Une faille de s\u00e9curit\u00e9 critique maintenant corrig\u00e9e affectant Atlassian Confluence Server qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e il y a quelques mois est activement exploit\u00e9e pour l’extraction illicite de crypto-monnaie sur des installations non corrig\u00e9es.<\/p>\n
“Si elle n’est pas corrig\u00e9e et exploit\u00e9e avec succ\u00e8s, cette vuln\u00e9rabilit\u00e9 pourrait \u00eatre utilis\u00e9e pour des attaques multiples et plus malveillantes, telles qu’une prise de contr\u00f4le compl\u00e8te du domaine de l’infrastructure et des voleurs d’informations de d\u00e9ploiement, des chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT) et des ransomwares”, a d\u00e9clar\u00e9 un chercheur sur les menaces de Trend Micro. Sunil Bharti a dit<\/a> dans un rapport.<\/p>\n Le probl\u00e8me, identifi\u00e9 comme CVE-2022-26134 (score CVSS\u00a0: 9,8), a \u00e9t\u00e9 r\u00e9solu par la soci\u00e9t\u00e9 de logiciels australienne en juin\u00a02022.<\/p>\n Dans l’une des cha\u00eenes d’infection observ\u00e9es par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, la faille a \u00e9t\u00e9 exploit\u00e9e pour t\u00e9l\u00e9charger et ex\u00e9cuter un script shell (“ro.sh”) sur la machine de la victime, qui, \u00e0 son tour, a r\u00e9cup\u00e9r\u00e9 un deuxi\u00e8me script shell (“ap.sh “).<\/p>\n Le code malveillant est con\u00e7u pour mettre \u00e0 jour le variable CHEMIN<\/a> pour inclure des chemins suppl\u00e9mentaires tels que “\/tmp”, t\u00e9l\u00e9chargez l’utilitaire cURL (s’il n’est pas d\u00e9j\u00e0 pr\u00e9sent) \u00e0 partir d’un serveur distant, d\u00e9sactivez le pare-feu iptables, abusez de la faille PwnKit (CVE-2021-4034) pour obtenir les privil\u00e8ges root, et finalement d\u00e9ployez le mineur crypto hezb.<\/p>\n Comme d’autres attaques de cryptojacking, le script shell met \u00e9galement fin \u00e0 d’autres mineurs de pi\u00e8ces concurrents, d\u00e9sactive les agents des fournisseurs de services cloud d’Alibaba et de Tencent, avant d’effectuer un mouvement lat\u00e9ral via SSH.<\/p>\n Les d\u00e9couvertes refl\u00e8tent des tentatives d’exploitation similaires pr\u00e9c\u00e9demment divulgu\u00e9es par Dentelle<\/a>Microsoft, Sophos et Akama\u00ef<\/a> en juin.<\/p>\n L’analyse de Lacework montre en outre que le serveur de commande et de contr\u00f4le (C2) utilis\u00e9 pour r\u00e9cup\u00e9rer le logiciel cURL ainsi que le mineur hezb ont \u00e9galement distribu\u00e9 un binaire ELF bas\u00e9 sur Golang nomm\u00e9 “kik<\/a>” qui permet au logiciel malveillant de tuer les processus d’int\u00e9r\u00eat.<\/p>\n Il est conseill\u00e9 aux utilisateurs de prioriser la correction de la faille car elle pourrait \u00eatre exploit\u00e9e par des acteurs malveillants \u00e0 d’autres fins n\u00e9fastes.<\/p>\n “Les attaquants pourraient profiter de l’injection de leur propre code pour l’interpr\u00e9tation et acc\u00e9der au domaine Confluence cibl\u00e9, ainsi que mener des attaques allant du contr\u00f4le du serveur pour des activit\u00e9s malveillantes ult\u00e9rieures \u00e0 l’endommagement de l’infrastructure elle-m\u00eame”, a d\u00e9clar\u00e9 Bharti.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663829133_611_Des-pirates-ciblant-des-serveurs-Atlassian-Confluence-non-corriges-pour.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n