L’infrastructure d’attaque utilis\u00e9e pour cibler Cisco lors de l’incident de mai 2022 a \u00e9galement \u00e9t\u00e9 utilis\u00e9e contre une tentative de compromission d’une soci\u00e9t\u00e9 holding anonyme de solutions de gestion des effectifs un mois plus t\u00f4t en avril 2022.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sentire, qui divulgu\u00e9<\/a> les conclusions, ont soulev\u00e9 la possibilit\u00e9 que les intrusions puissent \u00eatre l’\u0153uvre d’un acteur criminel connu sous le nom de mx1r, qui serait membre du groupe affili\u00e9 Evil Corp surnomm\u00e9 UNC2165.<\/p>\n Evil Corp, les anc\u00eatres du tristement c\u00e9l\u00e8bre cheval de Troie bancaire Dridex, ont, au fil des ans, affin\u00e9 leur modus operandi pour ex\u00e9cuter une s\u00e9rie d’op\u00e9rations de ransomware afin de contourner les sanctions impos\u00e9es par le Tr\u00e9sor am\u00e9ricain en d\u00e9cembre 2019.<\/p>\n L’acc\u00e8s initial au r\u00e9seau informatique de l’entreprise a \u00e9t\u00e9 rendu possible gr\u00e2ce \u00e0 l’utilisation d’identifiants de r\u00e9seau priv\u00e9 virtuel (VPN) vol\u00e9s, puis \u00e0 l’utilisation d’outils pr\u00eats \u00e0 l’emploi pour le d\u00e9placement lat\u00e9ral et l’obtention d’un acc\u00e8s plus approfondi \u00e0 l’environnement de la victime.<\/p>\n “Gr\u00e2ce \u00e0 Cobalt Strike, les attaquants ont pu prendre pied et les actions pratiques ont \u00e9t\u00e9 imm\u00e9diates et rapides \u00e0 partir du moment de l’acc\u00e8s initial jusqu’au moment o\u00f9 l’attaquant a pu enregistrer sa propre machine virtuelle sur le r\u00e9seau VPN de la victime”, eSentire c’est not\u00e9.<\/p>\n Les liens de mx1r avec UNC2165 d\u00e9coulent de chevauchements de tactiques et de techniques avec ceux de UNC2165, y compris la mise en sc\u00e8ne d’un Attaque Kerberoasting<\/a> contre le service Active Directory et l’utilisation de l’acc\u00e8s Remote Desktop Protocol (RDP) pour se propager au sein du r\u00e9seau de l’entreprise.<\/p>\n Nonobstant les connexions, l’infrastructure Cobalt Strike “HiveStrike” utilis\u00e9e pour monter l’attaque correspondrait \u00e0 celle d’un affili\u00e9 Conti ransomware pr\u00e9c\u00e9demment connu pour d\u00e9ployer Ruche et Yanluowang<\/a> souches, ce dernier ayant depuis publi\u00e9 des fichiers vol\u00e9s lors de la br\u00e8che de Cisco fin mai 2022 sur son site de fuite de donn\u00e9es.<\/p>\n Le fabricant d’\u00e9quipements r\u00e9seau a attribu\u00e9 l’incident \u00e0 un courtier d’acc\u00e8s initial (IAB) avec des liens vers trois collectifs diff\u00e9rents\u00a0: UNC2447, LAPSUS$ et Ran\u00e7ongiciel Yanluowang<\/a>.<\/p>\n “Il semble peu probable – mais pas impossible – que Conti pr\u00eate son infrastructure \u00e0 Evil Corp”, a d\u00e9clar\u00e9 eSentire. \u00c0 la lumi\u00e8re du r\u00e9cent pivot d’UNC2165 vers le ran\u00e7ongiciel LockBit, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 “qu’il est plus plausible que la filiale d’Evil Corp\/UNC2165 puisse travailler avec l’une des nouvelles filiales de Conti”.<\/p>\n “Il est \u00e9galement possible que l’acc\u00e8s initial ait \u00e9t\u00e9 n\u00e9goci\u00e9 par une filiale d’Evil Corp mais qu’il ait finalement \u00e9t\u00e9 vendu aux op\u00e9rateurs de Hive et \u00e0 ses filiales”, a-t-il ajout\u00e9.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"Solution](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1662059603_330_Infra-utilise-dans-Cisco-Hack-egalement-une-solution-de-gestion.jpg\" "\\"Solution")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n