{"id":669025,"date":"2023-04-02T09:55:45","date_gmt":"2023-04-02T11:55:45","guid":{"rendered":"https:\/\/teknomers.com\/fr\/attaque-de-la-chaine-dapprovisionnement-3cx-voici-ce-que-nous-savons-jusqua-present\/"},"modified":"2023-04-02T09:55:48","modified_gmt":"2023-04-02T11:55:48","slug":"attaque-de-la-chaine-dapprovisionnement-3cx-voici-ce-que-nous-savons-jusqua-present","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/attaque-de-la-chaine-dapprovisionnement-3cx-voici-ce-que-nous-savons-jusqua-present\/","title":{"rendered":"Attaque de la cha\u00eene d’approvisionnement 3CX – Voici ce que nous savons jusqu’\u00e0 pr\u00e9sent"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Le fabricant de logiciels de communication d’entreprise 3CX a confirm\u00e9 jeudi que plusieurs versions de son application de bureau pour Windows et macOS sont affect\u00e9es par une attaque de la cha\u00eene d’approvisionnement.<\/p>\n

Les num\u00e9ros de version incluent 18.12.407 et 18.12.416<\/strong> pour Windows et 18.11.1213, 18.12.402, 18.12.407 et 18.12.416<\/strong> pour macOS. Le probl\u00e8me a re\u00e7u l’identifiant CVE CVE-2023-29059<\/a>.<\/p>\n

La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’elle engageait les services de Mandiant, propri\u00e9t\u00e9 de Google, pour examiner l’incident. Dans l’intervalle, il exhorte ses clients des versions auto-h\u00e9berg\u00e9es et sur site du logiciel \u00e0 mettre \u00e0 jour vers la version 18.12.422.<\/p>\n

“Les utilisateurs de 3CX Hosted et StartUP n’ont pas besoin de mettre \u00e0 jour leurs serveurs car nous les mettrons \u00e0 jour automatiquement dans la nuit”, a d\u00e9clar\u00e9 Nick Galea, PDG de 3CX. a dit<\/a> dans un article de blog. “Les serveurs seront red\u00e9marr\u00e9s et la nouvelle application Electron MSI\/DMG sera install\u00e9e sur le serveur.”<\/p>\n

Les preuves disponibles \u00e0 ce jour indiquent soit une compromission du pipeline de build logiciel de 3CX pour distribuer les versions Windows et macOS du package de l’application, soit l’empoisonnement d’une d\u00e9pendance en amont. L’ampleur de l’attaque est actuellement inconnue.<\/p>\n

Donn\u00e9es de t\u00e9l\u00e9m\u00e9trie partag\u00e9 par Fortinet<\/a> montre que la r\u00e9partition g\u00e9ographique des machines victimes appelant une infrastructure contr\u00f4l\u00e9e par des acteurs connus s’\u00e9tend principalement sur l’Italie, l’Allemagne, l’Autriche, les \u00c9tats-Unis, l’Afrique du Sud, l’Australie, la Suisse, les Pays-Bas, le Canada et le Royaume-Uni<\/p>\n

La premi\u00e8re p\u00e9riode d’activit\u00e9 potentiellement malveillante aurait \u00e9t\u00e9 d\u00e9tect\u00e9e le ou vers le 22 mars 2023, selon un poster sur le forum 3CX<\/a>bien que les pr\u00e9paratifs de la campagne sophistiqu\u00e9e aient commenc\u00e9 au plus tard en f\u00e9vrier 2022.<\/p>\n

3CX a dit<\/a> le alerte initiale<\/a> signaler un probl\u00e8me de s\u00e9curit\u00e9 potentiel dans son application la semaine derni\u00e8re a \u00e9t\u00e9 trait\u00e9 comme un “faux positif” car aucun des moteurs antivirus de VirusTotal ne l’a qualifi\u00e9 de suspect ou de logiciel malveillant.<\/p>\n

Le Version Windows de l’attaque<\/a> a exploit\u00e9 une technique appel\u00e9e chargement lat\u00e9ral de DLL pour charger une biblioth\u00e8que malveillante appel\u00e9e “ffmpeg.dll” con\u00e7ue pour lire le shellcode crypt\u00e9 \u00e0 partir d’une autre DLL appel\u00e9e “d3dcompiler_47.dll”.<\/p>\n\n\n\n\n
\"Attaque<\/td>\n<\/tr>\n
SUDDENICON t\u00e9l\u00e9charge un nouvel ex\u00e9cutable<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Cela impliquait d’acc\u00e9der \u00e0 un r\u00e9f\u00e9rentiel GitHub pour r\u00e9cup\u00e9rer un fichier ICO<\/a> contenant des URL h\u00e9bergeant la charge utile de l’\u00e9tape finale, un voleur d’informations (surnomm\u00e9 Voleur ICONIQUE<\/a> ou SUDDENIC\u00d4NE<\/a>) capable de r\u00e9colter des informations syst\u00e8me et des donn\u00e9es sensibles stock\u00e9es dans des navigateurs Web.<\/p>\n

Fournisseur britannique de cybers\u00e9curit\u00e9 Sophos soulign\u00e9<\/a> que le shellcode<\/a> utilis\u00e9 dans l’attaque est une “correspondance octet par octet” avec des \u00e9chantillons ant\u00e9rieurs observ\u00e9s lors d’incidents exclusivement attribu\u00e9s au groupe Lazarus.<\/p>\n

“Le choix de ces deux DLL – ffmpeg et d3dcompiler_47 – par les acteurs de la menace \u00e0 l’origine de cette attaque n’\u00e9tait pas un hasard”, a d\u00e9clar\u00e9 Karlo Zanki, chercheur en s\u00e9curit\u00e9 chez ReversingLabs. a dit<\/a>.<\/p>\n

“La cible en question, 3CXDesktopApp, est construite sur le framework open source Electron. Les deux biblioth\u00e8ques en question sont g\u00e9n\u00e9ralement livr\u00e9es avec le runtime Electron et, par cons\u00e9quent, il est peu probable qu’elles \u00e9veillent les soup\u00e7ons au sein des environnements clients.”<\/p>\n

\"Attaque<\/div>\n

La cha\u00eene d’attaque macOS, dans le m\u00eame esprit, a contourn\u00e9 les contr\u00f4les de notarisation d’Apple pour t\u00e9l\u00e9charger une charge utile inconnue \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2) qui ne r\u00e9pond actuellement pas.<\/p>\n

“La version macOS n’utilise pas GitHub pour r\u00e9cup\u00e9rer son serveur C2,” Volexity a dit<\/a>, qui suit l’activit\u00e9 sous le cluster UTA0040. “Au lieu de cela, une liste de serveurs C2 est stock\u00e9e dans le fichier encod\u00e9 avec une cl\u00e9 XOR \u00e0 un seul octet, 0x7A.”<\/p>\n

WEBINAIRE THN<\/span><\/p>\n

Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n

D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n

Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike, dans un avis qui lui est propre, a attribu\u00e9 l’attaque avec une grande confiance \u00e0 Labyrinth Chollima (alias Acad\u00e9mie du nickel<\/a>), un acteur parrain\u00e9 par l’\u00c9tat align\u00e9 sur la Cor\u00e9e du Nord.<\/p>\n

“L’activit\u00e9, qui cible de nombreuses organisations dans un large \u00e9ventail de secteurs verticaux sans aucun sch\u00e9ma \u00e9vident, a \u00e9t\u00e9 attribu\u00e9e \u00e0 Labyrinth Chollima sur la base d’une infrastructure r\u00e9seau observ\u00e9e uniquement associ\u00e9e \u00e0 cet adversaire, de techniques d’installation similaires et d’une cl\u00e9 RC4 r\u00e9utilis\u00e9e”, Adam Meyers, vice-pr\u00e9sident senior du renseignement chez CrowdStrike, a d\u00e9clar\u00e9 \u00e0 The Hacker News.<\/p>\n

“Les applications trojanis\u00e9es 3CX invoquent une variante d’ArcfeedLoader, un malware attribu\u00e9 uniquement \u00e0 Labyrinth Chollima.”<\/p>\n

Labyrinth Chollima, selon la soci\u00e9t\u00e9 bas\u00e9e au Texas, est un sous-ensemble du groupe Lazarus, qui constitue \u00e9galement Silent Chollima (alias Andariel ou Nickel Hyatt) et Stardust Chollima (alias BlueNoroff ou Nickel Gladstone).<\/p>\n

L’acteur mena\u00e7ant “est actif depuis au moins 2009 et essaie g\u00e9n\u00e9ralement de g\u00e9n\u00e9rer des revenus en ciblant les organisations cryptographiques et financi\u00e8res”, a d\u00e9clar\u00e9 Meyers, ajoutant qu’il est “probablement affili\u00e9 au Bureau 121 du Bureau g\u00e9n\u00e9ral de reconnaissance de la RPDC (RVB<\/a>) et m\u00e8ne principalement des op\u00e9rations d’espionnage et des programmes de g\u00e9n\u00e9ration de revenus.”<\/p>\n

Google Chrome bloque le dernier installateur 3CX MSI<\/strong><\/h2>\n

3CX, dans un mise \u00e0 jour<\/a> partag\u00e9 vendredi, a d\u00e9clar\u00e9 que Google interdisait les t\u00e9l\u00e9chargements des fichiers d’installation MSI via son navigateur Web Chrome. Il a \u00e9galement not\u00e9 que les moteurs antivirus de plusieurs soci\u00e9t\u00e9s bloquent tout logiciel sign\u00e9 avec l’ancien certificat de s\u00e9curit\u00e9.<\/p>\n

Les programmes d’installation MSI suivants ont \u00e9t\u00e9 bloqu\u00e9s\u00a0: SBC pour Windows, l’application de bureau Windows et Call Flow Designer. Cependant, il y a des indications que la restriction a peut-\u00eatre \u00e9t\u00e9 lev\u00e9e car certains clients rapport<\/a> pouvoir t\u00e9l\u00e9charger la derni\u00e8re version (18.12.422) via Chrome.<\/p>\n

En r\u00e9ponse, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’elle cr\u00e9ait de nouveaux installateurs MSI avec un nouveau certificat et un nouveau serveur de construction, un processus qui devrait prendre au moins huit heures. Il encourage en outre ses clients \u00e0 utiliser la version de l’application Web (PWA) \u00e0 la place.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n