La porte d\u00e9rob\u00e9e implant\u00e9e sur les appareils Cisco en exploitant deux failles zero-day dans le logiciel IOS XE a \u00e9t\u00e9 modifi\u00e9e par l’acteur malveillant afin d’\u00e9chapper \u00e0 la visibilit\u00e9 via les m\u00e9thodes d’empreintes digitales pr\u00e9c\u00e9dentes.<\/p>\n
“L’enqu\u00eate sur le trafic r\u00e9seau vers un appareil compromis a montr\u00e9 que l’acteur malveillant a mis \u00e0 niveau l’implant pour effectuer une v\u00e9rification d’en-t\u00eate suppl\u00e9mentaire”, a d\u00e9clar\u00e9 l’\u00e9quipe Fox-IT du groupe NCC. dit<\/a>. “Ainsi, pour de nombreux appareils, l’implant est toujours actif, mais ne r\u00e9pond d\u00e9sormais que si l’en-t\u00eate HTTP d’autorisation correct est d\u00e9fini.”<\/p>\n Les attaques consistent \u00e0 transformer CVE-2023-20198 (score CVSS : 10,0) et CVE-2023-20273 (score CVSS : 7,2) en une cha\u00eene d’exploitation qui donne \u00e0 l’acteur malveillant la possibilit\u00e9 d’acc\u00e9der aux appareils, de cr\u00e9er un compte privil\u00e9gi\u00e9, et finalement d\u00e9ployer un implant bas\u00e9 sur Lua sur les appareils.<\/p>\n Ce d\u00e9veloppement intervient alors que Cisco a commenc\u00e9 \u00e0 d\u00e9ployer des mises \u00e0 jour de s\u00e9curit\u00e9 pour aborder les probl\u00e8mes<\/a>avec d’autres mises \u00e0 jour \u00e0 venir \u00e0 une date encore inconnue.<\/p>\n L’identit\u00e9 exacte de l’auteur de la menace \u00e0 l’origine de la campagne n’est actuellement pas connue, bien que le nombre d’appareils concern\u00e9s soit estim\u00e9 \u00e0 plusieurs milliers, sur la base des donn\u00e9es partag\u00e9es par VulnCheck et la soci\u00e9t\u00e9 de gestion de surface d’attaque Censys.<\/p>\n “Les infections ressemblent \u00e0 des piratages massifs”, a d\u00e9clar\u00e9 Mark Ellzey, chercheur principal en s\u00e9curit\u00e9 chez Censys, \u00e0 The Hacker News. “Il y aura peut-\u00eatre un moment o\u00f9 les pirates examineront ce qu’ils ont et d\u00e9termineront si quelque chose vaut quelque chose.”<\/p>\n Cependant, le nombre d’appareils compromis s’est effondr\u00e9<\/a> ces derniers jours<\/a>passant d’environ 40 000 \u00e0 quelques centaines, ce qui laisse supposer qu’il pourrait y avoir eu quelques changements sous le capot<\/a> pour cacher sa pr\u00e9sence.<\/p>\n Les derni\u00e8res modifications de l’implant d\u00e9couvertes par Fox-IT expliquent la raison de cette baisse soudaine et spectaculaire, car il a \u00e9t\u00e9 observ\u00e9 que plus de 37 000 appareils \u00e9taient encore compromis avec l’implant.<\/p>\n Cisco, de son c\u00f4t\u00e9, a confirm\u00e9<\/a> le changement de comportement<\/a> dans ses avis mis \u00e0 jour, partageant une commande curl pouvant \u00eatre \u00e9mise depuis un poste de travail pour v\u00e9rifier la pr\u00e9sence de l’implant sur les appareils –<\/p>\n curl -k -H “Autorisation\u00a0: 0ff4fbf0ecffa77ce8d3852a29263e263838e9bb” -X POST “https:\/\/systemip\/webui\/logoutconfirm.html?logon_hash=1”<\/i><\/p><\/blockquote>\n “Si la requ\u00eate renvoie une cha\u00eene hexad\u00e9cimale telle que 0123456789abcdef01, l’implant est pr\u00e9sent”, a not\u00e9 Cisco.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Implantation-de-porte-derobee-sur-des-appareils-Cisco-pirates-modifies.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n