GESTE AUDACIEUX<\/strong>dont une variante Linux est sp\u00e9cialement con\u00e7ue pour fonctionner sur les pare-feu FortiGate de Fortinet.<\/p>\nLe vecteur d’intrusion en question concerne l’exploitation de CVE-2022-42475, une vuln\u00e9rabilit\u00e9 de d\u00e9bordement de tampon bas\u00e9e sur le tas dans FortiOS SSL-VPN qui pourrait entra\u00eener l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9 via des requ\u00eates sp\u00e9cialement con\u00e7ues.<\/p>\n
Plus t\u00f4t ce mois-ci, Fortinet a r\u00e9v\u00e9l\u00e9 que des groupes de piratage inconnus ont profit\u00e9 de l’insuffisance pour cibler les gouvernements et d’autres grandes organisations avec un implant Linux g\u00e9n\u00e9rique capable de fournir des charges utiles suppl\u00e9mentaires et d’ex\u00e9cuter des commandes envoy\u00e9es par un serveur distant.<\/p>\n
Les derni\u00e8res d\u00e9couvertes de Mandiant indiquent que l’acteur de la menace a r\u00e9ussi \u00e0 abuser de la vuln\u00e9rabilit\u00e9 comme un jour z\u00e9ro \u00e0 son avantage et \u00e0 violer des r\u00e9seaux cibl\u00e9s pour des op\u00e9rations d’espionnage.<\/p>\n
“Avec BOLDMOVE, les attaquants ont non seulement d\u00e9velopp\u00e9 un exploit, mais aussi un malware qui montre une compr\u00e9hension approfondie des syst\u00e8mes, des services, de la journalisation et des formats propri\u00e9taires non document\u00e9s”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces.<\/p>\n
Le malware, \u00e9crit en C, aurait \u00e0 la fois des variantes Windows et Linux, cette derni\u00e8re \u00e9tant capable de lire des donn\u00e9es \u00e0 partir d’un format de fichier propri\u00e9taire de Fortinet. L’analyse des m\u00e9tadonn\u00e9es de la saveur Windows de la porte d\u00e9rob\u00e9e montre qu’elles ont \u00e9t\u00e9 compil\u00e9es d\u00e8s 2021, bien qu’aucun \u00e9chantillon n’ait \u00e9t\u00e9 d\u00e9tect\u00e9 dans la nature.<\/p>\n
BOLDMOVE est con\u00e7u pour effectuer une enqu\u00eate sur le syst\u00e8me et est capable de recevoir des commandes d’un serveur de commande et de contr\u00f4le (C2) qui, \u00e0 son tour, permet aux attaquants d’effectuer des op\u00e9rations sur les fichiers, de cr\u00e9er un shell distant et de relayer le trafic via l’h\u00f4te infect\u00e9.<\/p>\n
Un \u00e9chantillon Linux \u00e9tendu du malware est livr\u00e9 avec des fonctionnalit\u00e9s suppl\u00e9mentaires pour d\u00e9sactiver et manipuler les fonctionnalit\u00e9s de journalisation dans le but d’\u00e9viter la d\u00e9tection, corroborant le rapport de Fortinet.<\/p>\n
\u00ab L’exploitation des vuln\u00e9rabilit\u00e9s zero-day dans les dispositifs de mise en r\u00e9seau, suivie de l’installation d’implants personnalis\u00e9s, est coh\u00e9rente avec l’exploitation chinoise pr\u00e9c\u00e9dente des dispositifs de mise en r\u00e9seau \u00bb, a not\u00e9 Mandiant.<\/p>\n
<\/p>\n