Les acteurs de la menace affili\u00e9s \u00e0 une souche de ransomware connue sous le nom de Play exploitent une cha\u00eene d’exploitation in\u00e9dite qui contourne les r\u00e8gles de blocage des failles ProxyNotShell dans Microsoft Exchange Server pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance (RCE) via Outlook Web Access (OWA<\/a>).<\/p>\n “La nouvelle m\u00e9thode d’exploitation contourne les att\u00e9nuations de r\u00e9\u00e9criture d’URL pour le Point de terminaison de d\u00e9couverte automatique<\/a>“, les chercheurs de CrowdStrike Brian Pitchford, Erik Iker et Nicolas Zilio m’a dit<\/a> dans un article technique publi\u00e9 mardi.<\/p>\n Play ransomware, qui a fait surface pour la premi\u00e8re fois en juin 2022, a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9<\/a> adopter de nombreuses tactiques employ\u00e9es par d’autres familles de ran\u00e7ongiciels telles que Hive et Nokoyawa<\/a>dont le dernier mis \u00e0 niveau vers Rust<\/a> en septembre 2022.<\/p>\n Les enqu\u00eates de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 sur plusieurs intrusions de ran\u00e7ongiciels Play ont r\u00e9v\u00e9l\u00e9 que l’acc\u00e8s initial aux environnements cibles n’\u00e9tait pas obtenu en exploitant directement CVE-2022-41040<\/a>mais plut\u00f4t via le point de terminaison OWA.<\/p>\n Doubl\u00e9 OWASSRF<\/strong>la technique tire probablement parti d’un autre d\u00e9faut critique suivi comme CVE-2022-41080<\/a> (score CVSS\u00a0: 8,8) pour obtenir une \u00e9l\u00e9vation de privil\u00e8ges, suivie d’abus CVE-2022-41082<\/a> pour l’ex\u00e9cution de code \u00e0 distance.<\/p>\n Il convient de noter que CVE-2022-41040 et CVE-2022-41080 proviennent d’un cas de falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF<\/a>), qui permet \u00e0 un attaquant d’acc\u00e9der \u00e0 des ressources internes non autoris\u00e9es, en l’occurrence le Communication \u00e0 distance PowerShell<\/a> un service.<\/p>\n CrowdStrike a d\u00e9clar\u00e9 que l’acc\u00e8s initial r\u00e9ussi a permis \u00e0 l’adversaire de supprimer les ex\u00e9cutables l\u00e9gitimes Plink et AnyDesk pour maintenir un acc\u00e8s persistant et de prendre des mesures pour purger les journaux d’\u00e9v\u00e9nements Windows sur les serveurs infect\u00e9s afin de dissimuler l’activit\u00e9 malveillante.<\/p>\n Les trois vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es par Microsoft dans le cadre de ses mises \u00e0 jour Patch Tuesday pour novembre 2022. Cependant, il n’est pas clair si CVE-2022-41080 a \u00e9t\u00e9 activement exploit\u00e9 en tant que zero-day aux c\u00f4t\u00e9s de CVE-2022-41040 et CVE-2022-41082.<\/p>\n Le fabricant de Windows, pour sa part, a marqu\u00e9 CVE-2022-41080 avec une \u00e9valuation “Exploitation plus probable”, ce qui implique qu’il est possible pour un attaquant de cr\u00e9er un code d’exploitation qui pourrait \u00eatre utilis\u00e9 pour armer de mani\u00e8re fiable la faille.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"MS](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671613583_536_Les-pirates-de-ransomwares-utilisent-une-nouvelle-facon-de-contourner.png\" "\\"MS")
<\/div>\n