Un acteur mena\u00e7ant associ\u00e9 au LockBit 3.0<\/b> Une op\u00e9ration de ransomware-as-a-service (RaaS) a \u00e9t\u00e9 observ\u00e9e abusant de l’outil de ligne de commande Windows Defender pour d\u00e9chiffrer et charger les charges utiles Cobalt Strike. <\/p>\n
Selon un rapport publi\u00e9 par SentinelOne la semaine derni\u00e8re, l’incident s’est produit apr\u00e8s l’obtention d’un acc\u00e8s initial via la vuln\u00e9rabilit\u00e9 Log4Shell contre un serveur VMware Horizon non corrig\u00e9.<\/p>\n
“Une fois l’acc\u00e8s initial obtenu, les acteurs de la menace ont ex\u00e9cut\u00e9 une s\u00e9rie de commandes d’\u00e9num\u00e9ration et tent\u00e9 d’ex\u00e9cuter plusieurs outils de post-exploitation, notamment Meterpreter, PowerShell Empire et une nouvelle fa\u00e7on de charger Cobalt Strike”, ont d\u00e9clar\u00e9 les chercheurs Julio Dantas, James Haughom et Julien Reisdorffer a dit<\/a>.<\/p>\n LockBit 3.0 (alias LockBit Black), qui vient avec le slogan “Make Ransomware Great Again!”, est la prochaine it\u00e9ration du prolifique Famille LockBit RaaS<\/a> qui a \u00e9merg\u00e9 en juin 2022 pour aplanir faiblesses critiques<\/a> d\u00e9couvert dans son pr\u00e9d\u00e9cesseur.<\/p>\n Il est remarquable d’avoir institu\u00e9 la toute premi\u00e8re prime de bogue pour un programme RaaS. En plus de proposer un site de fuite remani\u00e9 pour nommer et honte les cibles non conformes et publier les donn\u00e9es extraites, il comprend \u00e9galement un nouvel outil de recherche pour faciliter la recherche de donn\u00e9es sp\u00e9cifiques sur les victimes.<\/p>\n L’utilisation de techniques de vie hors de la terre (LotL) par des cyber-intrus, dans lesquelles des logiciels et des fonctions l\u00e9gitimes disponibles dans le syst\u00e8me sont utilis\u00e9s pour la post-exploitation, n’est pas nouvelle et est g\u00e9n\u00e9ralement consid\u00e9r\u00e9e comme une tentative d’\u00e9chapper \u00e0 la d\u00e9tection par un logiciel de s\u00e9curit\u00e9 .<\/p>\n Plus t\u00f4t en avril, il a \u00e9t\u00e9 d\u00e9couvert qu’un affili\u00e9 de LockBit avait \u00e0 effet de levier<\/a> un utilitaire de ligne de commande VMware appel\u00e9 VMwareXferlogs.exe pour supprimer Cobalt Strike. Ce qui est diff\u00e9rent cette fois-ci, c’est l’utilisation de MpCmdRun.exe pour atteindre le m\u00eame objectif.<\/p>\n MpCmdRun.exe est un outil de ligne de commande<\/a> pour ex\u00e9cuter diverses fonctions dans Microsoft Defender Antivirus, y compris la recherche de logiciels malveillants, la collecte de donn\u00e9es de diagnostic et la restauration du service \u00e0 une version pr\u00e9c\u00e9dente, entre autres.<\/p>\n Dans l’incident analys\u00e9 par SentinelOne, l’acc\u00e8s initial a \u00e9t\u00e9 suivi du t\u00e9l\u00e9chargement d’une charge utile Cobalt Strike \u00e0 partir d’un serveur distant, qui a ensuite \u00e9t\u00e9 d\u00e9chiffr\u00e9e et charg\u00e9e \u00e0 l’aide de l’utilitaire Windows Defender.<\/p>\n “Les outils qui devraient faire l’objet d’un examen minutieux sont ceux pour lesquels l’organisation ou le logiciel de s\u00e9curit\u00e9 de l’organisation ont fait des exceptions”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Des produits comme VMware et Windows Defender ont une forte pr\u00e9valence dans l’entreprise et une grande utilit\u00e9 pour les acteurs de la menace s’ils sont autoris\u00e9s \u00e0 op\u00e9rer en dehors des contr\u00f4les de s\u00e9curit\u00e9 install\u00e9s.”<\/p>\n Les d\u00e9couvertes surviennent alors que les courtiers d’acc\u00e8s initiaux (IAB) vendent activement l’acc\u00e8s aux r\u00e9seaux d’entreprise, y compris les fournisseurs de services g\u00e9r\u00e9s (MSP), \u00e0 d’autres acteurs de la menace \u00e0 des fins lucratives, offrant \u00e0 leur tour un moyen de compromettre les clients en aval.<\/p>\n En mai 2022, les autorit\u00e9s de cybers\u00e9curit\u00e9 d’Australie, du Canada, de Nouvelle-Z\u00e9lande, du Royaume-Uni et des \u00c9tats-Unis ont mis en garde contre les attaques militarisant les fournisseurs de services g\u00e9r\u00e9s (MSP) vuln\u00e9rables en tant que “vecteur d’acc\u00e8s initial \u00e0 plusieurs r\u00e9seaux de victimes, avec des effets en cascade \u00e0 l’\u00e9chelle mondiale”.<\/p>\n “Les MSP restent une cible attrayante de la cha\u00eene d’approvisionnement pour les attaquants, en particulier les IAB”, a d\u00e9clar\u00e9 Harlan Carvey, chercheur chez Huntress. a dit<\/a>exhortant les entreprises \u00e0 s\u00e9curiser leurs r\u00e9seaux et \u00e0 mettre en \u0153uvre l’authentification multifacteur (MFA).<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Ran\u00e7ongiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659431484_625_LockBit-Ransomware-abuse-de-Windows-Defender-pour-deployer-la-charge.jpg\" "\\"Ran\u00e7ongiciel")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n