Les chercheurs en s\u00e9curit\u00e9 mettent en garde contre des failles jusque-l\u00e0 non divulgu\u00e9es dans des serveurs Microsoft Exchange enti\u00e8rement corrig\u00e9s exploit\u00e9s par des acteurs malveillants dans des attaques r\u00e9elles pour obtenir l’ex\u00e9cution de code \u00e0 distance sur les syst\u00e8mes affect\u00e9s.<\/p>\n
C’est selon la soci\u00e9t\u00e9 vietnamienne de cybers\u00e9curit\u00e9 GTSC, qui a d\u00e9couvert les lacunes dans le cadre de ses efforts de surveillance de la s\u00e9curit\u00e9 et de r\u00e9ponse aux incidents en ao\u00fbt 2022.<\/p>\n
Les deux vuln\u00e9rabilit\u00e9s, qui n’ont pas encore officiellement re\u00e7u d’identifiants CVE, sont en cours suivi<\/a> par l’Initiative Zero Day comme ZDI-CAN-18333<\/strong> (score CVSS : 8,8) et ZDI-CAN-18802<\/strong> (Note CVSS : 6,3).<\/p>\n GTSC a d\u00e9clar\u00e9 que l’exploitation r\u00e9ussie des failles pourrait \u00eatre abus\u00e9e pour prendre pied dans les syst\u00e8mes de la victime, permettant aux adversaires de larguer des shells Web et d’effectuer des mouvements lat\u00e9raux sur le r\u00e9seau compromis.<\/p>\n “Nous avons d\u00e9tect\u00e9 des webshells, pour la plupart obscurcis, d\u00e9pos\u00e9s sur les serveurs Exchange”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. c’est not\u00e9<\/a>. “En utilisant l’agent utilisateur, nous avons d\u00e9tect\u00e9 que l’attaquant utilise Antsword, un outil d’administration de site Web multiplateforme open source actif bas\u00e9 en Chine qui prend en charge la gestion du shell Web.”<\/p>\n Les demandes d’exploitation dans les journaux IIS appara\u00eetraient dans le m\u00eame format que les vuln\u00e9rabilit\u00e9s de ProxyShell Exchange Server, GTSC notant que les serveurs cibl\u00e9s avaient d\u00e9j\u00e0 \u00e9t\u00e9 corrig\u00e9s contre les failles r\u00e9v\u00e9l\u00e9es en mars 2021.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9mis l’hypoth\u00e8se que les attaques provenaient probablement d’un groupe de piratage chinois en raison de l’encodage du shell Web en chinois simplifi\u00e9 (Page de codes Windows 936<\/a>).<\/p>\n Le shell Web China Chopper est \u00e9galement d\u00e9ploy\u00e9 dans les attaques, une porte d\u00e9rob\u00e9e l\u00e9g\u00e8re qui peut accorder un acc\u00e8s \u00e0 distance persistant et permettre aux attaquants de se reconnecter \u00e0 tout moment pour une exploitation ult\u00e9rieure.<\/p>\n Il est \u00e0 noter que le Coquille Web China Chopper<\/a> a \u00e9galement \u00e9t\u00e9 d\u00e9ploy\u00e9 par Hafnium, un groupe pr\u00e9sum\u00e9 parrain\u00e9 par l’\u00c9tat et op\u00e9rant depuis la Chine, lorsque les vuln\u00e9rabilit\u00e9s de ProxyShell ont \u00e9t\u00e9 largement exploit\u00e9es l’ann\u00e9e derni\u00e8re.<\/p>\n D’autres activit\u00e9s de post-exploitation observ\u00e9es par GTSC impliquent l’injection de DLL malveillantes dans la m\u00e9moire, la suppression et l’ex\u00e9cution de charges utiles suppl\u00e9mentaires sur les serveurs infect\u00e9s \u00e0 l’aide de la ligne de commande WMI (WMIC<\/a>) utilitaire.<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’au moins plus d’une organisation avait \u00e9t\u00e9 victime d’une campagne d’attaques exploitant les failles du jour z\u00e9ro. Des d\u00e9tails suppl\u00e9mentaires sur les bogues ont \u00e9t\u00e9 retenus \u00e0 la lumi\u00e8re de l’exploitation active.<\/p>\n Nous avons contact\u00e9 Microsoft pour plus de commentaires, et nous mettrons \u00e0 jour l’histoire si nous entendons de retour.<\/p>\n Dans l’intervalle, comme solutions de contournement temporaires, il est recommand\u00e9 d’ajouter une r\u00e8gle pour bloquer les requ\u00eates avec des indicateurs de compromis \u00e0 l’aide de la Module de r\u00e8gle de r\u00e9\u00e9criture d’URL<\/a> pour les serveurs IIS –<\/p>\n “Je peux confirmer qu’un nombre important de serveurs Exchange ont fait l’objet d’une porte d\u00e9rob\u00e9e, y compris un pot de miel”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Kevin Beaumont dans une s\u00e9rie de tweets, ajoutant que “cela ressemble \u00e0 nouveau \u00e0 une variante du proxy vers l’interface d’administration”.<\/p>\n “Si vous n’ex\u00e9cutez pas Microsoft Exchange sur site et que vous n’avez pas Outlook Web App face \u00e0 Internet, vous n’\u00eates pas affect\u00e9”, a d\u00e9clar\u00e9 Beaumont. a dit<\/a>.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/AVERTISSEMENT-Nouveau-Microsoft-Exchange-Zero-Day-non-corrige-sous-exploitation-active.png\")
<\/a><\/div>\n![\"Microsoft](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1664513847_934_AVERTISSEMENT-Nouveau-Microsoft-Exchange-Zero-Day-non-corrige-sous-exploitation-active.jpg\" "\\"Microsoft")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1664513847_725_AVERTISSEMENT-Nouveau-Microsoft-Exchange-Zero-Day-non-corrige-sous-exploitation-active.png\")
<\/a><\/div>\n\n