Des entit\u00e9s gouvernementales au Moyen-Orient et en Afrique ont \u00e9t\u00e9 la cible d’attaques de cyberespionnage soutenues qui exploitent des techniques in\u00e9dites et rares de vol d’informations d’identification et d’exfiltration d’e-mails Exchange.<\/p>\n
“L’objectif principal des attaques \u00e9tait d’obtenir des informations hautement confidentielles et sensibles, sp\u00e9cifiquement li\u00e9es aux politiciens, aux activit\u00e9s militaires et aux minist\u00e8res des affaires \u00e9trang\u00e8res”, Lior Rochberger, chercheur principal sur les menaces chez Palo Alto Networks, a dit<\/a> dans une plong\u00e9e technique approfondie publi\u00e9e la semaine derni\u00e8re.<\/p>\n L’\u00e9quipe Cortex Threat Research de la soci\u00e9t\u00e9 est suivi<\/a> l’activit\u00e9 sous le nom temporaire CL-STA-0043<\/strong> (o\u00f9 CL signifie cluster et STA signifie motivation soutenue par l’\u00c9tat), le d\u00e9crivant comme une “v\u00e9ritable menace persistante avanc\u00e9e”.<\/p>\n La cha\u00eene d’infection est d\u00e9clench\u00e9e par l’exploitation de services d’information Internet sur site vuln\u00e9rables (IIS<\/a>) et Microsoft Exchange sert \u00e0 infiltrer les r\u00e9seaux cibles.<\/p>\n Palo Alto Networks a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 des tentatives infructueuses d’ex\u00e9cution du shell Web China Chopper dans l’une des attaques, incitant l’adversaire \u00e0 changer de tactique et \u00e0 tirer parti d’un implant Visual Basic Script en m\u00e9moire \u00e0 partir du serveur Exchange.<\/p>\n Une effraction r\u00e9ussie est suivie d’une activit\u00e9 de reconnaissance pour cartographier le r\u00e9seau et identifier les serveurs critiques qui contiennent des donn\u00e9es de valeur, notamment les contr\u00f4leurs de domaine, les serveurs Web, les serveurs Exchange, les serveurs FTP et les bases de donn\u00e9es SQL.<\/p>\n CL-STA-0043 a \u00e9galement \u00e9t\u00e9 observ\u00e9 en utilisant des outils Windows natifs pour l’\u00e9l\u00e9vation des privil\u00e8ges, lui permettant ainsi de cr\u00e9er des comptes d’administrateur et d’ex\u00e9cuter d’autres programmes avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n Une autre m\u00e9thode d’escalade des privil\u00e8ges implique l’abus des fonctionnalit\u00e9s d’accessibilit\u00e9 de Windows, c’est-\u00e0-dire le “touches collantes<\/a>” utilitaire (sethc.exe) – qui permet de contourner les exigences de connexion et de d\u00e9tourner les syst\u00e8mes.<\/p>\n “Lors de l’attaque, l’attaquant remplace g\u00e9n\u00e9ralement le binaire sethc.exe ou les pointeurs\/r\u00e9f\u00e9rences vers ces binaires dans le registre par cmd.exe”, a expliqu\u00e9 Rochberger. “Lorsqu’il est ex\u00e9cut\u00e9, il fournit un shell d’invite de commande \u00e9lev\u00e9 \u00e0 l’attaquant pour ex\u00e9cuter des commandes arbitraires et d’autres outils.”<\/p>\n Une approche similaire utilisant le gestionnaire d’utilitaires (utilman.exe) pour \u00e9tablir un acc\u00e8s de porte d\u00e9rob\u00e9e persistant \u00e0 l’environnement d’une victime a \u00e9t\u00e9 document\u00e9e par CrowdStrike au d\u00e9but du mois d’avril.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-cybercriminels-bresiliens-utilisent-les-scripts-LOLBaS-et-CMD-pour.png\")
<\/a><\/center><\/div>\n![\"Cyber-espionnage](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1687172794_834_Les-pirates-informatiques-soutenus-par-lEtat-utilisent-des-methodes-avancees.jpg\" "\\"Cyber-espionnage")
<\/div>\n