Selon Microsoft, les acteurs nord-cor\u00e9ens exploitent activement une faille de s\u00e9curit\u00e9 critique dans JetBrains TeamCity pour pirater de mani\u00e8re opportuniste des serveurs vuln\u00e9rables.<\/p>\n
Les attaques, qui impliquent l’exploitation de CVE-2023-42793 (score CVSS : 9,8), ont \u00e9t\u00e9 attribu\u00e9<\/a> \u00e0 Diamond Sleet (alias Labyrinth Chollima) et Onyx Sleet (alias Andariel ou Silent Chollima).<\/p>\n Il convient de noter que les deux groupes d\u2019activit\u00e9s de menace font partie du tristement c\u00e9l\u00e8bre acteur \u00e9tat-nation nord-cor\u00e9en connu sous le nom de Groupe Lazarus.<\/p>\n Dans l’une des deux voies d’attaque utilis\u00e9es par Diamond Sleet, une compromission r\u00e9ussie des serveurs TeamCity est suivie par le d\u00e9ploiement d’un implant connu appel\u00e9 ForestTiger \u00e0 partir d’une infrastructure l\u00e9gitime pr\u00e9c\u00e9demment compromise par l’acteur mena\u00e7ant.<\/p>\n Une deuxi\u00e8me variante des attaques exploite l’implantation initiale pour r\u00e9cup\u00e9rer une DLL malveillante (DSROLE.dll alias RollSling ou Version.dll ou FeedLoad) qui est charg\u00e9e au moyen d’une technique appel\u00e9e d\u00e9tournement d’ordre de recherche de DLL pour soit ex\u00e9cuter une \u00e9tape suivante. charge utile ou un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT).<\/p>\n Microsoft a d\u00e9clar\u00e9 avoir vu l’adversaire exploiter une combinaison d’outils et de techniques des deux s\u00e9quences d’attaque dans certains cas.<\/p>\n Les intrusions mont\u00e9es par Onyx Sleet, quant \u00e0 elles, utilisent l’acc\u00e8s offert par l’exploitation du bug JetBrains TeamCity pour cr\u00e9er un nouveau compte utilisateur nomm\u00e9 krtbgt qui est probablement destin\u00e9 \u00e0 usurper l’identit\u00e9 du ticket d’octroi de tickets Kerberos.<\/p>\n “Apr\u00e8s avoir cr\u00e9\u00e9 le compte, l’acteur malveillant l’ajoute au groupe d’administrateurs locaux via l’utilisation du r\u00e9seau”, a d\u00e9clar\u00e9 Microsoft. “L’acteur malveillant ex\u00e9cute \u00e9galement plusieurs commandes de d\u00e9couverte de syst\u00e8me sur des syst\u00e8mes compromis.”<\/p>\n Les attaques conduisent ensuite au d\u00e9ploiement d’un outil proxy personnalis\u00e9 baptis\u00e9 HazyLoad, qui permet d’\u00e9tablir une connexion persistante entre l’h\u00f4te compromis et l’infrastructure contr\u00f4l\u00e9e par l’attaquant.<\/p>\n Une autre action post-compromission notable est l’utilisation du compte krtbgt contr\u00f4l\u00e9 par l’attaquant pour se connecter \u00e0 l’appareil compromis via le protocole de bureau \u00e0 distance (RDP) et la r\u00e9siliation du service TeamCity dans le but d’emp\u00eacher l’acc\u00e8s d’autres acteurs malveillants.<\/p>\n Au fil des ann\u00e9es, le groupe Lazarus s\u2019est impos\u00e9 comme l\u2019un des groupes de menaces persistantes avanc\u00e9es (APT) les plus pernicieux et les plus sophistiqu\u00e9s actuellement actifs, orchestrant des attaques de criminalit\u00e9 financi\u00e8re et d\u2019espionnage \u00e0 parts \u00e9gales via des braquages \u200b\u200bde cryptomonnaies et des attaques de cha\u00eene d\u2019approvisionnement.<\/p>\n “Nous pensons certainement que le piratage nord-cor\u00e9en des crypto-monnaies autour des infrastructures, partout dans le monde \u2013 y compris \u00e0 Singapour, au Vietnam et \u00e0 Hong Kong \u2013 est une source majeure de revenus pour le r\u00e9gime, qui est utilis\u00e9e pour financer l’avancement du programme de missiles et bien plus encore. nombre de lancements que nous avons vus l’ann\u00e9e derni\u00e8re”, a d\u00e9clar\u00e9 Anne Neuberger, conseill\u00e8re adjointe \u00e0 la s\u00e9curit\u00e9 nationale des \u00c9tats-Unis. dit<\/a>.<\/p>\n Ce d\u00e9veloppement intervient alors que l’AhnLab Security Emergency Response Center (ASEC) a d\u00e9taill\u00e9 l’utilisation par le groupe Lazarus de familles de logiciels malveillants telles que Volgmer et Scout, qui servent de canal pour servir de portes d\u00e9rob\u00e9es pour contr\u00f4ler les syst\u00e8mes infect\u00e9s.<\/p>\n “Le groupe Lazarus fait partie des groupes tr\u00e8s dangereux et tr\u00e8s actifs dans le monde, utilisant divers vecteurs d’attaque tels que le spear phishing et les attaques contre la cha\u00eene d’approvisionnement”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 sud-cor\u00e9enne de cybers\u00e9curit\u00e9. dit<\/a>impliquant l’\u00e9quipe de piratage informatique dans une autre campagne nomm\u00e9e Operation Dream Magic.<\/p>\n Cela implique le montage attaques de points d’eau<\/a> en ins\u00e9rant un lien malveillant dans un article sp\u00e9cifique sur un site d’information non sp\u00e9cifi\u00e9 qui exploite les failles de s\u00e9curit\u00e9 des produits INISAFE et MagicLine pour activer les infections, une tactique pr\u00e9c\u00e9demment<\/a> associ\u00e9 \u00e0<\/a> le groupe Lazare.<\/p>\n Autre signe de l’\u00e9volution des programmes offensifs de la Cor\u00e9e du Nord, l’ASEC a attribu\u00e9<\/a> un autre acteur malveillant connu sous le nom de Kimsuky (alias APT43) \u00e0 une nouvelle s\u00e9rie d’attaques de spear-phishing qui utilisent le malware BabyShark pour installer une gamme h\u00e9t\u00e9roclite d’outils de bureau \u00e0 distance et de logiciels VNC (c’est-\u00e0-dire TightVNC et MinusculeNuke<\/a>) pour r\u00e9quisitionner les syst\u00e8mes des victimes et exfiltrer les informations.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Microsoft-met-en-garde-contre-les-attaques-nord-coreennes-exploitant-la.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n