Des acteurs de la menace parrain\u00e9s par le gouvernement iranien ont \u00e9t\u00e9 accus\u00e9s d’avoir compromis une agence f\u00e9d\u00e9rale am\u00e9ricaine en profitant de la vuln\u00e9rabilit\u00e9 Log4Shell dans un serveur VMware Horizon non corrig\u00e9.<\/p>\n
Les d\u00e9tails, qui ont \u00e9t\u00e9 partag\u00e9s par la US Cybersecurity and Infrastructure Security Agency (CISA), viennent en r\u00e9ponse aux efforts de r\u00e9ponse aux incidents entrepris par l’autorit\u00e9 de la mi-juin \u00e0 la mi-juillet 2022.<\/p>\n
“Les acteurs de la cyber-menace ont exploit\u00e9 la vuln\u00e9rabilit\u00e9 Log4Shell dans un serveur VMware Horizon non corrig\u00e9, install\u00e9 le logiciel de crypto-minage XMRig, d\u00e9plac\u00e9 lat\u00e9ralement vers le contr\u00f4leur de domaine (DC), compromis les informations d’identification, puis implant\u00e9 des proxys inverses Ngrok sur plusieurs h\u00f4tes pour maintenir la persistance”, CISA c’est not\u00e9<\/a>.<\/p>\n LogShell, alias CVE-2021-44228, est une faille critique d’ex\u00e9cution de code \u00e0 distance dans la biblioth\u00e8que de journalisation Java Apache Log4j largement utilis\u00e9e. Il a \u00e9t\u00e9 abord\u00e9 par les mainteneurs du projet open source en d\u00e9cembre 2021.<\/p>\n Le dernier d\u00e9veloppement marque l’abus continu des vuln\u00e9rabilit\u00e9s Log4j dans les serveurs VMware Horizon par des groupes parrain\u00e9s par l’\u00c9tat iranien depuis le d\u00e9but de l’ann\u00e9e. La CISA n’a pas attribu\u00e9 l’\u00e9v\u00e9nement \u00e0 un groupe de piratage particulier.<\/p>\n Cependant, un avis conjoint publi\u00e9 par l’Australie, le Canada, le Royaume-Uni et les \u00c9tats-Unis en septembre 2022 a point\u00e9 du doigt le Corps des gardiens de la r\u00e9volution islamique (CGRI) iranien pour avoir tir\u00e9 parti de cette lacune pour mener des activit\u00e9s post-exploitation.<\/p>\n L’organisation affect\u00e9e, selon la CISA, aurait \u00e9t\u00e9 viol\u00e9e d\u00e8s f\u00e9vrier 2022 en militarisant la vuln\u00e9rabilit\u00e9 pour ajouter une nouvelle r\u00e8gle d’exclusion \u00e0 Windows Defender qui a inscrit l’int\u00e9gralit\u00e9 du lecteur C: sur la liste d’autorisation.<\/p>\n Cela a permis \u00e0 l’adversaire de t\u00e9l\u00e9charger un script PowerShell sans d\u00e9clencher d’analyse antivirus, qui, \u00e0 son tour, a r\u00e9cup\u00e9r\u00e9 le XMRig<\/a> logiciel de minage de crypto-monnaie h\u00e9berg\u00e9 sur un serveur distant sous la forme d’un fichier d’archive ZIP.<\/p>\n L’acc\u00e8s initial a en outre permis aux acteurs d’aller chercher plus de charges utiles telles que PsExec<\/a>, Mimikatz<\/a>et Ngrok<\/a>en plus d’utiliser RDP<\/a> pour le mouvement lat\u00e9ral et la d\u00e9sactivation de Windows Defender sur les terminaux.<\/p>\n “Les acteurs de la menace ont \u00e9galement chang\u00e9 le mot de passe du compte d’administrateur local sur plusieurs h\u00f4tes en guise de sauvegarde si le compte d’administrateur de domaine non autoris\u00e9 \u00e9tait d\u00e9tect\u00e9 et r\u00e9sili\u00e9”, a not\u00e9 la CISA.<\/p>\n Une tentative infructueuse de vidage du processus LSASS (Local Security Authority Subsystem Service) \u00e0 l’aide du Gestionnaire des t\u00e2ches de Windows a \u00e9galement \u00e9t\u00e9 d\u00e9tect\u00e9e, ce qui a \u00e9t\u00e9 bloqu\u00e9 par la solution antivirus d\u00e9ploy\u00e9e dans l’environnement informatique.<\/p>\n Microsoft, dans un rapport du mois dernier, a r\u00e9v\u00e9l\u00e9 que les cybercriminels ciblent les informations d’identification dans le processus LSASS en raison du fait qu’il “peut stocker non seulement les informations d’identification du syst\u00e8me d’exploitation d’un utilisateur actuel, mais \u00e9galement celles d’un administrateur de domaine”.<\/p>\n “Le vidage des informations d’identification LSASS est important pour les attaquants car s’ils r\u00e9ussissent \u00e0 vider les mots de passe du domaine, ils peuvent, par exemple, utiliser des outils l\u00e9gitimes tels que PsExec ou Windows Management Instrumentation (WMI) pour se d\u00e9placer lat\u00e9ralement sur le r\u00e9seau”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. a dit<\/a>.<\/p>\n <\/p>\n<\/div>\n