L’adversaire derri\u00e8re l’attaque de la cha\u00eene d’approvisionnement ciblant 3CX a d\u00e9ploy\u00e9 un implant de deuxi\u00e8me \u00e9tape ciblant sp\u00e9cifiquement un petit nombre d’entreprises de crypto-monnaie.<\/p>\n
La soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky, qui a \u00e9t\u00e9 suivi interne<\/a> la porte d\u00e9rob\u00e9e polyvalente sous le nom Gopuram<\/strong> depuis 2020, a d\u00e9clar\u00e9 avoir observ\u00e9 une augmentation du nombre d’infections en mars 2023 co\u00efncidant avec la violation de 3CX.<\/p>\n La fonction principale de Gopuram est de se connecter \u00e0 un serveur de commande et de contr\u00f4le (C2) et d’attendre d’autres instructions qui permettent aux attaquants d’interagir avec le syst\u00e8me de fichiers de la victime, de cr\u00e9er des processus et de lancer jusqu’\u00e0 huit modules en m\u00e9moire.<\/p>\n Les liens de la porte d\u00e9rob\u00e9e avec la Cor\u00e9e du Nord d\u00e9coulent du fait qu’elle “a coexist\u00e9 sur des machines victimes avec AppleJeus, une porte d\u00e9rob\u00e9e attribu\u00e9e \u00e0 l’acteur mena\u00e7ant cor\u00e9en Lazarus”, d\u00e9taillant une attaque contre une entreprise de cryptographie anonyme situ\u00e9e en Asie du Sud-Est en 2020.<\/p>\n Le ciblage des soci\u00e9t\u00e9s de crypto-monnaie est un autre signe r\u00e9v\u00e9lateur de l’implication du groupe Lazarus, \u00e9tant donn\u00e9 l’accent r\u00e9current de l’acteur mena\u00e7ant sur le secteur financier pour g\u00e9n\u00e9rer des profits illicites pour la nation frapp\u00e9e par les sanctions.<\/p>\n Kaspersky a en outre d\u00e9clar\u00e9 avoir identifi\u00e9 un chevauchement C2 avec un serveur (“wirexpro[.]com”) qui a \u00e9t\u00e9 pr\u00e9c\u00e9demment identifi\u00e9 comme employ\u00e9 dans un Campagne AppleJeus<\/a> document\u00e9 par Malwarebytes en d\u00e9cembre 2022. <\/p>\n “Comme la porte d\u00e9rob\u00e9e Gopuram a \u00e9t\u00e9 d\u00e9ploy\u00e9e sur moins de dix machines infect\u00e9es, cela indique que les attaquants ont utilis\u00e9 Gopuram avec une pr\u00e9cision chirurgicale”, a soulign\u00e9 la soci\u00e9t\u00e9, ajoutant que les taux d’infection les plus \u00e9lev\u00e9s ont \u00e9t\u00e9 d\u00e9tect\u00e9s au Br\u00e9sil, en Allemagne, en Italie et en France.<\/p>\n Alors que la cha\u00eene d’attaque d\u00e9couverte jusqu’\u00e0 pr\u00e9sent implique l’utilisation d’installateurs malveillants pour distribuer un voleur d’informations (connu sous le nom de ICONIC Stealer), les derni\u00e8res d\u00e9couvertes sugg\u00e8rent que le but ultime de la campagne \u00e9tait peut-\u00eatre d’infecter des cibles avec la porte d\u00e9rob\u00e9e modulaire \u00e0 part enti\u00e8re.<\/p>\n Cela dit, on ne sait pas dans quelle mesure la campagne a \u00e9t\u00e9 couronn\u00e9e de succ\u00e8s et si elle a conduit au vol r\u00e9el de donn\u00e9es sensibles ou de crypto-monnaie. Cependant, cela soul\u00e8ve la possibilit\u00e9 qu’ICONIC Stealer ait \u00e9t\u00e9 utilis\u00e9 comme utilitaire de reconnaissance pour jeter un large filet et identifier des cibles d’int\u00e9r\u00eat pour une exploitation ult\u00e9rieure.<\/p>\n Le d\u00e9veloppement vient comme BlackBerry a d\u00e9voil\u00e9 que<\/a> “la phase initiale de cette op\u00e9ration s’est d\u00e9roul\u00e9e quelque part entre la fin de l’\u00e9t\u00e9 et le d\u00e9but de l’automne 2022.”<\/p>\n La majorit\u00e9 des tentatives d’attaque, selon la soci\u00e9t\u00e9 canadienne, ont \u00e9t\u00e9 enregistr\u00e9es en Australie, aux \u00c9tats-Unis et au Royaume-Uni, les soins de sant\u00e9, la pharmacie, l’informatique et la finance apparaissant comme les principaux secteurs cibl\u00e9s. <\/p>\n Il est actuellement difficile de savoir comment l’auteur de la menace a obtenu l’acc\u00e8s initial au r\u00e9seau 3CX, et si cela a entra\u00een\u00e9 l’exploitation d’une vuln\u00e9rabilit\u00e9 connue ou inconnue. La compromission est suivie sous l’identifiant CVE-2023-29059<\/a>.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Les preuves recueillies \u00e0 ce jour indiquent que les attaquants ont empoisonn\u00e9 l’environnement de d\u00e9veloppement de 3CX et livr\u00e9 des versions trojanis\u00e9es de l’application l\u00e9gitime aux clients en aval de l’entreprise lors d’une attaque de la cha\u00eene d’approvisionnement de type SolarWinds ou Kaseya.<\/p>\n L’un des composants malveillants responsables de la r\u00e9cup\u00e9ration du voleur d’informations, une biblioth\u00e8que nomm\u00e9e “d3dcompiler_47.dll”, a \u00e9galement \u00e9t\u00e9 rep\u00e9r\u00e9. militarisation<\/a> une faille Windows vieille de 10 ans (CVE-2013-3900<\/a>) pour incorporer le shellcode crypt\u00e9 sans invalider sa signature \u00e9mise par Microsoft.<\/p>\n Un point \u00e0 noter ici est que la m\u00eame technique a \u00e9t\u00e9 adopt\u00e9e par une campagne de malware ZLoader d\u00e9couverte par la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9 Check Point Research en janvier 2022.<\/p>\n Plusieurs versions de l’application de bureau – 18.12.407 et 18.12.416 pour Windows et 18.11.1213, 18.12.402, 18.12.407 et 18.12.416 pour macOS – ont \u00e9t\u00e9 affect\u00e9es. 3CX a depuis \u00e9pingl\u00e9 l’attaque<\/a> sur un “pirate hautement exp\u00e9riment\u00e9 et comp\u00e9tent”. <\/p>\n CrowdStrike a li\u00e9 l’incident \u00e0 un groupe d’\u00c9tats-nations align\u00e9 sur la Cor\u00e9e du Nord qu’il suit sous le nom de Labyrinth Chollima, un sous-groupe au sein du groupe Lazarus.<\/p>\n <\/p>\n