{"id":390704,"date":"2022-09-30T13:09:25","date_gmt":"2022-09-30T15:09:25","guid":{"rendered":"https:\/\/teknomers.com\/fr\/decouverte-de-nouvelles-familles-de-logiciels-malveillants-ciblant-les-hyperviseurs-vmware-esxi\/"},"modified":"2022-09-30T13:09:26","modified_gmt":"2022-09-30T15:09:26","slug":"decouverte-de-nouvelles-familles-de-logiciels-malveillants-ciblant-les-hyperviseurs-vmware-esxi","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/decouverte-de-nouvelles-familles-de-logiciels-malveillants-ciblant-les-hyperviseurs-vmware-esxi\/","title":{"rendered":"D\u00e9couverte de nouvelles familles de logiciels malveillants ciblant les hyperviseurs VMware ESXi"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Des auteurs de menaces ont \u00e9t\u00e9 d\u00e9couverts en train de d\u00e9ployer des implants post-compromis in\u00e9dits dans le logiciel de virtualisation de VMware pour prendre le contr\u00f4le des syst\u00e8mes infect\u00e9s et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n

La division Mandiant de Google sur les menaces l’a qualifi\u00e9 de “nouvel \u00e9cosyst\u00e8me de logiciels malveillants” qui affecte VMware ESXi, les serveurs Linux vCenter et les machines virtuelles Windows, permettant aux attaquants de maintenir un acc\u00e8s permanent au hyperviseur<\/a> ainsi que d’ex\u00e9cuter des commandes arbitraires.<\/p>\n

La attaques d’hyperjacking<\/a>selon le fournisseur de cybers\u00e9curit\u00e9, impliquait l’utilisation de bundles d’installation vSphere malveillants (VIB<\/a>) pour se faufiler dans deux implants, baptis\u00e9s VIRTUALPITA et VIRTUALPIE, sur les hyperviseurs ESXi.<\/p>\n

\"La<\/a><\/div>\n

“Il est important de souligner qu’il ne s’agit pas d’une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance externe\u00a0; l’attaquant a besoin de privil\u00e8ges de niveau administrateur sur l’hyperviseur ESXi avant de pouvoir d\u00e9ployer des logiciels malveillants”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant Alexander Marvi, Jeremy Koppen, Tufail Ahmed et Jonathan Lepore. dans un exhaustif en deux parties<\/a> rapport<\/a>.<\/p>\n

Il n’y a aucune preuve qu’une vuln\u00e9rabilit\u00e9 zero-day ait \u00e9t\u00e9 exploit\u00e9e pour acc\u00e9der aux serveurs ESXi. Cela dit, l’utilisation de VIB trojanis\u00e9s, un format de progiciel utilis\u00e9 pour faciliter la distribution de logiciels et la gestion des machines virtuelles, indique un nouveau niveau de sophistication.<\/p>\n

\"Hyperviseurs<\/div>\n

“Ce logiciel malveillant diff\u00e8re en ce qu’il prend en charge le maintien \u00e0 la fois persistant et secret, ce qui est coh\u00e9rent avec les objectifs des grands acteurs de la menace et des groupes APT qui ciblent les institutions strat\u00e9giques avec l’intention de rester non d\u00e9tect\u00e9s pendant un certain temps”, a d\u00e9clar\u00e9 VMware. divulgu\u00e9<\/a>.<\/p>\n

Alors que VIRTUALPITA est livr\u00e9 avec des capacit\u00e9s pour ex\u00e9cuter des commandes ainsi que pour effectuer le t\u00e9l\u00e9chargement et le t\u00e9l\u00e9chargement de fichiers, VIRTUALPIE est une porte d\u00e9rob\u00e9e Python prenant en charge l’ex\u00e9cution de la ligne de commande, le transfert de fichiers et les fonctionnalit\u00e9s de shell invers\u00e9.<\/p>\n

\"La<\/a><\/div>\n

Un \u00e9chantillon de logiciel malveillant appel\u00e9 VIRTUALGATE dans les machines virtuelles invit\u00e9es Windows a \u00e9galement \u00e9t\u00e9 d\u00e9couvert. Il s’agit d’un programme utilitaire bas\u00e9 sur C qui ex\u00e9cute une charge utile int\u00e9gr\u00e9e capable d’utiliser l’interface de communication de la machine virtuelle de VMware (VMCI<\/a>) sockets pour ex\u00e9cuter des commandes sur une machine virtuelle invit\u00e9e \u00e0 partir d’un h\u00f4te hyperviseur.<\/p>\n

Mandiant a \u00e9galement averti que les techniques de la campagne pour contourner les contr\u00f4les de s\u00e9curit\u00e9 traditionnels en exploitant les logiciels de virtualisation repr\u00e9sentent une nouvelle surface d’attaque susceptible d’\u00eatre reprise par d’autres groupes de pirates.<\/p>\n

Les attaques ont \u00e9t\u00e9 attribu\u00e9es \u00e0 un cluster de menaces \u00e9mergentes non cat\u00e9goris\u00e9 portant le nom de code UNC3886, dont la motivation est probablement motiv\u00e9e par l’espionnage compte tenu de la nature hautement cibl\u00e9e des intrusions. Il a en outre \u00e9valu\u00e9 avec une faible confiance que UNC3886 avait un lien avec la Chine.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Des auteurs de menaces ont \u00e9t\u00e9 d\u00e9couverts en train de d\u00e9ployer des implants post-compromis in\u00e9dits dans le logiciel de virtualisation de VMware pour prendre le contr\u00f4le des syst\u00e8mes infect\u00e9s et \u00e9chapper \u00e0 la d\u00e9tection. La division Mandiant de Google sur les menaces l’a qualifi\u00e9 de “nouvel \u00e9cosyst\u00e8me de logiciels malveillants” qui affecte VMware ESXi, les […]<\/p>\n","protected":false},"author":1,"featured_media":390705,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[4175,4168,4158,4165,4161,8816,91615,6800,113194,4157,4159,4171,4170,65,4167,4589,4590,4160,120,4163,4162,4172,4169,4166,34910,4164],"class_list":["post-390704","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-ciblant","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-decouverte","tag-esxi","tag-familles","tag-hyperviseurs","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-les","tag-logiciel-malveillant-de-ransomware","tag-logiciels","tag-malveillants","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-securite-informatique","tag-securite-internet","tag-violation-de-donnees","tag-vmware","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/390704","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=390704"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/390704\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/390705"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=390704"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=390704"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=390704"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}