{"id":986626,"date":"2023-10-25T12:51:41","date_gmt":"2023-10-25T14:51:41","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-pirates-informatiques-detats-nations-exploitent-le-zero-day-dans-le-logiciel-de-messagerie-web-roundcube\/"},"modified":"2023-10-25T12:51:45","modified_gmt":"2023-10-25T14:51:45","slug":"des-pirates-informatiques-detats-nations-exploitent-le-zero-day-dans-le-logiciel-de-messagerie-web-roundcube","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-pirates-informatiques-detats-nations-exploitent-le-zero-day-dans-le-logiciel-de-messagerie-web-roundcube\/","title":{"rendered":"Des pirates informatiques d\u2019\u00c9tats-nations exploitent le Zero-Day dans le logiciel de messagerie Web Roundcube"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>25 octobre 2023<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Intelligence sur les menaces\/vuln\u00e9rabilit\u00e9<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

L’acteur malveillant connu sous le nom de Winter Vivern a \u00e9t\u00e9 observ\u00e9 en train d’exploiter une faille zero-day dans le logiciel de messagerie Web Roundcube le 11 octobre 2023, pour r\u00e9colter des e-mails sur les comptes des victimes.<\/p>\n

“Winter Vivern a intensifi\u00e9 ses op\u00e9rations en utilisant une vuln\u00e9rabilit\u00e9 zero-day dans Roundcube”, Matthieu Faou, chercheur en s\u00e9curit\u00e9 chez ESET. dit<\/a> dans un nouveau rapport publi\u00e9 aujourd’hui. Auparavant, il utilisait des vuln\u00e9rabilit\u00e9s connues dans Roundcube et Zimbra, pour lesquelles des preuves de concept sont disponibles en ligne. \u00bb<\/p>\n

\"La<\/a><\/center><\/div>\n

Winter Vivern, \u00e9galement connu sous les noms de TA473 et UAC-0114, est un collectif antagoniste dont les objectifs s’alignent sur ceux de la Bi\u00e9lorussie et de la Russie. Au cours des derniers mois, cela a \u00e9t\u00e9 attribu\u00e9 \u00e0 des attaques contre l\u2019Ukraine et la Pologne, ainsi que contre des entit\u00e9s gouvernementales en Europe et en Inde.<\/p>\n

Le groupe aurait \u00e9galement exploit\u00e9 pr\u00e9c\u00e9demment une autre faille Roundcube (CVE-2020-35730), ce qui en fait le deuxi\u00e8me groupe d’\u00c9tats-nations apr\u00e8s APT28 \u00e0 cibler le logiciel de messagerie Web open source.<\/p>\n

\"Logiciel<\/a><\/div>\n

La nouvelle faille de s\u00e9curit\u00e9 en question est CVE-2023-5631<\/a> (score CVSS : 5,4), une faille de script intersite stock\u00e9e qui pourrait permettre \u00e0 un attaquant distant de charger du code JavaScript arbitraire. Un correctif a \u00e9t\u00e9 publi\u00e9 le 14 octobre 2023.<\/p>\n

Les cha\u00eenes d’attaque mont\u00e9es par le groupe commencent par un message de phishing qui int\u00e8gre une charge utile cod\u00e9e en Base64 dans le code source HTML qui, \u00e0 son tour, d\u00e9code en une injection JavaScript \u00e0 partir d’un serveur distant en militarisant la faille XSS.<\/p>\n

“En r\u00e9sum\u00e9, en envoyant un message \u00e9lectronique sp\u00e9cialement con\u00e7u, les attaquants sont capables de charger du code JavaScript arbitraire dans le contexte de la fen\u00eatre du navigateur de l’utilisateur de Roundcube”, a expliqu\u00e9 Faou. “Aucune interaction manuelle autre que l’affichage du message dans un navigateur Web n’est requise.”<\/p>\n

\"La<\/a><\/center><\/div>\n

Le JavaScript de deuxi\u00e8me \u00e9tape (checkupdate.js) est un chargeur qui facilite l’ex\u00e9cution d’une charge utile JavaScript finale qui permet \u00e0 l’acteur malveillant d’exfiltrer les e-mails vers un serveur de commande et de contr\u00f4le (C2).<\/p>\n

“Malgr\u00e9 la faible sophistication de l’ensemble d’outils du groupe, il constitue une menace pour les gouvernements europ\u00e9ens en raison de sa persistance, de ses campagnes de phishing tr\u00e8s r\u00e9guli\u00e8res et du fait qu’un nombre important d’applications accessibles sur Internet ne sont pas r\u00e9guli\u00e8rement mises \u00e0 jour, bien qu’elles soient connues pour contenir vuln\u00e9rabilit\u00e9s”, a d\u00e9clar\u00e9 Faou.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n