\u00e9clar\u00e9 Biasini. “C’est un autre exemple de cela avec GoMet d\u00e9ploy\u00e9 en tant que porte d\u00e9rob\u00e9e.”<\/p>\n “Une fois l’acc\u00e8s \u00e9tabli, des reconnaissances suppl\u00e9mentaires et des op\u00e9rations plus approfondies peuvent suivre. Nous nous effor\u00e7ons de tuer les attaques avant qu’elles n’atteignent ce stade, il est donc difficile de pr\u00e9dire les types d’attaques ult\u00e9rieures.”<\/p>\n Les d\u00e9couvertes arrivent alors que le Cyber \u200b\u200b\u200b\u200bCommand am\u00e9ricain mercredi partag\u00e9<\/a> les indicateurs de compromission (IoC) relatifs \u00e0 diff\u00e9rents types de logiciels malveillants tels que GrimPlant, GraphSteel, Cobalt Strike Beacon et MicroBackdoor ciblant les r\u00e9seaux ukrainiens ces derniers mois.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Mandiant a depuis attribu\u00e9<\/a> les attaques de phishing contre deux acteurs d’espionnage suivis sous les noms UNC1151 (alias Ghostwriter) et UNC2589, ce dernier \u00e9tant soup\u00e7onn\u00e9 “d’agir en faveur des int\u00e9r\u00eats du gouvernement russe et de mener une vaste collecte d’espionnage en Ukraine”.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgvfqow2z1XORevUpzKGWWXZ2DP4dMaNi-7cycpa3J_bSZKv0tO6MP40HLl7lvVJDIswOmb6I-YoNMLJym4v9oLZQczujsMqcttB3M_Cvm6E-zLs0XrpwaTZ_SGFjckDfi3CPfijZaii8Z88_btcKeHKKfxm7cDyF3kaVvsirGpb2JWVH0Ot3xGiC2sZg\/s1600\/strike-728.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n