Les agences de cybers\u00e9curit\u00e9 ont mis en garde contre l’\u00e9mergence de nouvelles variantes du malware TrueBot. Cette menace accrue cible d\u00e9sormais des entreprises aux \u00c9tats-Unis et au Canada dans le but d’extraire des donn\u00e9es confidentielles de syst\u00e8mes infiltr\u00e9s.<\/p>\n
Ces attaques sophistiqu\u00e9es exploitent une vuln\u00e9rabilit\u00e9 critique (CVE-2022-31199) dans le serveur Netwrix Auditor largement utilis\u00e9 et ses agents associ\u00e9s.<\/p>\n
Cette vuln\u00e9rabilit\u00e9 permet \u00e0 des attaquants non autoris\u00e9s d’ex\u00e9cuter du code malveillant avec les privil\u00e8ges de l’utilisateur SYSTEM, leur accordant un acc\u00e8s illimit\u00e9 aux syst\u00e8mes compromis.<\/p>\n
Le malware TrueBot, li\u00e9 aux collectifs cybercriminels Silence et FIN11, est d\u00e9ploy\u00e9 pour siphonner des donn\u00e9es et diffuser des ransomwares, mettant en p\u00e9ril la s\u00e9curit\u00e9 de nombreux r\u00e9seaux infiltr\u00e9s.<\/p>\n Les cybercriminels prennent pied en exploitant la vuln\u00e9rabilit\u00e9 cit\u00e9e, puis proc\u00e8dent \u00e0 l’installation de TrueBot. Une fois qu’ils ont p\u00e9n\u00e9tr\u00e9 les r\u00e9seaux, ils installent le cheval de Troie d’acc\u00e8s \u00e0 distance FlawedGrace (RAT) pour \u00e9lever leurs privil\u00e8ges, \u00e9tablir la persistance sur les syst\u00e8mes compromis et effectuer des op\u00e9rations suppl\u00e9mentaires.<\/p>\n “Pendant la phase d’ex\u00e9cution de FlawedGrace, le RAT stocke les charges utiles crypt\u00e9es dans le registre. L’outil peut cr\u00e9er des t\u00e2ches planifi\u00e9es et injecter des charges utiles dans msiexec[.]exe et svchost[.]exe, qui sont des processus de commande qui permettent \u00e0 FlawedGrace d’\u00e9tablir une connexion de commande et de contr\u00f4le (C2) \u00e0 92.118.36[.]199, par exemple, ainsi que le chargement de biblioth\u00e8ques de liens dynamiques (DLL) pour effectuer une \u00e9l\u00e9vation de privil\u00e8ges \u00bb, le consultatif<\/a> dit.<\/p>\n Les cybercriminels lancent des balises Cobalt Strike quelques heures apr\u00e8s la premi\u00e8re intrusion. Ces balises facilitent les t\u00e2ches de post-exploitation, notamment le vol de donn\u00e9es et l’installation de ran\u00e7ongiciels ou de diff\u00e9rentes charges utiles de logiciels malveillants.<\/p>\n Alors que les versions pr\u00e9c\u00e9dentes du logiciel malveillant TrueBot se propageaient g\u00e9n\u00e9ralement via des pi\u00e8ces jointes malveillantes, les versions mises \u00e0 jour exploitent la vuln\u00e9rabilit\u00e9 CVE-2022-31199 pour obtenir un acc\u00e8s initial.<\/p>\n Ce changement strat\u00e9gique permet aux acteurs de la cyber-menace de mener des attaques \u00e0 plus grande \u00e9chelle dans des environnements infiltr\u00e9s. Il est important de noter que le logiciel Netwrix Auditor est utilis\u00e9 par plus de 13 000 organisations<\/a> dans le monde entier, y compris des entreprises notables telles qu’Airbus, Allianz, le NHS britannique et Virgin.<\/p>\n L’avis ne fournit pas d’informations sp\u00e9cifiques sur les victimes ou le nombre d’organisations touch\u00e9es par les attaques TrueBot.<\/p>\n Le rapport souligne \u00e9galement la participation du malware Raspberry Robin \u00e0 ces attaques TrueBot, ainsi que d’autres malwares post-compromis comme IcedID et Bumblebee. En utilisant Raspberry Robin comme plate-forme de distribution, les attaquants peuvent atteindre davantage de victimes potentielles et amplifier l’impact de leurs activit\u00e9s malveillantes.<\/p>\n \ud83d\udd10 Gestion des acc\u00e8s privil\u00e9gi\u00e9s\u00a0: apprenez \u00e0 relever les principaux d\u00e9fis<\/p>\n <\/a><\/p>\n D\u00e9couvrez diff\u00e9rentes approches pour relever les d\u00e9fis de la gestion des comptes privil\u00e9gi\u00e9s (PAM) et am\u00e9liorer votre strat\u00e9gie de s\u00e9curit\u00e9 des acc\u00e8s privil\u00e9gi\u00e9s.<\/p>\n