Une vuln\u00e9rabilit\u00e9 zero-day dans FortiOS SSL-VPN que Fortinet a abord\u00e9e le mois dernier a \u00e9t\u00e9 exploit\u00e9e par des acteurs inconnus dans des attaques ciblant le gouvernement et d’autres grandes organisations.<\/p>\n
“La complexit\u00e9 de l’exploit sugg\u00e8re un acteur avanc\u00e9 et qu’il est fortement cibl\u00e9 sur des cibles gouvernementales ou li\u00e9es au gouvernement”, ont d\u00e9clar\u00e9 les chercheurs de Fortinet. m’a dit<\/a> dans une analyse post-mortem publi\u00e9e cette semaine.<\/p>\n Les attaques impliquaient l’exploitation de CVE-2022-42475, une faille de d\u00e9passement de m\u00e9moire tampon bas\u00e9e sur le tas qui pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 d’ex\u00e9cuter du code arbitraire via des requ\u00eates sp\u00e9cialement con\u00e7ues.<\/p>\n La cha\u00eene d’infection analys\u00e9e par la soci\u00e9t\u00e9 montre que l’objectif final \u00e9tait de d\u00e9ployer un implant Linux g\u00e9n\u00e9rique modifi\u00e9 pour FortiOS et \u00e9quip\u00e9 pour compromettre le syst\u00e8me de pr\u00e9vention des intrusions de Fortinet (IPS<\/a>) et \u00e9tablir des connexions avec un serveur distant pour t\u00e9l\u00e9charger des logiciels malveillants suppl\u00e9mentaires et ex\u00e9cuter des commandes.<\/p>\n Fortinet a d\u00e9clar\u00e9 qu’il n’\u00e9tait pas en mesure de r\u00e9cup\u00e9rer les charges utiles utilis\u00e9es dans les \u00e9tapes suivantes des attaques. Il n’a pas pr\u00e9cis\u00e9 quand les intrusions ont eu lieu.<\/p>\n En outre, le modus operandi r\u00e9v\u00e8le l’utilisation de l’obscurcissement pour contrecarrer l’analyse ainsi que des “capacit\u00e9s avanc\u00e9es” pour manipuler la journalisation FortiOS et mettre fin aux processus de journalisation pour ne pas \u00eatre d\u00e9tect\u00e9s.<\/p>\n “Il recherche des fichiers elog, qui sont des journaux d’\u00e9v\u00e9nements dans FortiOS”, ont d\u00e9clar\u00e9 les chercheurs. “Apr\u00e8s les avoir d\u00e9compress\u00e9s en m\u00e9moire, il recherche une cha\u00eene sp\u00e9cifi\u00e9e par l’attaquant, la supprime et reconstruit les journaux.”<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 r\u00e9seau a \u00e9galement not\u00e9 que l’exploit n\u00e9cessite une “compr\u00e9hension approfondie de FortiOS et du mat\u00e9riel sous-jacent” et que l’acteur de la menace poss\u00e8de des comp\u00e9tences pour d\u00e9sosser diff\u00e9rentes parties de FortiOS.<\/p>\n “L’\u00e9chantillon Windows d\u00e9couvert attribu\u00e9 \u00e0 l’attaquant affichait des artefacts ayant \u00e9t\u00e9 compil\u00e9s sur une machine dans le fuseau horaire UTC + 8, qui comprend l’Australie, la Chine, la Russie, Singapour et d’autres pays d’Asie de l’Est”, a-t-il ajout\u00e9.<\/p>\n <\/p>\n![\"Faille](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673625578_493_FortiOS-Flaw-Exploited-as-Zero-Day-dans-les-attaques-contre-le.png\" "\\"Faille")
<\/div>\n