Le fournisseur de services de communication d’entreprise 3CX a confirm\u00e9 que l’attaque de la cha\u00eene d’approvisionnement ciblant son application de bureau pour Windows et macOS \u00e9tait l’\u0153uvre d’un acteur mena\u00e7ant avec un lien nord-cor\u00e9en.<\/p>\n
Les conclusions sont le r\u00e9sultat d’une \u00e9valuation interm\u00e9diaire men\u00e9e par Mandiant, propri\u00e9t\u00e9 de Google, dont les services ont \u00e9t\u00e9 enr\u00f4l\u00e9s apr\u00e8s que l’intrusion a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e \u00e0 la fin du mois dernier. L’unit\u00e9 de renseignement sur les menaces et de r\u00e9ponse aux incidents suit l’activit\u00e9 sous son surnom non cat\u00e9goris\u00e9 UNC4736<\/strong>.<\/p>\n Il convient de noter que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike a attribu\u00e9 l’attaque \u00e0 un sous-groupe de Lazarus surnomm\u00e9 Labyrinth Chollima, citant des chevauchements tactiques.<\/p>\n La cha\u00eene d’attaque, bas\u00e9e sur des analyses de plusieurs fournisseurs de s\u00e9curit\u00e9, impliquait l’utilisation de techniques de chargement lat\u00e9ral de DLL pour charger un voleur d’informations appel\u00e9 ICONIC Stealer, suivie d’une deuxi\u00e8me \u00e9tape appel\u00e9e Gopuram dans des attaques s\u00e9lectives visant les soci\u00e9t\u00e9s de cryptographie.<\/p>\n L’enqu\u00eate m\u00e9dico-l\u00e9gale de Mandiant a maintenant r\u00e9v\u00e9l\u00e9 que les acteurs de la menace ont infect\u00e9 les syst\u00e8mes 3CX avec un malware nomm\u00e9 TAXHAUL qui est con\u00e7u pour d\u00e9chiffrer et charger un shellcode contenant un “t\u00e9l\u00e9chargeur complexe” \u00e9tiquet\u00e9 COLDCAT.<\/p>\n “Sous Windows, l’attaquant a utilis\u00e9 le chargement lat\u00e9ral de DLL pour obtenir la persistance du malware TAXHAUL,” 3CX a dit<\/a>. “Le m\u00e9canisme de persistance garantit \u00e9galement que le logiciel malveillant de l’attaquant est charg\u00e9 au d\u00e9marrage du syst\u00e8me, ce qui permet \u00e0 l’attaquant de conserver un acc\u00e8s \u00e0 distance au syst\u00e8me infect\u00e9 via Internet.”<\/p>\n La soci\u00e9t\u00e9 a en outre d\u00e9clar\u00e9 que la DLL malveillante (wlbsctrl.dll) \u00e9tait charg\u00e9<\/a> par les modules de cl\u00e9 Windows IKE et AuthIP IPsec (IKEEXT<\/a>) service via svchost.exe<\/a>un processus syst\u00e8me l\u00e9gitime.<\/p>\n Les syst\u00e8mes macOS cibl\u00e9s dans l’attaque auraient fait l’objet d’une porte d\u00e9rob\u00e9e \u00e0 l’aide d’une autre souche de malware appel\u00e9e SIMPLESEA, un malware bas\u00e9 sur C qui communique via HTTP pour ex\u00e9cuter des commandes shell, transf\u00e9rer des fichiers et mettre \u00e0 jour des configurations.<\/p>\n Il a \u00e9t\u00e9 observ\u00e9 que les souches de logiciels malveillants d\u00e9tect\u00e9es dans l’environnement 3CX contactent au moins quatre serveurs de commande et de contr\u00f4le (C2) : azureonlinecloud[.]com, akamaicontainer[.]com, journalide[.]org et msboxonline[.]com.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Nick Galea, PDG de 3CX, dans un message de forum<\/a> la semaine derni\u00e8re, a d\u00e9clar\u00e9 que la soci\u00e9t\u00e9 n’\u00e9tait au courant que d’une ” poign\u00e9e de cas ” o\u00f9 le logiciel malveillant a \u00e9t\u00e9 effectivement activ\u00e9 et qu’elle s’effor\u00e7ait de ” renforcer nos politiques, nos pratiques et notre technologie pour nous prot\u00e9ger contre de futures attaques “. Un mis \u00e0 jour<\/a> application<\/a> a depuis \u00e9t\u00e9 mis \u00e0 la disposition des clients.<\/p>\n Il n’est actuellement pas d\u00e9termin\u00e9 comment les acteurs de la menace ont r\u00e9ussi \u00e0 s’introduire dans le r\u00e9seau de 3CX, et si cela a entra\u00een\u00e9 la militarisation d’une vuln\u00e9rabilit\u00e9 connue ou inconnue. La compromission de la cha\u00eene d’approvisionnement est suivie sous l’identifiant CVE-2023-29059<\/a> (Note CVSS : 7,8).<\/p>\n <\/p>\n