Vendredi, l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) ajout\u00e9e<\/a> trois failles \u00e0 ses vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV<\/a>) catalogue, citant des preuves d’abus actifs dans la nature.<\/p>\n Parmi les trois figure CVE-2022-24990<\/a>un bogue affectant les p\u00e9riph\u00e9riques de stockage en r\u00e9seau (TNAS) TerraMaster pouvant entra\u00eener l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9 avec les privil\u00e8ges les plus \u00e9lev\u00e9s.<\/p>\n Des d\u00e9tails sur la faille ont \u00e9t\u00e9 divulgu\u00e9s par la soci\u00e9t\u00e9 \u00e9thiopienne de recherche en cybers\u00e9curit\u00e9 Octagon Networks en mars 2022.<\/p>\n La vuln\u00e9rabilit\u00e9, selon un avis conjoint publi\u00e9 par les autorit\u00e9s gouvernementales am\u00e9ricaines et sud-cor\u00e9ennes, aurait \u00e9t\u00e9 militaris\u00e9e par des pirates informatiques nord-cor\u00e9ens pour frapper des entit\u00e9s de soins de sant\u00e9 et d’infrastructures critiques avec des ransomwares.<\/p>\n Le deuxi\u00e8me d\u00e9faut \u00e0 ajouter au catalogue KEV est CVE-2015-2291<\/a>une faille non sp\u00e9cifi\u00e9e dans le pilote de diagnostic Intel Ethernet pour Windows (IQVW32.sys et IQVW64.sys) qui pourrait placer un p\u00e9riph\u00e9rique concern\u00e9 dans un \u00e9tat de d\u00e9ni de service.<\/p>\n L’exploitation de CVE-2015-2291 dans la nature a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9<\/a> par CrowdStrike le mois dernier, d\u00e9taillant une attaque Scattered Spider (alias Roasted 0ktapus ou UNC3944) qui impliquait une tentative de planter une version l\u00e9gitimement sign\u00e9e mais malveillante du pilote vuln\u00e9rable en utilisant une tactique appel\u00e9e BYOVD (Bring Your Own Vulnerable Driver).<\/p>\n L’objectif, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, \u00e9tait de contourner le logiciel de s\u00e9curit\u00e9 des terminaux install\u00e9 sur l’h\u00f4te compromis. L’attaque a finalement \u00e9chou\u00e9.<\/p>\n Le d\u00e9veloppement souligne l’adoption croissante de la technique par plusieurs acteurs de la menace, \u00e0 savoir BlackByte, Earth Longzhi, Lazarus Group et OldGremlin, pour alimenter leurs intrusions avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n Enfin, CISA a \u00e9galement ajout\u00e9 une injection de code \u00e0 distance d\u00e9couverte dans l’application de transfert de fichiers g\u00e9r\u00e9 GoAnywhere MFT de Fortra (CVE-2023-0669<\/a>) au catalogue KEV. Alors que des correctifs pour la faille ont \u00e9t\u00e9 publi\u00e9s r\u00e9cemment, l’exploitation a \u00e9t\u00e9 li\u00e9e \u00e0 un groupe de cybercriminalit\u00e9 affili\u00e9 \u00e0 une op\u00e9ration de ransomware.<\/p>\n Chasseresse, dans un analyse<\/a> publi\u00e9 plus t\u00f4t cette semaine, a d\u00e9clar\u00e9 avoir observ\u00e9 la cha\u00eene d’infection menant au d\u00e9ploiement de TrueBot, un malware Windows attribu\u00e9 \u00e0 un acteur mena\u00e7ant connu sous le nom de Silence et qui partage des liens avec Evil Corp, une \u00e9quipe de cybercriminalit\u00e9 russe qui pr\u00e9sente des chevauchements tactiques avec TA505.<\/p>\n Avec TA505 faciliter<\/a> le d\u00e9ploiement du ran\u00e7ongiciel Clop dans le pass\u00e9, on soup\u00e7onne que les attaques sont un pr\u00e9curseur du d\u00e9ploiement de logiciels malveillants de verrouillage de fichiers sur des syst\u00e8mes cibl\u00e9s.<\/p>\n De plus, le blog de s\u00e9curit\u00e9 Bleeping Computer signal\u00e9<\/a> que l’\u00e9quipe du ran\u00e7ongiciel Clop a contact\u00e9 la publication et a affirm\u00e9 avoir exploit\u00e9 la faille pour voler les donn\u00e9es stock\u00e9es dans les serveurs compromis de plus de 130 entreprises.<\/p>\n Les agences du Federal Civilian Executive Branch (FCEB) sont tenues d’appliquer les correctifs d’ici le 3 mars 2023 pour s\u00e9curiser les r\u00e9seaux contre les menaces actives.<\/p>\n <\/p>\n