Microsoft a r\u00e9v\u00e9l\u00e9 mardi qu’il avait pris des mesures pour suspendre les comptes utilis\u00e9s pour publier des messages malveillants. Conducteurs<\/a> qui ont \u00e9t\u00e9 certifi\u00e9s par son Windows Programme de d\u00e9veloppement de mat\u00e9riel<\/a> ont \u00e9t\u00e9 utilis\u00e9s pour signer des logiciels malveillants.<\/p>\n Le g\u00e9ant de la technologie a d\u00e9clar\u00e9 que son enqu\u00eate avait r\u00e9v\u00e9l\u00e9 que l’activit\u00e9 \u00e9tait limit\u00e9e \u00e0 un certain nombre de comptes de programme de d\u00e9veloppement et qu’aucun autre compromis n’avait \u00e9t\u00e9 d\u00e9tect\u00e9.<\/p>\n Les logiciels malveillants \u00e0 signature cryptographique sont pr\u00e9occupants, non seulement parce qu’ils sapent un m\u00e9canisme de s\u00e9curit\u00e9 cl\u00e9, mais permettent \u00e9galement aux acteurs de la menace de subvertir les m\u00e9thodes de d\u00e9tection traditionnelles et d’infiltrer les r\u00e9seaux cibles pour effectuer des op\u00e9rations hautement privil\u00e9gi\u00e9es.<\/p>\n L’enqu\u00eate, a d\u00e9clar\u00e9 Redmond, a \u00e9t\u00e9 lanc\u00e9e apr\u00e8s avoir \u00e9t\u00e9 inform\u00e9e de l’utilisation de pilotes malveillants dans les efforts de post-exploitation, y compris le d\u00e9ploiement de ransomwares, par les soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9 Mandiant, SentinelOne et Sophos le 19 octobre 2022.<\/p>\n Un aspect notable de ces attaques \u00e9tait que l’adversaire avait d\u00e9j\u00e0 obtenu des privil\u00e8ges administratifs sur les syst\u00e8mes compromis avant d’utiliser les pilotes.<\/p>\n “Plusieurs comptes de d\u00e9veloppeurs pour le Microsoft Partner Center ont \u00e9t\u00e9 engag\u00e9s dans la soumission de pilotes malveillants pour obtenir une signature Microsoft,” Microsoft expliqu\u00e9<\/a>. “Une nouvelle tentative de soumission d’un pilote malveillant pour signature le 29 septembre 2022 a entra\u00een\u00e9 la suspension des comptes des vendeurs d\u00e9but octobre.”<\/p>\n Selon une analyse de Sophos, des acteurs de la menace affili\u00e9s au ran\u00e7ongiciel Cuba (alias COLDDRAW) ont plant\u00e9 un pilote malveillant sign\u00e9 dans une tentative infructueuse de d\u00e9sactivation des outils de d\u00e9tection des terminaux via un nouveau chargeur de logiciels malveillants appel\u00e9 BURNTCIGAR, qui \u00e9tait r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois<\/a> par Mandiant en f\u00e9vrier 2022.<\/p>\n La soci\u00e9t\u00e9 a \u00e9galement identifi\u00e9 trois variantes du pilote sign\u00e9 par des certificats de signature de code appartenant \u00e0 deux soci\u00e9t\u00e9s chinoises, Zhuhai Liancheng Technology et Beijing JoinHope Image Technology.<\/p>\n Le raisonnement derri\u00e8re l’utilisation de pilotes sign\u00e9s est qu’il offre un moyen pour les acteurs de la menace de se d\u00e9placer des mesures de s\u00e9curit\u00e9 cruciales<\/a> qui n\u00e9cessitent que les pilotes en mode noyau soient sign\u00e9s pour que Windows charge le package. De plus, la technique utilise \u00e0 leur avantage la confiance de facto des outils de s\u00e9curit\u00e9 dans les pilotes certifi\u00e9s par Microsoft.<\/p>\n “Les acteurs de la menace montent dans la pyramide de la confiance, essayant d’utiliser des cl\u00e9s cryptographiques de plus en plus fiables pour signer num\u00e9riquement leurs pilotes”, ont d\u00e9clar\u00e9 Andreas Klopsch et Andrew Brandt, chercheurs chez Sophos. a dit<\/a>. “Les signatures d’un grand \u00e9diteur de logiciels digne de confiance augmentent la probabilit\u00e9 que le pilote se charge dans Windows sans entrave.”<\/p>\n Mandiant, propri\u00e9t\u00e9 de Google, dans une divulgation coordonn\u00e9e, a dit<\/a> il a observ\u00e9 un groupe de menaces \u00e0 motivation financi\u00e8re connu sous le nom d’UNC3944 utilisant un chargeur nomm\u00e9 STONESTOP pour installer un pilote malveillant appel\u00e9 POORTRY qui est con\u00e7u pour mettre fin aux processus associ\u00e9s aux logiciels de s\u00e9curit\u00e9 et supprimer des fichiers.<\/p>\n D\u00e9clarant qu’elle a \u00ab observ\u00e9 en permanence des acteurs de la menace utilisent des certificats de signature de code compromis, vol\u00e9s et achet\u00e9s ill\u00e9galement pour signer des logiciels malveillants \u00bb, la soci\u00e9t\u00e9 de renseignement sur les menaces et de r\u00e9ponse aux incidents a not\u00e9 que \u00ab plusieurs familles de logiciels malveillants distinctes, associ\u00e9es \u00e0 des acteurs de la menace distincts, ont \u00e9t\u00e9 sign\u00e9es avec ce processus.”<\/p>\n Cela a donn\u00e9 lieu \u00e0 la possibilit\u00e9 que ces groupes de piratage tirent parti d’un service criminel pour la signature de code (c’est-\u00e0-dire la signature de pilotes malveillants en tant que service), dans lequel le fournisseur obtient les artefacts de logiciels malveillants sign\u00e9s via le processus d’attestation de Microsoft au nom des acteurs.<\/p>\n STONESTOP et POORTRY auraient \u00e9t\u00e9 utilis\u00e9s par UNC3944 dans des attaques visant les secteurs des t\u00e9l\u00e9communications, du BPO, du MSSP, des services financiers, de la crypto-monnaie, du divertissement et des transports, SentinelOne a dit<\/a>l’ajout d’un acteur de menace diff\u00e9rent a utilis\u00e9 un pilote sign\u00e9 similaire qui a entra\u00een\u00e9 le d\u00e9ploiement du ran\u00e7ongiciel Hive.<\/p>\n Microsoft a depuis r\u00e9voqu\u00e9 les certificats des fichiers concern\u00e9s et suspendu les comptes vendeurs des partenaires pour contrer les menaces dans le cadre de sa mise \u00e0 jour Patch Tuesday de d\u00e9cembre 2022.<\/p>\n Ce n’est pas la premi\u00e8re fois que des certificats num\u00e9riques sont utilis\u00e9s abusivement pour signer des logiciels malveillants. L’ann\u00e9e derni\u00e8re, un pilote Netfilter certifi\u00e9 par Microsoft s’est av\u00e9r\u00e9 \u00eatre un rootkit Windows malveillant qui a \u00e9t\u00e9 observ\u00e9 communiquant avec des serveurs de commande et de contr\u00f4le (C2) situ\u00e9s en Chine.<\/p>\n Cependant, ce n’est pas un ph\u00e9nom\u00e8ne uniquement Windows, car Google a publi\u00e9 ce mois-ci des conclusions selon lesquelles des certificats de plate-forme compromis g\u00e9r\u00e9s par des fabricants d’appareils Android, notamment Samsung et LG, avaient \u00e9t\u00e9 utilis\u00e9s pour signer des applications malveillantes distribu\u00e9es via des canaux non officiels.<\/p>\n Le d\u00e9veloppement intervient \u00e9galement au milieu d’un abus plus large de pilotes sign\u00e9s pour saboter les logiciels de s\u00e9curit\u00e9 ces derniers mois. L’attaque, appel\u00e9e Bring Your Own Vulnerable Driver (BYOVD), consiste \u00e0 exploiter des pilotes l\u00e9gitimes qui contiennent des lacunes connues pour \u00e9lever les privil\u00e8ges et ex\u00e9cuter des actions post-compromis.<\/p>\n Microsoft, fin octobre, a dit<\/a> c’est activation<\/a> la liste de blocage des pilotes vuln\u00e9rables (DriverSiPolicy.p7b) par d\u00e9faut pour tous les appareils avec la mise \u00e0 jour Windows 11 2022, en plus de valider qu’elle est la m\u00eame sur diff\u00e9rentes versions du syst\u00e8me d’exploitation, suite \u00e0 un Ars Technica rapport<\/a> qui a mis en \u00e9vidence des incoh\u00e9rences dans la mise \u00e0 jour de la liste de blocage pour les machines Windows 10.<\/p>\n “Les m\u00e9canismes de signature de code sont une caract\u00e9ristique importante des syst\u00e8mes d’exploitation modernes”, a d\u00e9clar\u00e9 SentinelOne. “L’introduction de l’application de la signature du pilote a \u00e9t\u00e9 essentielle pour endiguer la vague de rootkits pendant des ann\u00e9es. L’efficacit\u00e9 d\u00e9croissante de la signature de code repr\u00e9sente une menace pour les m\u00e9canismes de s\u00e9curit\u00e9 et de v\u00e9rification \u00e0 toutes les couches du syst\u00e8me d’exploitation.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"Logiciels](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671041799_238_Les-attaquants-de-ransomware-utilisent-des-pilotes-signes-Microsoft-pour.png\" "\\"Logiciels")
<\/div>\n![\"Logiciels](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671041800_911_Les-attaquants-de-ransomware-utilisent-des-pilotes-signes-Microsoft-pour.png\" "\\"Logiciels")
<\/div>\n