Le g\u00e9ant de l’\u00e9quipement r\u00e9seau Cisco a confirm\u00e9 mercredi avoir \u00e9t\u00e9 victime d’une cyberattaque le 24 mai 2022 apr\u00e8s que les attaquants ont mis la main sur le compte Google personnel d’un employ\u00e9 qui contenait des mots de passe synchronis\u00e9s \u00e0 partir de son navigateur Web.<\/p>\n
“L’acc\u00e8s initial au VPN Cisco a \u00e9t\u00e9 obtenu gr\u00e2ce \u00e0 la compromission r\u00e9ussie du compte Google personnel d’un employ\u00e9 de Cisco”, a d\u00e9clar\u00e9 Cisco Talos. a dit<\/a> dans un \u00e9crit d\u00e9taill\u00e9. “L’utilisateur avait activ\u00e9 la synchronisation du mot de passe via Google Chrome et avait stock\u00e9 ses informations d’identification Cisco dans son navigateur, permettant \u00e0 ces informations de se synchroniser avec son compte Google.”<\/p>\n La divulgation intervient alors que des acteurs cybercriminels associ\u00e9s au gang de ran\u00e7ongiciels Yanluowang publi\u00e9 une liste de fichiers<\/a> de la violation \u00e0 leur site de fuite de donn\u00e9es le 10 ao\u00fbt.<\/p>\n Les informations exfiltr\u00e9es, selon Talos, comprenaient le contenu d’un dossier de stockage en nuage Box qui \u00e9tait associ\u00e9 au compte de l’employ\u00e9 compromis et ne semble pas avoir inclus de donn\u00e9es pr\u00e9cieuses.<\/p>\n Outre le vol d’informations d’identification, il y avait \u00e9galement un \u00e9l\u00e9ment suppl\u00e9mentaire de phishing dans lequel l’adversaire recourait \u00e0 des m\u00e9thodes telles que le vishing (alias phishing vocal) et la fatigue de l’authentification multifacteur (MFA) pour inciter la victime \u00e0 fournir un acc\u00e8s au client VPN.<\/p>\n La fatigue MFA ou bombardement rapide est le nom donn\u00e9 \u00e0 une technique utilis\u00e9e par les acteurs de la menace pour inonder l’application d’authentification d’un utilisateur de notifications push dans l’espoir qu’ils c\u00e8dent et permettent ainsi \u00e0 un attaquant d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 un compte.<\/p>\n “L’attaquant a finalement r\u00e9ussi \u00e0 obtenir une acceptation push MFA, lui accordant l’acc\u00e8s au VPN dans le contexte de l’utilisateur cibl\u00e9”, a not\u00e9 Talos.<\/p>\n Apr\u00e8s avoir pris pied dans l’environnement, l’attaquant s’est d\u00e9plac\u00e9 pour inscrire une s\u00e9rie de nouveaux appareils pour MFA et est pass\u00e9 aux privil\u00e8ges administratifs, leur donnant de larges autorisations pour se connecter \u00e0 plusieurs syst\u00e8mes – une action qui a \u00e9galement attir\u00e9 l’attention des \u00e9quipes de s\u00e9curit\u00e9 de Cisco.<\/p>\n L’acteur mena\u00e7ant, qu’il a attribu\u00e9 \u00e0 un courtier d’acc\u00e8s initial (IAB) ayant des liens avec le gang de cybercriminels UNC2447, le groupe d’acteurs mena\u00e7ants LAPSUS$ et les op\u00e9rateurs de ran\u00e7ongiciels Yanluowang, a \u00e9galement pris des mesures pour ajouter ses propres comptes de porte d\u00e9rob\u00e9e et m\u00e9canismes de persistance.<\/p>\n UNC2447, un acteur \u00ab\u00a0agressif\u00a0\u00bb financi\u00e8rement motiv\u00e9 par le lien avec la Russie, a \u00e9t\u00e9 d\u00e9couvert en avril 2021 en exploitant une faille zero-day dans SonicWall VPN pour supprimer le ran\u00e7ongiciel FIVEHANDS.<\/p>\n Yanluowang, du nom d’un divinit\u00e9 chinoise<\/a>est une variante de ransomware qui a \u00e9t\u00e9 utilis\u00e9e contre des entreprises aux \u00c9tats-Unis, au Br\u00e9sil et en Turquie depuis ao\u00fbt 2021<\/a>. Au d\u00e9but du mois d’avril, une faille dans son algorithme de chiffrement a permis \u00e0 Kaspersky de pirater le malware<\/a> et offrir un d\u00e9crypteur gratuit pour aider les victimes.<\/p>\n En outre, l’acteur aurait d\u00e9ploy\u00e9 une vari\u00e9t\u00e9 d’outils, y compris des utilitaires d’acc\u00e8s \u00e0 distance comme LogMeIn et TeamViewer, des outils de s\u00e9curit\u00e9 offensifs tels que Cobalt Strike, PowerSploit, Mimikatz et Impacket visant \u00e0 augmenter leur niveau d’acc\u00e8s aux syst\u00e8mes du r\u00e9seau.<\/p>\n “Apr\u00e8s avoir \u00e9tabli l’acc\u00e8s au VPN, l’attaquant a alors commenc\u00e9 \u00e0 utiliser le compte utilisateur compromis pour se connecter \u00e0 un grand nombre de syst\u00e8mes avant de commencer \u00e0 pivoter plus loin dans l’environnement”, a-t-il expliqu\u00e9. “Ils sont pass\u00e9s \u00e0 l’environnement Citrix, compromettant une s\u00e9rie de serveurs Citrix et ont finalement obtenu un acc\u00e8s privil\u00e9gi\u00e9 aux contr\u00f4leurs de domaine.”<\/p>\n Les acteurs de la menace ont \u00e9galement \u00e9t\u00e9 observ\u00e9s par la suite en train de d\u00e9placer des fichiers entre les syst\u00e8mes de l’environnement \u00e0 l’aide du protocole RDP (Remote Desktop Protocol) et de Citrix en modifiant les configurations de pare-feu bas\u00e9es sur l’h\u00f4te, sans parler de la mise en sc\u00e8ne de l’ensemble d’outils dans des emplacements de r\u00e9pertoire sous le profil d’utilisateur public sur les h\u00f4tes compromis.<\/p>\n Cela dit, aucun ran\u00e7ongiciel n’a \u00e9t\u00e9 d\u00e9ploy\u00e9. “Bien que nous n’ayons pas observ\u00e9 de d\u00e9ploiement de ransomware dans cette attaque, les TTP utilis\u00e9s \u00e9taient coh\u00e9rents avec” l’activit\u00e9 pr\u00e9-ransomware “, activit\u00e9 couramment observ\u00e9e menant au d\u00e9ploiement de ransomware dans les environnements victimes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Cisco a en outre not\u00e9 que les attaquants, apr\u00e8s avoir \u00e9t\u00e9 d\u00e9marr\u00e9s, ont tent\u00e9 d’\u00e9tablir des communications par e-mail avec les dirigeants de l’entreprise au moins trois fois, les exhortant \u00e0 payer et que “personne ne sera au courant de l’incident et de la fuite d’informations”. L’e-mail comprenait \u00e9galement une capture d’\u00e9cran de la liste des r\u00e9pertoires du dossier Box exfiltr\u00e9.<\/p>\n En plus de lancer une r\u00e9initialisation de mot de passe \u00e0 l’\u00e9chelle de l’entreprise, la soci\u00e9t\u00e9 bas\u00e9e \u00e0 San Jose stress\u00e9<\/a> l’incident n’a eu aucun impact sur ses op\u00e9rations commerciales ou a entra\u00een\u00e9 un acc\u00e8s non autoris\u00e9 aux donn\u00e9es sensibles des clients, aux informations des employ\u00e9s et \u00e0 la propri\u00e9t\u00e9 intellectuelle, ajoutant qu’il “a r\u00e9ussi \u00e0 bloquer les tentatives” d’acc\u00e8s \u00e0 son r\u00e9seau depuis lors.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n