Microsoft a confirm\u00e9 que l’exploitation active des serveurs PaperCut est li\u00e9e \u00e0 des attaques con\u00e7ues pour d\u00e9livrer les familles de ran\u00e7ongiciels Cl0p et LockBit.<\/p>\n
L’\u00e9quipe de renseignement sur les menaces du g\u00e9ant de la technologie attribue un sous-ensemble des intrusions \u00e0 un acteur financi\u00e8rement motiv\u00e9 qu’il suit sous le nom Temp\u00eate de dentelle<\/strong> (anciennement DEV-0950), qui chevauche d’autres groupes de piratage comme FIN11, TA505 et Evil Corp.<\/p>\n “Dans les attaques observ\u00e9es, Lace Tempest a ex\u00e9cut\u00e9 plusieurs commandes PowerShell pour fournir une DLL TrueBot, qui s’est connect\u00e9e \u00e0 un serveur C2, a tent\u00e9 de voler les informations d’identification LSASS et a inject\u00e9 la charge utile TrueBot dans le service conhost.exe”, Microsoft a dit<\/a> dans une s\u00e9rie de tweets.<\/p>\n La phase suivante de l’attaque impliquait le d\u00e9ploiement de l’implant Cobalt Strike Beacon pour effectuer une reconnaissance, se d\u00e9placer lat\u00e9ralement sur le r\u00e9seau \u00e0 l’aide de WMI et exfiltrer les fichiers d’int\u00e9r\u00eat via le service de partage de fichiers MegaSync.<\/p>\n Lace Tempest est une filiale de ransomware Cl0p qui aurait d\u00e9j\u00e0 exploit\u00e9 les exploits Fortra GoAnywhere MFT ainsi que l’acc\u00e8s initial obtenu via les infections Raspberry Robin (attribu\u00e9es \u00e0 un autre acteur surnomm\u00e9 DEV-0856).<\/p>\n Raspberry Robin, \u00e9galement appel\u00e9 ver QNAP, est consid\u00e9r\u00e9 comme un logiciel malveillant d’acc\u00e8s en tant que service utilis\u00e9 comme v\u00e9hicule de livraison pour les charges utiles de la prochaine \u00e9tape telles que IcedID, Cl0p et LockBit. Il est connu de int\u00e9grer<\/a> divers obfuscation, anti-d\u00e9bogage et mesures anti-machines virtuelles<\/a> pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Microsoft a d\u00e9clar\u00e9 que l’acteur de la menace avait incorpor\u00e9 les failles PaperCut (2023-27350 et CVE-2023-27351) dans sa bo\u00eete \u00e0 outils d’attaque d\u00e8s le 13 avril, corroborant l’\u00e9valuation pr\u00e9c\u00e9dente du fournisseur de logiciels de gestion d’impression bas\u00e9 \u00e0 Melbourne.<\/p>\n L’exploitation r\u00e9ussie des deux vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 pourrait permettre \u00e0 des attaquants distants non authentifi\u00e9s d’ex\u00e9cuter du code arbitraire et d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 des informations sensibles.<\/p>\n Un groupe d’activit\u00e9s distinct a \u00e9galement \u00e9t\u00e9 d\u00e9tect\u00e9, militarisant les m\u00eames failles, y compris celles qui conduisent \u00e0 des infections par le ran\u00e7ongiciel LockBit, a ajout\u00e9 Redmond.<\/p>\n Le d\u00e9veloppement intervient alors que le groupe de cybercriminalit\u00e9 russe surveill\u00e9 alors que FIN7 a \u00e9t\u00e9 li\u00e9 \u00e0 des attaques exploitant des instances de logiciel de sauvegarde Veeam non corrig\u00e9es pour distribuer POWERTRASH, un compte-gouttes en m\u00e9moire bas\u00e9 sur PowerShell qui ex\u00e9cute une charge utile int\u00e9gr\u00e9e.<\/p>\n L’activit\u00e9, d\u00e9tect\u00e9e par WithSecure le 28 mars 2023, impliquait probablement l’abus de CVE-2023-27532<\/a>, une faille de gravit\u00e9 \u00e9lev\u00e9e dans Veeam Backup & Replication qui permet \u00e0 un attaquant non authentifi\u00e9 d’obtenir des informations d’identification chiffr\u00e9es stock\u00e9es dans la base de donn\u00e9es de configuration et d’acc\u00e9der aux h\u00f4tes de l’infrastructure. Il a \u00e9t\u00e9 patch\u00e9 le mois dernier.<\/p>\n “L’acteur de la menace a utilis\u00e9 une s\u00e9rie de commandes ainsi que des scripts personnalis\u00e9s pour recueillir des informations sur l’h\u00f4te et le r\u00e9seau \u00e0 partir des machines compromises”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 finlandaise de cybers\u00e9curit\u00e9. a dit<\/a>. “De plus, une s\u00e9rie de commandes SQL ont \u00e9t\u00e9 ex\u00e9cut\u00e9es pour voler des informations de la base de donn\u00e9es de sauvegarde Veeam.”<\/p>\n Des scripts PowerShell personnalis\u00e9s ont \u00e9galement \u00e9t\u00e9 utilis\u00e9s dans les attaques pour r\u00e9cup\u00e9rer les informations d’identification stock\u00e9es sur les serveurs de sauvegarde, collecter des informations syst\u00e8me et mettre en place une prise active dans l’h\u00f4te compromis en ex\u00e9cutant DICELOADER (alias Lizar ou Tirion) \u00e0 chaque d\u00e9marrage de l’appareil.<\/p>\n Le script de persistance jusqu’ici non document\u00e9 porte le nom de code POWERHOLD, le logiciel malveillant DICELOADER \u00e9tant d\u00e9cod\u00e9 et ex\u00e9cut\u00e9 \u00e0 l’aide d’un autre chargeur unique appel\u00e9 DUBLOADER.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n “L’objectif de ces attaques n’\u00e9tait pas clair au moment de la r\u00e9daction, car elles ont \u00e9t\u00e9 att\u00e9nu\u00e9es avant de se mat\u00e9rialiser pleinement”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Neeraj Singh et Mohammad Kazem Hassan Nejad, ajoutant que les conclusions indiquent l’\u00e9volution de l’artisanat et du mode op\u00e9ratoire du groupe.<\/p>\n POWERHOLD et DUBLOADER sont loin d’\u00eatre les seuls nouveaux malwares ajout\u00e9s par FIN7 \u00e0 son arsenal d’attaques. IBM Security X-Force a r\u00e9cemment mis en lumi\u00e8re un chargeur et une porte d\u00e9rob\u00e9e appel\u00e9s Domino, con\u00e7us pour faciliter l’exploitation ult\u00e9rieure.<\/p>\n Dans un d\u00e9veloppement connexe, la Zero Day Initiative (ZDI) a r\u00e9v\u00e9l\u00e9 que les auteurs du botnet Mirai avaient mis \u00e0 jour leur malware pour inclure CVE-2023-1389, une faille de haute gravit\u00e9 dans les routeurs TP-Link Archer AX21 qui pourrait permettre \u00e0 un adversaire non authentifi\u00e9 d’ex\u00e9cuter code arbitraire sur les installations concern\u00e9es.<\/p>\n Le probl\u00e8me (CVE-2023-1389<\/a>score CVSS : 8,8) a \u00e9t\u00e9 d\u00e9montr\u00e9 lors du concours de piratage Pwn2Own organis\u00e9 \u00e0 Toronto en d\u00e9cembre 2022 par des chercheurs de Team Viettel, incitant le fournisseur \u00e0 publier des correctifs en mars 2023.<\/p>\n Les premiers signes d’exploitation \u00e0 l’\u00e9tat sauvage, selon ZDI, sont apparus le 11 avril 2023, les acteurs de la menace tirant parti de la faille pour envoyer une requ\u00eate HTTP aux serveurs de commande et de contr\u00f4le (C2) de Mirai afin de t\u00e9l\u00e9charger et d’ex\u00e9cuter des charges utiles. responsable de la cooptation de l’appareil dans le botnet et du lancement d’attaques DDoS contre les serveurs de jeux.<\/p>\n “Ce n’est pas nouveau pour les mainteneurs du botnet Mirai, qui sont connus pour exploiter rapidement les appareils IoT pour maintenir leur pr\u00e9sence dans une entreprise”, a d\u00e9clar\u00e9 Peter Girnus, chercheur sur les menaces au ZDI. a dit<\/a>. “Appliquer ce correctif<\/a> est la seule action recommand\u00e9e pour rem\u00e9dier \u00e0 cette vuln\u00e9rabilit\u00e9.”<\/p>\n <\/p>\nFIN7 exploite la faille Veeam CVE-2023-27532<\/h2>\n
![\"FIN7](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgmD2Yug3KxM2NaMyD3oN5APZBDw77dYtX2Zk3tJM6JX5b0xWy6NCOFpVXYxivi9U_Sm1aelNV2N4vohJMVOFJf363CZm9SGD7xXLypfu2P1v6enY3TAshs6dIaPCj9dtF-tDTRadROH0UCrlNTcWAYS6LZ58AJP273CZRhtKVkuDVPb0HnUxmAZnxY\/s728-e3650\/sqlcmd.png\" "\\"FIN7")
<\/div>\nMirai Botnet exploite le bogue du routeur WiFi Archer de TP-Link<\/h2>\n
![\"Exploits](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682586682_388_Microsoft-confirme-que-les-serveurs-PaperCut-sont-utilises-pour-fournir.png\" "\\"Exploits")
<\/div>\n