Fortra, la soci\u00e9t\u00e9 \u00e0 l’origine de Cobalt Strike, a mis en lumi\u00e8re une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance (RCE) zero-day dans son outil GoAnywhere MFT qui a \u00e9t\u00e9 activement exploit\u00e9e par des acteurs de ransomwares pour voler des donn\u00e9es sensibles.<\/p>\n
La faille de haute gravit\u00e9, suivie comme CVE-2023-0669<\/a> (score CVSS\u00a0: 7,2), concerne un cas d’injection de commande pr\u00e9-authentifi\u00e9e qui pourrait \u00eatre utilis\u00e9e de mani\u00e8re abusive pour obtenir l’ex\u00e9cution de code. Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 par la soci\u00e9t\u00e9 dans la version 7.1.2 du logiciel en f\u00e9vrier 2023, mais pas avant qu’il ne soit transform\u00e9 en arme comme un jour z\u00e9ro depuis le 18 janvier.<\/p>\n Fortra, qui a travaill\u00e9 avec l’unit\u00e9 42 de Palo Alto Networks, a d\u00e9clar\u00e9 avoir \u00e9t\u00e9 inform\u00e9e d’activit\u00e9s suspectes associ\u00e9es \u00e0 certaines des instances de transfert de fichiers le 30 janvier 2023.<\/p>\n “La partie non autoris\u00e9e a utilis\u00e9 CVE-2023-0669 pour cr\u00e9er des comptes d’utilisateurs non autoris\u00e9s dans certains environnements clients MFTaaS”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a>. “Pour un sous-ensemble de ces clients, la partie non autoris\u00e9e a exploit\u00e9 ces comptes d’utilisateurs pour t\u00e9l\u00e9charger des fichiers \u00e0 partir de leurs environnements MFTaaS h\u00e9berg\u00e9s.”<\/p>\n L’acteur de la menace a en outre abus\u00e9 de la faille pour d\u00e9ployer deux outils suppl\u00e9mentaires, surnomm\u00e9s “Netcat<\/a>” et “Errors.jsp”, entre le 28\u00a0janvier\u00a02023 et le 31\u00a0janvier\u00a02023, bien que toutes les tentatives d’installation n’aient pas abouti.<\/p>\n Fortra a d\u00e9clar\u00e9 avoir contact\u00e9 directement les clients concern\u00e9s et n’avoir trouv\u00e9 aucun signe d’acc\u00e8s non autoris\u00e9 aux syst\u00e8mes des clients qui ont \u00e9t\u00e9 reprovisionn\u00e9s dans un “environnement MFTaaS propre et s\u00e9curis\u00e9”.<\/p>\n Alors que Netcat est un programme l\u00e9gitime pour g\u00e9rer la lecture et l’\u00e9criture de donn\u00e9es sur un r\u00e9seau, on ne sait pas actuellement comment le Fichier JSP<\/a> a \u00e9t\u00e9 utilis\u00e9 dans les attentats.<\/p>\n L’enqu\u00eate a \u00e9galement r\u00e9v\u00e9l\u00e9 que CVE-2023-0669 \u00e9tait exploit\u00e9 contre un petit nombre d’impl\u00e9mentations sur site ex\u00e9cutant une configuration sp\u00e9cifique de la solution GoAnywhere MFT.<\/p>\n \u00c0 titre d’att\u00e9nuation, la soci\u00e9t\u00e9 recommande aux utilisateurs de faire pivoter la cl\u00e9 de chiffrement principale, de r\u00e9initialiser toutes les informations d’identification, de consulter les journaux d’audit et de supprimer tout compte d’administrateur ou d’utilisateur suspect.<\/p>\n Le d\u00e9veloppement vient comme Malwarebytes<\/a> et Groupe CNC<\/a> a signal\u00e9 un pic d’attaques de ransomwares au cours du mois de mars, en grande partie d\u00fb \u00e0 l’exploitation active de la vuln\u00e9rabilit\u00e9 GoAnywhere MFT.<\/p>\n Un total de 459 attaques ont \u00e9t\u00e9 enregistr\u00e9es le mois dernier seulement, soit une augmentation de 91 % par rapport \u00e0 f\u00e9vrier 2023 et un bond de 62 % par rapport \u00e0 mars 2022.<\/p>\n D\u00e9fendre avec tromperie\u00a0: Faire progresser la s\u00e9curit\u00e9 Zero Trust<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n