Les organisations et les \u00e9quipes de s\u00e9curit\u00e9 s’efforcent de se prot\u00e9ger de toute vuln\u00e9rabilit\u00e9 et ne r\u00e9alisent souvent pas que le risque est \u00e9galement provoqu\u00e9 par des configurations dans leurs applications SaaS qui n’ont pas \u00e9t\u00e9 renforc\u00e9es. La m\u00e9thode d’attaque GIFShell r\u00e9cemment publi\u00e9e, qui se produit via Microsoft Teams, est un exemple parfait de la fa\u00e7on dont les acteurs de la menace peuvent exploiter des fonctionnalit\u00e9s et des configurations l\u00e9gitimes qui n’ont pas \u00e9t\u00e9 correctement d\u00e9finies. Cet article examine ce que la m\u00e9thode implique et les \u00e9tapes n\u00e9cessaires pour la combattre. <\/p>\n
La m\u00e9thode d’attaque GifShell<\/h2>\n
D\u00e9couvert par Bobby Rauch<\/a>, la technique d’attaque GIFShell permet aux acteurs malveillants d’exploiter plusieurs fonctionnalit\u00e9s de Microsoft Teams pour agir en tant que C&C pour les logiciels malveillants et d’exfiltrer des donn\u00e9es \u00e0 l’aide de GIF sans \u00eatre d\u00e9tect\u00e9s par EDR et d’autres outils de surveillance du r\u00e9seau. Cette m\u00e9thode d’attaque n\u00e9cessite un appareil ou un utilisateur d\u00e9j\u00e0 compromis. <\/p>\n D\u00e9couvrez comment un SSPM peut \u00e9valuer, surveiller et corriger les erreurs de configuration SaaS et le risque utilisateur Device-to-SaaS<\/a>.<\/p>\n Le composant principal de cette attaque permet \u00e0 un attaquant de cr\u00e9er un shell invers\u00e9 qui fournit des commandes malveillantes via des GIF encod\u00e9s en base64 dans Teams, et exfiltre la sortie via des GIF r\u00e9cup\u00e9r\u00e9s par la propre infrastructure de Microsoft. <\/p>\n Comme signal\u00e9<\/a> par Lawrence Abrams dans BleepingComputer, Microsoft convient que cette m\u00e9thode d’attaque est un probl\u00e8me, cependant, elle “ne r\u00e9pond pas \u00e0 la barre pour un correctif de s\u00e9curit\u00e9 urgent”. Ils “pourraient prendre des mesures dans une future version pour aider \u00e0 att\u00e9nuer cette technique”. Microsoft reconna\u00eet cette recherche mais affirme qu’aucune limite de s\u00e9curit\u00e9 n’a \u00e9t\u00e9 contourn\u00e9e. <\/p>\n Alors que Rauch affirme qu’en effet “deux vuln\u00e9rabilit\u00e9s suppl\u00e9mentaires d\u00e9couvertes dans Microsoft Teams, un manque d’application des autorisations et l’usurpation de pi\u00e8ce jointe”, Microsoft affirme : “Dans ce cas\u2026 tout cela est post-exploitation et repose sur une cible d\u00e9j\u00e0 compromise”. Microsoft affirme que cette technique utilise des fonctionnalit\u00e9s l\u00e9gitimes de la plate-forme Teams et non quelque chose qu’ils peuvent actuellement att\u00e9nuer. <\/p>\n Conform\u00e9ment aux affirmations de Microsoft, c’est en effet le d\u00e9fi auquel de nombreuses organisations sont confront\u00e9es – il existe des configurations et des fonctionnalit\u00e9s que les acteurs de la menace peuvent exploiter si elles ne sont pas renforc\u00e9es. Quelques modifications apport\u00e9es aux configurations de votre locataire peuvent emp\u00eacher ces attaques entrantes de locataires Teams inconnus.<\/p>\n Il existe des configurations de s\u00e9curit\u00e9 au sein de Microsoft qui, si elles sont renforc\u00e9es, peuvent aider \u00e0 pr\u00e9venir ce type d’attaque. <\/p>\n 1 \u2014 D\u00e9sactiver l’acc\u00e8s externe\u00a0:<\/b> Microsoft Teams, par d\u00e9faut, permet \u00e0 tous les exp\u00e9diteurs externes d’envoyer des messages aux utilisateurs de ce locataire. De nombreux administrateurs d’organisation ne savent probablement m\u00eame pas que leur organisation autorise la collaboration d’\u00e9quipes externes. Vous pouvez renforcer ces configurations\u00a0:<\/p>\n 2 – Obtenez un aper\u00e7u de l’inventaire des appareils\u00a0:<\/b> Vous pouvez vous assurer que tous les appareils de votre organisation sont enti\u00e8rement conformes et s\u00e9curis\u00e9s en utilisant votre solution XDR \/ EDR \/ Vulnerability Management, comme Crowdstrike ou Tenable. Les outils de s\u00e9curit\u00e9 des terminaux constituent votre premi\u00e8re ligne de d\u00e9fense contre les activit\u00e9s suspectes, telles que l’acc\u00e8s au dossier des journaux des \u00e9quipes locales de l’appareil, qui est utilis\u00e9 pour l’exfiltration de donn\u00e9es dans GIFShell.<\/p>\n Vous pouvez m\u00eame aller plus loin et int\u00e9grer une solution SSPM (SaaS Security Posture Management), comme Adaptive Shield, \u00e0 vos outils de s\u00e9curit\u00e9 des terminaux pour gagner en visibilit\u00e9 et en contexte pour voir et g\u00e9rer facilement les risques qui d\u00e9coulent de ces types de configurations, votre SaaS utilisateurs et leurs appareils associ\u00e9s.<\/p>\n Il existe deux m\u00e9thodes pour lutter contre les erreurs de configuration et renforcer les param\u00e8tres de s\u00e9curit\u00e9\u00a0: la d\u00e9tection et la correction manuelles ou une solution automatis\u00e9e de gestion de la posture de s\u00e9curit\u00e9 SaaS (SSPM). Avec la multitude de configurations, d’utilisateurs, d’appareils et de nouvelles menaces, la m\u00e9thode manuelle est une ponction insoutenable sur les ressources, laissant les \u00e9quipes de s\u00e9curit\u00e9 d\u00e9bord\u00e9es. Cependant, une solution SSPM, telle que Bouclier adaptatif<\/a>, permet aux \u00e9quipes de s\u00e9curit\u00e9 d’avoir un contr\u00f4le total sur leurs applications et configurations SaaS. Le bon SSPM automatise et rationalise le processus de surveillance, de d\u00e9tection et de correction des erreurs de configuration SaaS, de l’acc\u00e8s SaaS \u00e0 SaaS, de l’IAM li\u00e9 au SaaS et du risque utilisateur d’appareil \u00e0 SaaS, conform\u00e9ment aux normes du secteur et de l’entreprise. <\/p>\n Dans des cas tels que la m\u00e9thode d’attaque GifShell, les fonctionnalit\u00e9s de gestion des erreurs de configuration d’Adaptive Shield permettent aux \u00e9quipes de s\u00e9curit\u00e9 d’\u00e9valuer, de surveiller, d’identifier et d’alerter en permanence en cas d’erreur de configuration (voir figure 1). Ensuite, ils peuvent rapidement corriger via le syst\u00e8me ou utiliser un syst\u00e8me de billetterie de leur choix pour envoyer les d\u00e9tails pertinents pour une correction rapide. <\/p>\n De m\u00eame, la fonction d’inventaire des appareils d’Adaptive Shield (illustr\u00e9e \u00e0 la figure 2) peut surveiller les appareils utilis\u00e9s \u00e0 l’\u00e9chelle de l’entreprise et signaler tout risque d’appareil \u00e0 SaaS tout en corr\u00e9lant ces informations avec les r\u00f4les et les autorisations des utilisateurs et les applications SaaS utilis\u00e9es. Cela permet aux \u00e9quipes de s\u00e9curit\u00e9 d’avoir une vue globale de la posture de l’utilisateur et de l’appareil afin de prot\u00e9ger et de s\u00e9curiser les appareils \u00e0 haut risque qui peuvent constituer une menace critique dans leur environnement SaaS. <\/p>\nComment \u00e7a marche?<\/h4>\n
\n
La r\u00e9ponse de Microsoft<\/h2>\n
Comment se prot\u00e9ger contre l’attaque GIFShell<\/h2>\n
\n\n
\n ![\"GIFShell](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663607745_187_Attaque-GIFShell-de-Microsoft-Teams-quest-ce-que-cest-et.jpg\" "\\"GIFShell")
<\/td>\n<\/tr>\n\n Figure 1 : Configurations d’acc\u00e8s externe Microsoft Teams<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n
\n
Comment automatiser la protection contre ces attaques <\/h2>\n
\n\n
\n ![\"GIFShell](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663607745_756_Attaque-GIFShell-de-Microsoft-Teams-quest-ce-que-cest-et.jpg\" "\\"GIFShell")
<\/td>\n<\/tr>\n\n Figure 2. Vue panoramique de l’hygi\u00e8ne des applications SaaS<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n\n
\n ![\"GIFShell](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663607745_976_Attaque-GIFShell-de-Microsoft-Teams-quest-ce-que-cest-et.jpg\" "\\"GIFShell")
<\/td>\n<\/tr>\n\n Figure 3. Inventaire des appareils<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n