3CX a dit que c’\u00e9tait travailler sur une mise \u00e0 jour logicielle<\/a> pour son application de bureau apr\u00e8s que plusieurs fournisseurs de cybers\u00e9curit\u00e9 ont tir\u00e9 la sonnette d’alarme sur ce qui semble \u00eatre une attaque active de la cha\u00eene d’approvisionnement qui utilise des installateurs sign\u00e9s num\u00e9riquement et truqu\u00e9s du logiciel de conf\u00e9rence vocale et vid\u00e9o populaire pour cibler les clients en aval.<\/p>\n “L’application de bureau 3CX trojanis\u00e9e est la premi\u00e8re \u00e9tape d’une cha\u00eene d’attaque en plusieurs \u00e9tapes qui extrait les fichiers ICO ajout\u00e9s aux donn\u00e9es Base64 de GitHub et conduit finalement \u00e0 une DLL d’infostealer de troisi\u00e8me \u00e9tape”, ont d\u00e9clar\u00e9 les chercheurs de SentinelOne. a dit<\/a>.<\/p>\n L’entreprise de cybers\u00e9curit\u00e9 suit l’activit\u00e9 sous le nom LisseOp\u00e9rateur<\/strong>indiquant que l’acteur de la menace a enregistr\u00e9 une infrastructure d’attaque massive d\u00e8s f\u00e9vrier 2022. Il y a des indications que l’attaque pourrait avoir commenc\u00e9<\/a> vers le 22 mars 2023.<\/p>\n 3CX, la soci\u00e9t\u00e9 derri\u00e8re 3CXDesktopApp, r\u00e9clamations<\/a> avoir plus de 600 000 clients et 12 millions d’utilisateurs dans 190 pays, dont certains incluent des noms bien connus comme American Express, BMW, Honda, Ikea, Pepsi et Toyota, entre autres.<\/p>\n Alors que le client PBX 3CX est disponible pour plusieurs plateformes, donn\u00e9es de t\u00e9l\u00e9m\u00e9trie<\/a> montre que les attaques observ\u00e9es jusqu’\u00e0 pr\u00e9sent se limitent au client Windows Electron (versions 18.12.407 et 18.12.416) et aux versions macOS du syst\u00e8me t\u00e9l\u00e9phonique PBX.<\/p>\n La cha\u00eene d’infection, en un mot, profite de la Technique de chargement lat\u00e9ral de DLL<\/a> pour charger une DLL malveillante (ffmpeg.dll) con\u00e7ue pour r\u00e9cup\u00e9rer une charge utile de fichier ic\u00f4ne (ICO). Le r\u00e9f\u00e9rentiel GitHub h\u00e9berger le fichier<\/a> a depuis \u00e9t\u00e9 d\u00e9mont\u00e9<\/a>.<\/p>\n La charge utile finale est un voleur d’informations capable de collecter des informations syst\u00e8me et des donn\u00e9es sensibles stock\u00e9es dans les navigateurs Google Chrome, Microsoft Edge, Brave et Mozilla Firefox.<\/p>\n Le Exemple macOS<\/a> (un fichier de 381 Mo), selon chercheur en s\u00e9curit\u00e9 Patrick Wardle<\/a>porte une signature valide et est notari\u00e9 par Apple, ce qui signifie qu’il peut \u00eatre ex\u00e9cut\u00e9 sans que le syst\u00e8me d’exploitation ne le bloque.<\/p>\n L’application malveillante, similaire \u00e0 son homologue Windows, inclut un binaire Mach-O nomm\u00e9 libffmpeg.dylib<\/a> qui est con\u00e7u pour atteindre un serveur externe “pbxsources[.]com” pour t\u00e9l\u00e9charger et ex\u00e9cuter un fichier nomm\u00e9 UpdateAgent. Le serveur est actuellement hors ligne.<\/p>\n Chasseresse signal\u00e9<\/a> qu’il existe 242 519 syst\u00e8mes de gestion t\u00e9l\u00e9phonique 3CX expos\u00e9s publiquement. Symantec, propri\u00e9t\u00e9 de Broadcom, dans son propre avis, a dit<\/a> “Les informations recueillies par ce logiciel malveillant ont vraisemblablement permis aux attaquants d’\u00e9valuer si la victime \u00e9tait candidate \u00e0 un compromis suppl\u00e9mentaire.”<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “En raison de son utilisation g\u00e9n\u00e9ralis\u00e9e et de son importance dans le syst\u00e8me de communication d’une organisation, les pirates peuvent causer des dommages importants (par exemple, en surveillant ou en redirigeant les communications internes et externes) aux entreprises qui utilisent ce logiciel”, a d\u00e9clar\u00e9 Trend Micro. a dit<\/a>.<\/p>\n Entreprise de cybers\u00e9curit\u00e9 CrowdStrike a dit<\/a> il attribue l’attaque avec une grande confiance \u00e0 un acteur de l’\u00c9tat-nation nord-cor\u00e9en qu’il suit sous le nom de Labyrinth Chollima (alias Nickel Academy), un sous-groupe au sein du c\u00e9l\u00e8bre groupe Lazarus.<\/p>\n “L’activit\u00e9 malveillante comprend le balisage vers une infrastructure contr\u00f4l\u00e9e par des acteurs, le d\u00e9ploiement de charges utiles de deuxi\u00e8me \u00e9tape et, dans un petit nombre de cas, une activit\u00e9 manuelle sur le clavier”, a d\u00e9clar\u00e9 CrowdStrike. ajout\u00e9e<\/a>.<\/p>\n Dans un message sur le forum, le PDG de 3CX, Nick Galea, a d\u00e9clar\u00e9 qu’il \u00e9tait en train de publier une nouvelle version au cours des prochaines heures, et a not\u00e9 que Les versions Android et iOS ne sont pas impact\u00e9es<\/a>. “Malheureusement, cela s’est produit parce qu’une biblioth\u00e8que en amont que nous utilisons a \u00e9t\u00e9 infect\u00e9e”, Galea a dit<\/a>sans donner plus de d\u00e9tails.<\/p>\n Comme solution de contournement, l’entreprise est exhortant<\/a> ses clients de d\u00e9sinstaller l’application et de la r\u00e9installer, ou bien d’utiliser le client PWA.<\/p>\n![\"Application](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680492107_115_Lattaque-de-la-chaine-dapprovisionnement-de-lapplication-de-bureau-3CX.png\" "\\"Application")
<\/div>\n