L’exploitation \u00ab zero-day \u00bb d’une faille de s\u00e9curit\u00e9 de gravit\u00e9 moyenne d\u00e9sormais corrig\u00e9e dans Fortinet FortiOS<\/a> syst\u00e8me d’exploitation a \u00e9t\u00e9 li\u00e9 \u00e0 un groupe de piratage chinois pr\u00e9sum\u00e9.<\/p>\n La soci\u00e9t\u00e9 de renseignement sur les menaces Mandiant, qui a proc\u00e9d\u00e9 \u00e0 l’attribution, a d\u00e9clar\u00e9 que le cluster d’activit\u00e9s faisait partie d’une campagne plus large con\u00e7ue pour d\u00e9ployer des portes d\u00e9rob\u00e9es sur les solutions Fortinet et VMware et maintenir un acc\u00e8s permanent aux environnements des victimes.<\/p>\n La soci\u00e9t\u00e9 de renseignement sur les menaces et de r\u00e9ponse aux incidents appartenant \u00e0 Google suit l’op\u00e9ration malveillante sous son surnom non cat\u00e9goris\u00e9 UNC3886<\/strong>un acteur mena\u00e7ant le lien avec la Chine.<\/p>\n “UNC3886 est un groupe de cyberespionnage avanc\u00e9 avec des capacit\u00e9s uniques dans la fa\u00e7on dont ils op\u00e8rent sur le r\u00e9seau ainsi que les outils qu’ils utilisent dans leurs campagnes”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant. a dit<\/a> dans une analyse technique.<\/p>\n \u00ab UNC3886 a \u00e9t\u00e9 observ\u00e9 ciblant les technologies de pare-feu et de virtualisation qui ne prennent pas en charge EDR. Leur capacit\u00e9 \u00e0 manipuler le micrologiciel de pare-feu et \u00e0 exploiter un jour z\u00e9ro indique qu’ils ont acquis une compr\u00e9hension plus approfondie de ces technologies.<\/p>\n Il convient de noter que l’adversaire \u00e9tait auparavant li\u00e9 \u00e0 un autre ensemble d’intrusions ciblant les serveurs VMware ESXi et Linux vCenter dans le cadre d’une campagne d’hyperjacking con\u00e7ue pour \u00e9liminer les portes d\u00e9rob\u00e9es telles que VIRTUALPITA et VIRTUALPIE.<\/p>\n La derni\u00e8re divulgation de Mandiant intervient alors que Fortinet a r\u00e9v\u00e9l\u00e9 que des entit\u00e9s gouvernementales et de grandes organisations ont \u00e9t\u00e9 victimes d’un acteur malveillant non identifi\u00e9 en exploitant un bogue du jour z\u00e9ro dans le logiciel Fortinet FortiOS pour entra\u00eener la perte de donn\u00e9es et la corruption du syst\u00e8me d’exploitation et des fichiers.<\/p>\n La vuln\u00e9rabilit\u00e9, suivie comme CVE-2022-41328<\/a> (score CVSS\u00a0: 6,5), concerne un bogue de travers\u00e9e de chemin dans FortiOS qui pourrait conduire \u00e0 l’ex\u00e9cution de code arbitraire. Il a \u00e9t\u00e9 corrig\u00e9 par Fortinet le 7 mars 2023.<\/p>\n Selon Mandiant, les attaques mont\u00e9es par UNC3886 visaient les appareils FortiGate, FortiManager et FortiAnalyzer de Fortinet pour d\u00e9ployer deux implants diff\u00e9rents tels que THINCRUST et CASTLETAP. Ceci, \u00e0 son tour, a \u00e9t\u00e9 rendu possible gr\u00e2ce au fait que l’appareil FortiManager a \u00e9t\u00e9 expos\u00e9 \u00e0 Internet.<\/p>\n THINCRUST est une porte d\u00e9rob\u00e9e Python capable d’ex\u00e9cuter des commandes arbitraires ainsi que de lire et d’\u00e9crire depuis et vers des fichiers sur le disque.<\/p>\n La persistance offerte par THINCRUST est ensuite exploit\u00e9e pour fournir des scripts FortiManager qui militarisent la faille de travers\u00e9e de chemin FortiOS pour \u00e9craser les fichiers l\u00e9gitimes et modifier les images du micrologiciel.<\/p>\n Cela inclut une charge utile nouvellement ajout\u00e9e appel\u00e9e “\/bin\/fgfm” (appel\u00e9e CASTLETAP) qui balise un serveur contr\u00f4l\u00e9 par un acteur afin d’accepter les instructions entrantes qui lui permettent d’ex\u00e9cuter des commandes, de r\u00e9cup\u00e9rer des charges utiles et d’exfiltrer des donn\u00e9es depuis le compromis. h\u00e9berger.<\/p>\n “Une fois que CASTLETAP a \u00e9t\u00e9 d\u00e9ploy\u00e9 sur les pare-feu FortiGate, l’acteur de la menace s’est connect\u00e9 aux machines ESXi et vCenter”, ont expliqu\u00e9 les chercheurs. “L’acteur de la menace a d\u00e9ploy\u00e9 VIRTUALPITA et VIRTUALPIE pour \u00e9tablir la persistance, permettant un acc\u00e8s continu aux hyperviseurs et aux machines invit\u00e9es.”<\/p>\n Alternativement, sur les appareils FortiManager qui impl\u00e9mentent des restrictions d’acc\u00e8s \u00e0 Internet, l’acteur de la menace aurait pivot\u00e9 d’un pare-feu FortiGate compromis avec CASTLETAP pour d\u00e9poser une porte d\u00e9rob\u00e9e invers\u00e9e nomm\u00e9e REPTILE (“\/bin\/klogd”) sur le syst\u00e8me de gestion du r\u00e9seau pour retrouver l’acc\u00e8s. .<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n L’UNC3886 utilise \u00e9galement \u00e0 ce stade un utilitaire appel\u00e9 TABLEFLIP, un logiciel de redirection du trafic r\u00e9seau permettant de se connecter directement \u00e0 l’appareil FortiManager, quelle que soit la liste de contr\u00f4le d’acc\u00e8s (LCA<\/a>) r\u00e8gles mises en place.<\/p>\n C’est loin d’\u00eatre la premi\u00e8re fois que des collectifs d’adversaires chinois ciblent des \u00e9quipements de r\u00e9seau pour distribuer des logiciels malveillants sur mesure, les attaques r\u00e9centes tirant parti d’autres vuln\u00e9rabilit\u00e9s des appareils Fortinet et SonicWall.<\/p>\n La r\u00e9v\u00e9lation survient \u00e9galement alors que les acteurs de la menace d\u00e9veloppent et d\u00e9ploient des exploits plus rapidement que jamais auparavant, avec pas moins de 28 vuln\u00e9rabilit\u00e9s exploit\u00e9es dans les sept jours suivant la divulgation publique \u2013 une augmentation de 12% par rapport \u00e0 2021 et de 87% par rapport \u00e0 2020, selon Rapide7<\/a>.<\/p>\n Ceci est \u00e9galement important, notamment parce que les \u00e9quipes de piratage align\u00e9es sur la Chine sont devenues “particuli\u00e8rement comp\u00e9tentes” pour exploiter les vuln\u00e9rabilit\u00e9s du jour z\u00e9ro et d\u00e9ployer des logiciels malveillants personnalis\u00e9s pour voler les informations d’identification des utilisateurs et maintenir un acc\u00e8s \u00e0 long terme aux r\u00e9seaux cibles.<\/p>\n “L’activit\u00e9 […] est une preuve suppl\u00e9mentaire que les acteurs avanc\u00e9s du cyberespionnage tirent parti de toutes les technologies disponibles pour persister et traverser un environnement cible, en particulier les technologies qui ne prennent pas en charge les solutions EDR \u00bb, a d\u00e9clar\u00e9 Mandiant.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1679140598_547_Des-pirates-chinois-exploitent-la-faille-Zero-Day-de-Fortinet-pour.png\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1679140598_220_Des-pirates-chinois-exploitent-la-faille-Zero-Day-de-Fortinet-pour.png\")
<\/div>\n