L’acteur mena\u00e7ant connu sous le nom de ChamelGang<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’utiliser un implant auparavant non document\u00e9 pour d\u00e9jouer des syst\u00e8mes Linux, marquant une nouvelle expansion des capacit\u00e9s de l’acteur mena\u00e7ant.<\/p>\n Le malware, surnomm\u00e9 ChamelDoH<\/a> par Stairwell, est un outil bas\u00e9 sur C++ pour communiquer via un tunneling DNS-over-HTTPS (DoH).<\/p>\n ChamelGang a \u00e9t\u00e9 d\u00e9voil\u00e9 pour la premi\u00e8re fois par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Positive Technologies en septembre 2021, d\u00e9taillant ses attaques contre les industries de production de carburant, d’\u00e9nergie et d’aviation en Russie, aux \u00c9tats-Unis, en Inde, au N\u00e9pal, \u00e0 Ta\u00efwan et au Japon.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par l’acteur ont exploit\u00e9 les vuln\u00e9rabilit\u00e9s des serveurs Microsoft Exchange et de l’application Red Hat JBoss Enterprise pour obtenir un acc\u00e8s initial et mener des attaques de vol de donn\u00e9es \u00e0 l’aide d’une porte d\u00e9rob\u00e9e passive appel\u00e9e DoorMe.<\/p>\n “Il s’agit d’un module IIS natif qui est enregistr\u00e9 en tant que filtre \u00e0 travers lequel les requ\u00eates et les r\u00e9ponses HTTP sont trait\u00e9es”, a d\u00e9clar\u00e9 Positive Technologies \u00e0 l’\u00e9poque. “Son principe de fonctionnement est inhabituel\u00a0: la porte d\u00e9rob\u00e9e ne traite que les requ\u00eates dans lesquelles le param\u00e8tre de cookie correct est d\u00e9fini.”<\/p>\n La porte d\u00e9rob\u00e9e Linux d\u00e9couverte par Stairwell, pour sa part, est con\u00e7ue pour capturer des informations syst\u00e8me et est capable d’effectuer des op\u00e9rations d’acc\u00e8s \u00e0 distance telles que le t\u00e9l\u00e9chargement, le t\u00e9l\u00e9chargement, la suppression et l’ex\u00e9cution de commandes shell.<\/p>\n Ce qui rend ChamelDoH unique, c’est sa nouvelle m\u00e9thode de communication utilisant DoH, qui est utilis\u00e9e pour effectuer la r\u00e9solution du syst\u00e8me de noms de domaine (DNS) via le protocole HTTPS, pour envoyer Requ\u00eates DNS TXT<\/a> \u00e0 un voyou nom du serveur<\/a>.<\/p>\n “En raison du fait que ces fournisseurs DoH sont couramment utilis\u00e9s, les serveurs DNS [i.e., Cloudflare and Google] pour le trafic l\u00e9gitime, ils ne peuvent pas \u00eatre facilement bloqu\u00e9s \u00e0 l’\u00e9chelle de l’entreprise \u00bb, a d\u00e9clar\u00e9 Daniel Mayer, chercheur chez Stairwell.<\/p>\n L’utilisation de DoH pour le commandement et le contr\u00f4le (C2) offre \u00e9galement des avantages suppl\u00e9mentaires pour l’auteur de la menace dans la mesure o\u00f9 les demandes ne peuvent pas \u00eatre intercept\u00e9es au moyen d’une attaque d’adversaire au milieu (AitM) gr\u00e2ce \u00e0 l’utilisation du HTTPS. protocole.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1685947184_392_Magento-WooCommerce-WordPress-et-Shopify-exploites-dans-une-attaque-Web.jpg\")
<\/a><\/center><\/div>\n![\"Porte](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686924030_441_ChamelDoH-nouvelle-porte-derobee-Linux-utilisant-le-tunneling-DNS-sur.jpg\" "\\"Porte")
<\/div>\n