Des acteurs malveillants tels que Kinsing profitent des failles de s\u00e9curit\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9es et plus anciennes dans Oracle WebLogic Server pour fournir des logiciels malveillants d’extraction de crypto-monnaie.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro l’a dit trouv\u00e9<\/a> le groupe \u00e0 motivation financi\u00e8re tirant parti de la vuln\u00e9rabilit\u00e9 pour supprimer les scripts Python avec des capacit\u00e9s pour d\u00e9sactiver les fonctionnalit\u00e9s de s\u00e9curit\u00e9 du syst\u00e8me d’exploitation (OS) telles que Security-Enhanced Linux (SELinux<\/a>), et d’autres.<\/p>\n Les op\u00e9rateurs derri\u00e8re le Logiciel malveillant Kinsing<\/a> avoir un historique de recherche de serveurs vuln\u00e9rables pour les coopter dans un botnet, y compris celui de Redis<\/a>, Pile de sel<\/a>Log4Shell, Spring4Shell et la faille Atlassian Confluence (CVE-2022-26134).<\/p>\n Les acteurs de Kinsing ont \u00e9galement \u00e9t\u00e9 impliqu\u00e9s dans des campagnes contre les environnements de conteneurs via ports API Docker Daemon ouverts mal configur\u00e9s<\/a> pour lancer un crypto-mineur et ensuite propager le malware \u00e0 d’autres conteneurs et h\u00f4tes.<\/p>\n La derni\u00e8re vague d’attaques implique l’armement de l’acteur CVE-2020-14882<\/a> (score CVSS : 9,8), un bogue d’ex\u00e9cution de code \u00e0 distance (RCE) vieux de deux ans, contre des serveurs non corrig\u00e9s pour prendre le contr\u00f4le du serveur et supprimer les charges utiles malveillantes.<\/p>\n Il convient de noter que la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 exploit\u00e9e dans le pass\u00e9 par plusieurs botnets pour distribuer les mineurs Monero et la porte d\u00e9rob\u00e9e Tsunami sur les syst\u00e8mes Linux infect\u00e9s. <\/p>\n L’exploitation r\u00e9ussie de la faille a \u00e9t\u00e9 suivie par le d\u00e9ploiement d’un script shell responsable d’une s\u00e9rie d’actions\u00a0: suppression du \/var\/log\/syslog<\/a> journal syst\u00e8me, d\u00e9sactivant les fonctions de s\u00e9curit\u00e9 et les agents de service cloud d’Alibaba et de Tencent, et tuant les processus de minage concurrents.<\/p>\n Le script shell proc\u00e8de ensuite au t\u00e9l\u00e9chargement du logiciel malveillant Kinsing \u00e0 partir d’un serveur distant, tout en prenant des mesures pour assurer la persistance au moyen d’une t\u00e2che cron.<\/p>\n “L’exploitation r\u00e9ussie de cette vuln\u00e9rabilit\u00e9 peut conduire \u00e0 RCE, qui peut permettre aux attaquants d’effectuer une pl\u00e9thore d’activit\u00e9s malveillantes sur les syst\u00e8mes affect\u00e9s”, a d\u00e9clar\u00e9 Trend Micro. “Cela peut aller de l’ex\u00e9cution de logiciels malveillants […] au vol de donn\u00e9es critiques, et m\u00eame au contr\u00f4le complet d’une machine compromise.”<\/p>\n Le d\u00e9veloppement intervient alors que les chercheurs d’Aqua Security ont identifi\u00e9 trois nouvelles attaques li\u00e9es \u00e0 un autre groupe de cryptojacking “vibrant” appel\u00e9 TeamTNT, qui a volontairement ferm\u00e9 ses portes en novembre 2021.<\/p>\n “TeamTNT a recherch\u00e9 un d\u00e9mon Docker mal configur\u00e9 et d\u00e9ploy\u00e9 alpine, une image de conteneur vanille, avec une ligne de commande pour t\u00e9l\u00e9charger un script shell (k.sh) sur un serveur C2”, a d\u00e9clar\u00e9 le chercheur d’Aqua Security, Assaf Morag. a dit<\/a>.<\/p>\n Ce qui est remarquable \u00e0 propos de la cha\u00eene d’attaque, c’est qu’elle semble \u00eatre con\u00e7ue pour briser Cryptage SECP256K1<\/a>, qui, en cas de succ\u00e8s, pourrait donner \u00e0 l’acteur la possibilit\u00e9 de calculer les cl\u00e9s de n’importe quel portefeuille de crypto-monnaie. Autrement dit, l’id\u00e9e est de tirer parti de la puissance de calcul \u00e9lev\u00e9e mais ill\u00e9gale de ses cibles pour ex\u00e9cuter le solveur ECDLP et obtenir la cl\u00e9.<\/p>\n Deux autres attaques mont\u00e9es par le groupe impliquent l’exploitation de serveurs Redis expos\u00e9s<\/a> et des API Docker mal configur\u00e9es pour d\u00e9ployer des mineurs de pi\u00e8ces et des binaires Tsunami.<\/p>\n Le ciblage par TeamTNT des API Docker REST a \u00e9t\u00e9 bien document\u00e9 au cours de la derni\u00e8re ann\u00e9e. Mais dans un erreur de s\u00e9curit\u00e9 op\u00e9rationnelle<\/a> rep\u00e9r\u00e9 par Trend Micro, les informations d’identification associ\u00e9es \u00e0 deux des comptes DockerHub contr\u00f4l\u00e9s par l’attaquant ont \u00e9t\u00e9 d\u00e9couvertes.<\/p>\n Les comptes \u2013 alpineos et sandeep078 \u2013 auraient \u00e9t\u00e9 utilis\u00e9s pour distribuer une vari\u00e9t\u00e9 de charges utiles malveillantes telles que des rootkits, des kits d’exploitation Kubernetes, des voleurs d’informations d’identification, des mineurs XMRig Monero et m\u00eame le malware Kinsing.<\/p>\n “Le compte alpineos a \u00e9t\u00e9 utilis\u00e9 \u00e0 trois reprises dans des tentatives d’exploitation de nos pots de miel, de la mi-septembre au d\u00e9but octobre 2021, et nous avons suivi les adresses IP des d\u00e9ploiements jusqu’\u00e0 leur emplacement en Allemagne”, a d\u00e9clar\u00e9 Nitesh Surana de Trend Micro. a dit<\/a>.<\/p>\n “Les acteurs de la menace \u00e9taient connect\u00e9s \u00e0 leurs comptes sur le registre DockerHub et ont probablement oubli\u00e9 de se d\u00e9connecter.” Alternativement, “les acteurs de la menace se sont connect\u00e9s \u00e0 leur compte DockerHub en utilisant les informations d’identification d’alpineos”.<\/p>\n Trend Micro a d\u00e9clar\u00e9 que l’image alpineos malveillante avait \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9e plus de 150 000 fois, ajoutant qu’elle avait inform\u00e9 Docker de ces comptes. <\/p>\n Il recommande \u00e9galement aux organisations de configurer l’API REST expos\u00e9e avec TLS pour att\u00e9nuer les attaques de l’adversaire au milieu (AiTM), ainsi que d’utiliser les magasins d’informations d’identification et aides<\/a> pour h\u00e9berger les informations d’identification de l’utilisateur.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663330893_201_Les-pirates-ciblant-les-serveurs-WebLogic-et-les-API-Docker.jpg\")
<\/div>\nLes acteurs de TeamTNT font leur grand retour avec Kangaroo Attack<\/strong><\/h2>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663330893_376_Les-pirates-ciblant-les-serveurs-WebLogic-et-les-API-Docker.jpg\")
<\/div>\n