Le groupe parrain\u00e9 par l’\u00c9tat chinois connu sous le nom de UNC3886<\/strong> a \u00e9t\u00e9 trouv\u00e9 pour exploiter une faille zero-day dans les h\u00f4tes VMware ESXi pour d\u00e9tourner les syst\u00e8mes Windows et Linux.<\/p>\n La vuln\u00e9rabilit\u00e9 de contournement d’authentification de VMware Tools, suivie comme CVE-2023-20867<\/a> (score CVSS\u00a0: 3,9), “a permis l’ex\u00e9cution de commandes privil\u00e9gi\u00e9es sur les machines virtuelles invit\u00e9es Windows, Linux et PhotonOS (vCenter) sans authentification des informations d’identification de l’invit\u00e9 \u00e0 partir d’un h\u00f4te ESXi compromis et sans journalisation par d\u00e9faut sur les machines virtuelles invit\u00e9es”, Mandiant a dit<\/a>.<\/p>\n UNC3886 a \u00e9t\u00e9 initialement document\u00e9 par la soci\u00e9t\u00e9 de renseignement sur les menaces appartenant \u00e0 Google en septembre 2022 en tant qu’acteur de cyberespionnage infectant les serveurs VMware ESXi et vCenter avec des portes d\u00e9rob\u00e9es nomm\u00e9es VIRTUALPITA et VIRTUALPIE.<\/p>\n Plus t\u00f4t en mars, le groupe \u00e9tait li\u00e9 \u00e0 l’exploitation d’une faille de s\u00e9curit\u00e9 de gravit\u00e9 moyenne d\u00e9sormais corrig\u00e9e dans le syst\u00e8me d’exploitation Fortinet FortiOS pour d\u00e9ployer des implants sur les appliances r\u00e9seau et interagir avec les logiciels malveillants susmentionn\u00e9s.<\/p>\n L’acteur de la menace a \u00e9t\u00e9 d\u00e9crit comme un collectif adversaire “tr\u00e8s habile” ciblant les organisations de d\u00e9fense, de technologie et de t\u00e9l\u00e9communications aux \u00c9tats-Unis, au Japon et dans la r\u00e9gion Asie-Pacifique.<\/p>\n “Le groupe a acc\u00e8s \u00e0 des recherches approfondies et \u00e0 une assistance pour comprendre la technologie sous-jacente des appliances cibl\u00e9es”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant, appelant \u00e0 son mod\u00e8le de failles de militarisation dans les logiciels de pare-feu et de virtualisation qui ne prennent pas en charge les solutions EDR.<\/p>\n Dans le cadre de ses efforts pour exploiter les syst\u00e8mes ESXi, l’auteur de la menace a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de r\u00e9colter les informations d’identification des serveurs vCenter et d’abuser de CVE-2023-20867 pour ex\u00e9cuter des commandes et transf\u00e9rer des fichiers vers et depuis des machines virtuelles invit\u00e9es \u00e0 partir d’un h\u00f4te ESXi compromis.<\/p>\n Un aspect notable de l’artisanat de l’UNC3886 est son utilisation de l’interface de communication de la machine virtuelle (VMCI<\/a>) sockets pour le mouvement lat\u00e9ral et la persistance continue, lui permettant ainsi d’\u00e9tablir un canal secret entre l’h\u00f4te ESXi et ses machines virtuelles invit\u00e9es.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n Rejoindre la s\u00e9ance<\/a><\/div>\n “Ce canal de communication ouvert entre l’invit\u00e9 et l’h\u00f4te, o\u00f9 l’un ou l’autre des r\u00f4les peut agir en tant que client ou serveur, a permis \u00e0 un nouveau moyen de persistance de retrouver l’acc\u00e8s sur un h\u00f4te ESXi dot\u00e9 d’une porte d\u00e9rob\u00e9e tant qu’une porte d\u00e9rob\u00e9e est d\u00e9ploy\u00e9e et que l’attaquant obtient un acc\u00e8s initial \u00e0 tout machine invit\u00e9e \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Le d\u00e9veloppement intervient alors que la chercheuse de l’\u00e9quipe d’invocation Sina Kheirkhah divulgu\u00e9<\/a> trois failles diff\u00e9rentes dans VMware Aria Operations for Networks (CVE-2023-20887, CVE-2023-20888 et CVE-2023-20889) qui pourraient entra\u00eener l’ex\u00e9cution de code \u00e0 distance.<\/p>\n “UNC3886 continue de pr\u00e9senter des d\u00e9fis aux enqu\u00eateurs en d\u00e9sactivant et en alt\u00e9rant les services de journalisation, en supprimant de mani\u00e8re s\u00e9lective les \u00e9v\u00e9nements de journal li\u00e9s \u00e0 leur activit\u00e9”, a-t-il ajout\u00e9. “Le nettoyage r\u00e9troactif des acteurs de la menace effectu\u00e9 quelques jours apr\u00e8s les divulgations publiques pass\u00e9es sur leur activit\u00e9 indique \u00e0 quel point ils sont vigilants.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686048876_77_Alerte-Zero-Day-Google-publie-un-correctif-pour-la-nouvelle-vulnerabilite.jpg\")
<\/a><\/center><\/div>\n![\"Faille](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686767010_879_Des-pirates-chinois-exploitent-VMware-Zero-Day-pour-detourner-des-systemes.jpg\" "\\"Faille")
<\/div>\n