Les chercheurs en cybers\u00e9curit\u00e9 mettent en garde contre l’exploitation pr\u00e9sum\u00e9e d’une faille de s\u00e9curit\u00e9 critique r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans le service de courtage de messages open source Apache ActiveMQ, qui pourrait entra\u00eener l’ex\u00e9cution de code \u00e0 distance.<\/p>\n
“Dans les deux cas, l’adversaire a tent\u00e9 de d\u00e9ployer des binaires de ransomware sur les syst\u00e8mes cibles dans le but de ran\u00e7onner les organisations victimes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Rapid7. divulgu\u00e9<\/a> dans un rapport publi\u00e9 mercredi.<\/p>\n “Sur la base de la demande de ran\u00e7on et des preuves disponibles, nous attribuons l’activit\u00e9 \u00e0 la famille de ransomwares HelloKitty, dont le code source a \u00e9t\u00e9 divulgu\u00e9 sur un forum d\u00e9but octobre.”<\/p>\n Les intrusions impliqueraient l’exploitation de CVE-2023-46604<\/a>une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance dans Apache ActiveMQ qui permet \u00e0 un acteur malveillant d’ex\u00e9cuter des commandes shell arbitraires.<\/p>\n Il convient de noter que le vuln\u00e9rabilit\u00e9<\/a> porte un score CVSS de 10,0, indiquant une gravit\u00e9 maximale. Il a \u00e9t\u00e9 adress\u00e9<\/a> dans les versions ActiveMQ 5.15.16, 5.16.7, 5.17.6 ou 5.18.3 publi\u00e9es \u00e0 la fin du mois dernier.<\/p>\n La vuln\u00e9rabilit\u00e9 affecte les versions suivantes –<\/p>\n Depuis la divulgation du bug, une preuve de concept (PoC) exploiter le code<\/a> et sp\u00e9cificit\u00e9s techniques suppl\u00e9mentaires<\/a> ont \u00e9t\u00e9 rendus publics, Rapid7 notant que le comportement observ\u00e9 dans les deux r\u00e9seaux victimes est “similaire \u00e0 ce que nous attendrions de l’exploitation de CVE-2023-46604”.<\/p>\n Une exploitation r\u00e9ussie est suivie par la tentative de l’adversaire de charger des binaires distants nomm\u00e9s M2.png et M4.png \u00e0 l’aide de Windows Installer (msiexec<\/a>).<\/p>\n Les deux fichiers MSI contiennent un ex\u00e9cutable .NET 32 bits nomm\u00e9 dllloader qui, \u00e0 son tour, charge une charge utile cod\u00e9e en Base64 appel\u00e9e EncDLL qui fonctionne comme un ransomware, recherchant et mettant fin \u00e0 un ensemble sp\u00e9cifique de processus avant de commencer le processus de cryptage et d’ajouter le fichier crypt\u00e9. fichiers avec l’extension “.locked”.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/HelloKitty-Ransomware-Group-exploitant-la-vulnerabilite-Apache-ActiveMQ.jpg\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n