Un cybermercenaire qui “vendait ostensiblement des services g\u00e9n\u00e9raux de s\u00e9curit\u00e9 et d’analyse d’informations \u00e0 des clients commerciaux” a utilis\u00e9 plusieurs exploits Windows et Adobe zero-day dans des attaques limit\u00e9es et tr\u00e8s cibl\u00e9es contre des entit\u00e9s europ\u00e9ennes et d’Am\u00e9rique centrale.<\/p>\n
La soci\u00e9t\u00e9, que Microsoft d\u00e9crit comme un acteur offensif du secteur priv\u00e9 (PSOA), est une soci\u00e9t\u00e9 bas\u00e9e en Autriche appel\u00e9e DSIRF<\/a> qui est li\u00e9 au d\u00e9veloppement et \u00e0 la tentative de vente d’une pi\u00e8ce d’arme cybern\u00e9tique appel\u00e9e Sous z\u00e9ro<\/b>qui peut \u00eatre utilis\u00e9 pour pirater les t\u00e9l\u00e9phones, les ordinateurs et les appareils connect\u00e9s \u00e0 Internet des cibles.<\/p>\n “Les victimes observ\u00e9es \u00e0 ce jour comprennent des cabinets d’avocats, des banques et des consultants strat\u00e9giques dans des pays tels que l’Autriche, le Royaume-Uni et le Panama”, ont d\u00e9clar\u00e9 les \u00e9quipes de cybers\u00e9curit\u00e9 du g\u00e9ant de la technologie. a dit<\/a> dans un rapport de mercredi.<\/p>\n Microsoft est suivi<\/a> l’acteur sous le nom de KNOTWEED, poursuivant sa tendance \u00e0 nommer les PSOA en utilisant les noms donn\u00e9s aux arbres et arbustes. La soci\u00e9t\u00e9 avait pr\u00e9c\u00e9demment d\u00e9sign\u00e9 le nom SOURGUM pour le fournisseur isra\u00e9lien de logiciels espions Candiru.<\/p>\n KNOTWEED est connu pour se lancer \u00e0 la fois dans des op\u00e9rations d’acc\u00e8s en tant que service et de piratage pour compte d’autrui, offrant son ensemble d’outils \u00e0 des tiers et s’associant directement \u00e0 certaines attaques.<\/p>\n Alors que le premier implique la vente d’outils de piratage de bout en bout qui peuvent \u00eatre utilis\u00e9s par l’acheteur dans ses propres op\u00e9rations sans l’implication de l’acteur offensif, les groupes de hack-for-hire g\u00e8rent les op\u00e9rations cibl\u00e9es pour le compte de leurs clients.<\/p>\n On dit que le d\u00e9ploiement de Subzero se produit par l’exploitation de plusieurs probl\u00e8mes, y compris une cha\u00eene d’exploitation qui exploite une faille d’ex\u00e9cution de code \u00e0 distance (RCE) d’Adobe Reader et un bogue d’escalade de privil\u00e8ges de z\u00e9ro jour (CVE-2022-22047), ce dernier d’entre eux. qui a \u00e9t\u00e9 abord\u00e9 par Microsoft dans le cadre de ses mises \u00e0 jour du Patch Tuesday de juillet.<\/p>\n “CVE-2022-22047 a \u00e9t\u00e9 utilis\u00e9 dans les attaques li\u00e9es \u00e0 KNOTWEED pour l’\u00e9l\u00e9vation des privil\u00e8ges. La vuln\u00e9rabilit\u00e9 a \u00e9galement permis d’\u00e9chapper aux bacs \u00e0 sable et d’ex\u00e9cuter du code au niveau du syst\u00e8me”, a expliqu\u00e9 Microsoft.<\/p>\n Des cha\u00eenes d’attaques similaires observ\u00e9es en 2021 ont exploit\u00e9 une combinaison de deux exploits d’escalade de privil\u00e8ges Windows (CVE-2021-31199 et CVE-2021-31201) en conjonction avec une faille Adobe Reader (CVE-2021-28550). Les trois vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 r\u00e9solues en juin 2021.<\/p>\n Le d\u00e9ploiement de Subzero s’est ensuite produit via un quatri\u00e8me exploit, cette fois en profitant d’une vuln\u00e9rabilit\u00e9 d’escalade de privil\u00e8ges dans le service Windows Update Medic (CVE-2021-36948), qui a \u00e9t\u00e9 ferm\u00e9 par Microsoft en ao\u00fbt 2021.<\/p>\n Au-del\u00e0 de ces cha\u00eenes d’exploitation, des fichiers Excel se faisant passer pour des documents immobiliers ont \u00e9t\u00e9 utilis\u00e9s comme conduit pour diffuser le logiciel malveillant, les fichiers contenant des macros Excel 4.0 con\u00e7ues pour lancer le processus d’infection.<\/p>\n Quelle que soit la m\u00e9thode employ\u00e9e, les intrusions aboutissent \u00e0 l’ex\u00e9cution d’un shellcode, qui est utilis\u00e9 pour r\u00e9cup\u00e9rer une charge utile de deuxi\u00e8me \u00e9tape appel\u00e9e Corelump \u00e0 partir d’un serveur distant sous la forme d’une image JPEG qui embarque \u00e9galement un chargeur nomm\u00e9 Jumplump qui, \u00e0 son tour, charge Corelump en m\u00e9moire.<\/p>\n L’implant \u00e9vasif est livr\u00e9 avec un large \u00e9ventail de fonctionnalit\u00e9s, notamment l’enregistrement de frappe, la capture de captures d’\u00e9cran, l’exfiltration de fichiers, l’ex\u00e9cution d’un shell distant et l’ex\u00e9cution de plug-ins arbitraires t\u00e9l\u00e9charg\u00e9s \u00e0 partir du serveur distant.<\/p>\n Des utilitaires sur mesure comme Mex, un outil de ligne de commande pour ex\u00e9cuter des plugins de s\u00e9curit\u00e9 open source comme Chisel, et PassLib, un outil pour vider les informations d’identification des navigateurs Web, des clients de messagerie et du gestionnaire d’informations d’identification Windows, ont \u00e9galement \u00e9t\u00e9 d\u00e9ploy\u00e9s pendant les attaques.<\/p>\n Microsoft a d\u00e9clar\u00e9 avoir d\u00e9couvert que KNOTWEED servait activement des logiciels malveillants depuis f\u00e9vrier 2020 via une infrastructure h\u00e9berg\u00e9e sur DigitalOcean et Choopa, en plus d’identifier les sous-domaines utilis\u00e9s pour le d\u00e9veloppement de logiciels malveillants, le d\u00e9bogage de Mex et la mise en sc\u00e8ne de la charge utile Subzero.<\/p>\n De multiples liens ont \u00e9galement \u00e9t\u00e9 d\u00e9couverts entre DSIRF et les outils malveillants utilis\u00e9s dans les attaques de KNOTWEED.<\/p>\n “Il s’agit notamment de l’infrastructure de commande et de contr\u00f4le utilis\u00e9e par le logiciel malveillant directement li\u00e9 \u00e0 DSIRF, d’un compte GitHub associ\u00e9 \u00e0 DSIRF utilis\u00e9 dans une attaque, d’un certificat de signature de code d\u00e9livr\u00e9 \u00e0 DSIRF utilis\u00e9 pour signer un exploit, et d’autres nouvelles open source rapports attribuant Subzero au DSIRF \u00bb, a not\u00e9 Redmond.<\/p>\n Subzero n’est pas diff\u00e9rent des logiciels malveillants standard tels que Pegasus, Predator, Hermit et DevilsTongue, qui sont capables d’infiltrer les t\u00e9l\u00e9phones et les machines Windows pour contr\u00f4ler \u00e0 distance les appareils et siphonner les donn\u00e9es, parfois sans obliger l’utilisateur \u00e0 cliquer sur un lien malveillant.<\/p>\n Au contraire, les derni\u00e8res d\u00e9couvertes mettent en \u00e9vidence un march\u00e9 international en plein essor pour ces technologies de surveillance sophistiqu\u00e9es permettant de mener des attaques cibl\u00e9es contre des membres de la soci\u00e9t\u00e9 civile.<\/p>\n Bien que les entreprises qui vendent des logiciels espions commerciaux annoncent leurs produits comme un moyen de lutter contre les crimes graves, les preuves recueillies jusqu’\u00e0 pr\u00e9sent ont r\u00e9v\u00e9l\u00e9 plusieurs cas d’utilisation abusive de ces outils par des gouvernements autoritaires et des organisations priv\u00e9es pour espionner les d\u00e9fenseurs des droits de l’homme, les journalistes, les dissidents et les politiciens.<\/p>\n Le Threat Analysis Group (TAG) de Google, qui suit plus de 30 fournisseurs qui proposent des exploits ou des capacit\u00e9s de surveillance \u00e0 des acteurs parrain\u00e9s par l’\u00c9tat, a d\u00e9clar\u00e9 que l’\u00e9cosyst\u00e8me en plein essor souligne “la mesure dans laquelle les fournisseurs commerciaux de surveillance ont prolif\u00e9r\u00e9 des capacit\u00e9s historiquement utilis\u00e9es uniquement par les gouvernements”.<\/p>\n “Ces fournisseurs disposent d’une expertise technique approfondie pour d\u00e9velopper et op\u00e9rationnaliser des exploits”, a d\u00e9clar\u00e9 Shane Huntley de TAG. a dit<\/a> dans un t\u00e9moignage devant le US House Intelligence Committee mercredi, ajoutant que “son utilisation est en croissance, aliment\u00e9e par la demande des gouvernements”.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n