Une nouvelle op\u00e9ration financi\u00e8rement motiv\u00e9e baptis\u00e9e RAT DE LABORATOIRE<\/strong> a \u00e9t\u00e9 observ\u00e9 en train de militariser une faille critique d\u00e9sormais corrig\u00e9e dans GitLab dans le cadre d’une campagne de cryptojacking et de proxyjacking.<\/p>\n “L’attaquant a utilis\u00e9 des outils bas\u00e9s sur des signatures non d\u00e9tect\u00e9s, des logiciels malveillants multiplateformes sophistiqu\u00e9s et furtifs, des outils de commande et de contr\u00f4le (C2) qui contournaient les pare-feu et des rootkits bas\u00e9s sur le noyau pour masquer leur pr\u00e9sence”, a d\u00e9clar\u00e9 Sysdig. dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “De plus, l’attaquant a abus\u00e9 d’un service l\u00e9gitime, EssayerCloudflare<\/a>pour obscurcir leur r\u00e9seau C2.”<\/p>\n Le proxyjacking permet \u00e0 l’attaquant de louer l’h\u00f4te compromis \u00e0 un r\u00e9seau proxy, ce qui permet de mon\u00e9tiser la bande passante inutilis\u00e9e. Le cryptojacking, quant \u00e0 lui, fait r\u00e9f\u00e9rence \u00e0 l’abus des ressources syst\u00e8me pour exploiter la crypto-monnaie.<\/p>\n Un aspect notable de la campagne est l’utilisation de binaires compil\u00e9s \u00e9crits en Go et .NET pour voler sous le radar, LABRAT fournissant \u00e9galement un acc\u00e8s par porte d\u00e9rob\u00e9e aux syst\u00e8mes infect\u00e9s. Cela pourrait finalement ouvrir la voie \u00e0 des attaques ult\u00e9rieures, \u00e0 des vols de donn\u00e9es et \u00e0 des ran\u00e7ongiciels.<\/p>\n Les cha\u00eenes d’attaque commencent par l’exploitation de CVE-2021-22205<\/a> (score CVSS\u00a0: 10,0), une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance qui a \u00e9t\u00e9 exploit\u00e9e \u00e0 l’\u00e9tat sauvage par des acteurs d’origine indon\u00e9sienne dans le pass\u00e9 pour d\u00e9ployer des crypto-mineurs.<\/p>\n Une effraction r\u00e9ussie est suivie de la r\u00e9cup\u00e9ration d’un script shell dropper \u00e0 partir d’un serveur C2 qui configure la persistance, effectue un mouvement lat\u00e9ral \u00e0 l’aide des informations d’identification SSH trouv\u00e9es dans le syst\u00e8me et t\u00e9l\u00e9charge des fichiers binaires suppl\u00e9mentaires \u00e0 partir d’un r\u00e9f\u00e9rentiel GitLab priv\u00e9.<\/p>\n “Au cours de l’op\u00e9ration LABRAT, TryCloudflare a \u00e9t\u00e9 utilis\u00e9 pour rediriger les connexions vers un serveur Web prot\u00e9g\u00e9 par mot de passe qui h\u00e9bergeait un script shell malveillant”, a d\u00e9clar\u00e9 Miguel Hern\u00e1ndez. “L’utilisation de l’infrastructure TryCloudFlare l\u00e9gitime peut rendre difficile pour les d\u00e9fenseurs d’identifier les sous-domaines comme malveillants, surtout s’ils sont \u00e9galement utilis\u00e9s dans des op\u00e9rations normales.”<\/p>\n TryCloudflare est un outil gratuit<\/a> qui peut \u00eatre utilis\u00e9 pour cr\u00e9er un tunnel Cloudflare sans ajouter de site au DNS de Cloudflare. Il lance un processus qui g\u00e9n\u00e8re un sous-domaine al\u00e9atoire sur trycloudflare.com, permettant ainsi aux ressources internes d’\u00eatre expos\u00e9es \u00e0 l’Internet public.<\/p>\n Le d\u00e9veloppement ajoute \u00e0 l’abus de cloudflared pour \u00e9tablir des canaux de communication secrets \u00e0 partir d’h\u00f4tes compromis et un acc\u00e8s principal aux r\u00e9seaux des victimes.<\/p>\n Dans une deuxi\u00e8me variante de l’attaque, l’adversaire aurait utilis\u00e9 un serveur Solr au lieu de TryCloudflare pour t\u00e9l\u00e9charger un exploit pour le PwnKit (CVE-2021-4034) \u00e0 partir du m\u00eame r\u00e9f\u00e9rentiel GitLab afin d’\u00e9lever les privil\u00e8ges, ainsi qu’un autre fichier qui n’est pas plus accessible.<\/p>\n Certaines des charges utiles r\u00e9cup\u00e9r\u00e9es par le script dropper incluent un utilitaire open source appel\u00e9 Global Socket (gsocket<\/a>) pour l’acc\u00e8s \u00e0 distance et les binaires pour effectuer le cryptojacking et le proxyjacking via des services connus tels que IPRoyal et ProxyLite. Le processus d’extraction est dissimul\u00e9 \u00e0 l’aide d’un rootkit bas\u00e9 sur le noyau appel\u00e9 cache-cryptominers-linux-rootkit<\/a>.<\/p>\n Un ex\u00e9cutable bas\u00e9 sur Go est \u00e9galement livr\u00e9, con\u00e7u pour assurer la persistance et tuer les processus de minage concurrents ou les anciennes versions de lui-m\u00eame afin d’exploiter pleinement les ressources de la machine et de maximiser leurs revenus.<\/p>\n “Puisque l’objectif de l’op\u00e9ration LABRAT est financier, le temps c’est de l’argent”, a d\u00e9clar\u00e9 Hern\u00e1ndez. “Plus un compromis reste longtemps non d\u00e9tect\u00e9, plus l’attaquant gagne d’argent et plus cela co\u00fbtera cher \u00e0 la victime.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Major-Cybersecurity-Agencies-Collaborate-to-Unveil-2022039s-Most-Exploited-Vulnerabilities.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/1692285448_767_La-nouvelle-campagne-LABRAT-exploite-la-faille-GitLab-pour-les.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgNmNiBV8c8Rp0Xy6N9lCX9JL2cBlrjkSeuW4JhgOVQ3mKTsYV4pPvh3nDz32D97D8XcWQ53EJ1p4n2VX0gZH_YrBZBqElUMfzFWgb50P8lv1iac_1f-p5liZzC1ISVWJygv2s1Qm36rOHwk_kPXUNNT3nbSDr144QYZ6XGq0aXRDOrFfSlUnHnc0x4Fe_F\/s728-e3650\/cis-d.gif\")
<\/a><\/center><\/section>\n