L’attaque de la cha\u00eene d’approvisionnement ciblant 3CX \u00e9tait le r\u00e9sultat d’une compromission ant\u00e9rieure de la cha\u00eene d’approvisionnement associ\u00e9e \u00e0 une autre soci\u00e9t\u00e9, d\u00e9montrant un nouveau niveau de sophistication avec les acteurs de la menace nord-cor\u00e9ens.<\/p>\n
Mandiant, propri\u00e9t\u00e9 de Google, qui suit l’\u00e9v\u00e9nement d’attaque sous le surnom UNC4736<\/strong>, a dit<\/a> l’incident marque la premi\u00e8re fois qu’il a vu une “attaque de la cha\u00eene d’approvisionnement logicielle conduire \u00e0 une autre attaque de la cha\u00eene d’approvisionnement logicielle”.<\/p>\n L’attaque en cascade de style poup\u00e9e Matryoshka contre 3CX a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois le 29 mars 2023, lorsqu’il est apparu que les versions Windows et macOS de son logiciel de communication avaient \u00e9t\u00e9 trojanis\u00e9es pour fournir un mineur de donn\u00e9es bas\u00e9 sur C\/C++ nomm\u00e9 ICONIC Stealer au moyen d’un t\u00e9l\u00e9chargeur, SUDDENICON, qui utilisait des fichiers d’ic\u00f4nes h\u00e9berg\u00e9s sur GitHub pour extraire le serveur contenant le voleur.<\/p>\n “L’application malveillante tente ensuite de voler des informations sensibles du navigateur Web de l’utilisateur victime”, a d\u00e9clar\u00e9 l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA). a dit<\/a> dans une analyse du logiciel malveillant. “Plus pr\u00e9cis\u00e9ment, il ciblera les navigateurs Chrome, Edge, Brave ou Firefox.”<\/p>\n Certaines attaques ciblant les soci\u00e9t\u00e9s de crypto-monnaie impliquaient \u00e9galement le d\u00e9ploiement d’une porte d\u00e9rob\u00e9e appel\u00e9e Gopuram, capable d’ex\u00e9cuter des commandes suppl\u00e9mentaires et d’interagir avec le syst\u00e8me de fichiers de la victime.<\/p>\n Mandiant enqu\u00eate<\/a> dans la s\u00e9quence des \u00e9v\u00e9nements a maintenant r\u00e9v\u00e9l\u00e9 que le patient z\u00e9ro \u00e9tait une version malveillante d’un logiciel d\u00e9sormais abandonn\u00e9 fourni par une soci\u00e9t\u00e9 fintech appel\u00e9e Trading Technologies, qui a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 par un employ\u00e9 de 3CX sur son ordinateur personnel.<\/p>\n Il a d\u00e9crit le vecteur d’intrusion initial comme “un progiciel contenant des logiciels malveillants distribu\u00e9 via une pr\u00e9c\u00e9dente compromission de la cha\u00eene d’approvisionnement logicielle qui a commenc\u00e9 par un programme d’installation falsifi\u00e9 pour X_TRADER”.<\/p>\n Ce programme d’installation malveillant, \u00e0 son tour, contenait un binaire de configuration qui laissait tomber deux DLL trojanis\u00e9es et un ex\u00e9cutable inoffensif, ce dernier \u00e9tant utilis\u00e9 pour charger de c\u00f4t\u00e9 l’une des DLL camoufl\u00e9es comme une d\u00e9pendance l\u00e9gitime.<\/p>\n La cha\u00eene d’attaque s’est alors appuy\u00e9e sur des outils open source comme SIGFLIP<\/a> et DAVESHELL<\/a> pour finalement extraire et ex\u00e9cuter VEILEDSIGNAL, une porte d\u00e9rob\u00e9e modulaire \u00e0 plusieurs \u00e9tapes \u00e9crite en C qui est capable d’envoyer des donn\u00e9es, d’ex\u00e9cuter du shellcode et de se terminer.<\/p>\n La compromission initiale de l’ordinateur personnel de l’employ\u00e9 \u00e0 l’aide de VEILEDSIGNAL a permis \u00e0 l’auteur de la menace d’obtenir les informations d’identification d’entreprise de l’individu, deux apr\u00e8s quoi le premier acc\u00e8s non autoris\u00e9 \u00e0 son r\u00e9seau a eu lieu via un VPN en profitant des informations d’identification vol\u00e9es.<\/p>\n En plus d’identifier les similitudes tactiques entre les applications X_TRADER et 3CXDesktopApp compromises, Mandiant a constat\u00e9 que l’acteur de la menace s’est ensuite d\u00e9plac\u00e9 lat\u00e9ralement dans l’environnement 3CX et a viol\u00e9 les environnements de construction Windows et macOS.<\/p>\n “Sur l’environnement de construction Windows, l’attaquant a d\u00e9ploy\u00e9 un lanceur TAXHAUL et un t\u00e9l\u00e9chargeur COLDCAT qui persistaient en effectuant un chargement lat\u00e9ral de DLL via le service IKEEXT et s’ex\u00e9cutaient avec les privil\u00e8ges LocalSystem”, a d\u00e9clar\u00e9 Mandiant. “Le serveur de construction macOS a \u00e9t\u00e9 compromis avec la porte d\u00e9rob\u00e9e POOLRAT utilisant des d\u00e9mons de lancement comme m\u00e9canisme de persistance.”<\/p>\n POOLRAT, pr\u00e9c\u00e9demment class\u00e9 par la soci\u00e9t\u00e9 de renseignements sur les menaces sous le nom de SIMPLESEA, est un implant macOS C\/C++ capable de collecter des informations syst\u00e8me de base et d’ex\u00e9cuter des commandes arbitraires, notamment d’effectuer des op\u00e9rations sur les fichiers.<\/p>\n L’UNC4736 est soup\u00e7onn\u00e9 d’\u00eatre un groupe de menaces avec un lien nord-cor\u00e9en, une \u00e9valuation qui a \u00e9t\u00e9 renforc\u00e9e par la d\u00e9couverte par ESET d’un domaine de commande et de contr\u00f4le (C2) qui se chevauche (journalide[.]org) employ\u00e9 dans l’attaque de la cha\u00eene d’approvisionnement et celle d’une campagne du groupe Lazarus appel\u00e9e Operation Dream Job.<\/p>\n Les preuves rassembl\u00e9es par Mandiant montrent que le groupe pr\u00e9sente des points communs avec un autre ensemble d’intrusions suivi sous le nom d’Op\u00e9ration AppleJeus, qui a des ant\u00e9c\u00e9dents d’attaques \u00e0 motivation financi\u00e8re.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n De plus, la violation du site Web de Trading Technologies aurait eu lieu d\u00e9but f\u00e9vrier 2022 en militarisant une faille zero-day de Google Chrome (CVE-2022-0609) pour activer une cha\u00eene d’infection en plusieurs \u00e9tapes responsable de servir des inconnus. charges utiles aux visiteurs du site.<\/p>\n “Le site www.tradingtechnologies[.]com a \u00e9t\u00e9 compromis et h\u00e9bergeait un IFRAME cach\u00e9 pour exploiter les visiteurs, deux mois seulement avant que le site ne soit connu pour fournir un progiciel X_TRADER contenant un cheval de Troie \u00bb, a expliqu\u00e9 Mandiant.<\/p>\n Un autre lien le reliant \u00e0 AppleJeus est l’utilisation ant\u00e9rieure par l’acteur de la menace d’une ancienne version de POOLRAT dans le cadre d’un campagne de longue haleine<\/a> diffuser des applications de trading pi\u00e9g\u00e9es comme CoinGoTrade<\/a> pour faciliter le vol de crypto-monnaie.<\/p>\n L’ampleur totale de la campagne reste inconnue, et il n’est actuellement pas clair si le logiciel X_TRADER compromis a \u00e9t\u00e9 utilis\u00e9 par d’autres entreprises. La plate-forme aurait \u00e9t\u00e9 mise hors service en avril 2020, mais elle \u00e9tait toujours disponible en t\u00e9l\u00e9chargement sur le site en 2022.<\/p>\n![\"Attaque](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682078314_826_Les-hackers-de-NK-utilisent-une-attaque-en-cascade-de.png\" "\\"Attaque")
<\/div>\n