![\"Cadre](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEh_F2TnrFuDI4fcked58mUJXnv-3aVfv2YOWZ2KTyxspixd-SgXb2IELvC_vkQ7sb-e56TEHjGKzY-xM5a6Lmoe2AZgHmst3gKBtVKRWYi0-S0wErx5ajzqDROMhUSphpAM3QY2aMpiXbUrim-WKwsR6DrQDcGxoK9VCEuFuJiUrzFcDrd3uTvUw3dR\/s728-e3650\/malware.png\" "\\"Cadre")
<\/div>\nLes acteurs de la menace exploitent les failles connues du logiciel Sunlogin pour d\u00e9ployer le cadre de commande et de contr\u00f4le (C2) Sliver afin d’effectuer des activit\u00e9s de post-exploitation.<\/p>\n
Les conclusions proviennent d’AhnLab Security Emergency Response Center (ASEC), qui a constat\u00e9 que les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 de Sunlogin, un programme de bureau \u00e0 distance d\u00e9velopp\u00e9 en Chine, sont exploit\u00e9es pour d\u00e9ployer une large gamme de charges utiles.<\/p>\n
“Non seulement les acteurs de la menace ont utilis\u00e9 la porte d\u00e9rob\u00e9e Sliver, mais ils ont \u00e9galement utilis\u00e9 le malware BYOVD (Bring Your Own Vulnerable Driver) pour neutraliser les produits de s\u00e9curit\u00e9 et installer des shells invers\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>.<\/p>\n Les cha\u00eenes d’attaque commencent par l’exploitation de deux bogues d’ex\u00e9cution de code \u00e0 distance dans les versions de Sunlogin ant\u00e9rieures \u00e0 la v11.0.0.33 (CNVD-2022-03672 et CNVD-2022-10270), suivies de la diffusion de Sliver ou d’autres logiciels malveillants tels que Gh0st RAT<\/a> et XMRig crypto coin miner.<\/p>\n Dans un cas, l’auteur de la menace aurait militaris\u00e9 les failles de Sunlogin pour installer un script PowerShell qui, \u00e0 son tour, utilise la technique BYOVD pour neutraliser le logiciel de s\u00e9curit\u00e9 install\u00e9 dans le syst\u00e8me et supprimer un shell invers\u00e9 \u00e0 l’aide de Powercat.<\/p>\n La m\u00e9thode BYOVD abuse d’un pilote Windows l\u00e9gitime mais vuln\u00e9rable, mhyprot2.sys, qui est sign\u00e9 avec un certificat valide pour obtenir des autorisations \u00e9lev\u00e9es et mettre fin aux processus antivirus.<\/p>\n Il convient de noter ici que le pilote anti-triche du jeu vid\u00e9o Genshin Impact \u00e9tait auparavant utilis\u00e9 comme pr\u00e9curseur du d\u00e9ploiement de ransomware, comme l’a r\u00e9v\u00e9l\u00e9 Trend Micro.<\/p>\n “Il n’est pas confirm\u00e9 si cela a \u00e9t\u00e9 fait par le m\u00eame acteur de la menace, mais apr\u00e8s quelques heures, un journal montre qu’une porte d\u00e9rob\u00e9e Sliver a \u00e9t\u00e9 install\u00e9e sur le m\u00eame syst\u00e8me via une exploitation de la vuln\u00e9rabilit\u00e9 Sunlogin RCE”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Les d\u00e9couvertes surviennent alors que les acteurs de la menace adoptent Sliver, un outil de test de p\u00e9n\u00e9tration l\u00e9gitime bas\u00e9 sur Go, comme alternative \u00e0 Cobalt Strike et Metasploit.<\/p>\n “Sliver offre les fonctionnalit\u00e9s \u00e9tape par \u00e9tape requises telles que le vol d’informations sur les comptes, le mouvement du r\u00e9seau interne et le d\u00e9passement du r\u00e9seau interne des entreprises, tout comme Cobalt Strike”, ont conclu les chercheurs.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/Les-pirates-exploitent-les-vulnerabilites-de-Sunlogin-pour-deployer-le.png\")
<\/div>\n