Tout d’abord, la CTI couvre un conseil conjoint de la CISA, du FBI et de la MS-ISAC concernant la compromission de l’année dernière d’un réseau d’agences fédérales de la branche exécutive civile (FCEB) sans nom. Ensuite, la CTI se penche sur un récent rapport conjoint de Mandiant et Fortinet sur une série d’attaques ciblant des organisations gouvernementales, au cours desquelles les pirates se sont engagés dans l’exploitation d’une vulnérabilité zero-day de Fortinet (CVE-2022-41328) pour déployer deux nouvelles souches de logiciels malveillants. Enfin, la CTI conclut avec une nouvelle campagne attribuée au groupe de menaces persistantes avancées (APT) Tick, qui aurait ciblé une société d’Asie de l’Est spécialisée dans le développement de logiciels de prévention des pertes de données (DLP).
1. Agence fédérale américaine piratée à l’aide de l’ancien bug Telerik pour voler des données
Selon un conseil conjoint émis par la CISA, le FBI et MS-ISAC, le serveur Web Microsoft Internet Information Services (IIS) d’une agence fédérale américaine a été piraté en 2022 lorsque l’attaquant a exploité une vulnérabilité de désérialisation .NET critique (CVE-2019-18935) ayant un impact sur l’IU Progress Telerik pour le composant AJAX de ASP.NET .
Comme l’explique le conseil conjoint, les attaquants avaient accès au serveur entre novembre 2022 et tôt janvier 2023 en fonction des indicateurs de compromission (IOC) trouvés sur le réseau de l’agence fédérale de la branche exécutive civile (FCEB) sans nom.
Depuis BleepingComputer :
Après avoir piraté le serveur de l’agence de la branche exécutive civile fédérale (FCEB) sans nom, elle a déployé des charges utiles malveillantes dans le dossier C :\Windows\Temp\ pour collecter et exfiltrer des informations vers des serveurs de commande et de contrôle contrôlés par des attaquants.
Le logiciel malveillant installé sur le serveur IIS compromis pourrait déployer des charges utiles supplémentaires, échappant à la détection en supprimant ses traces sur le système et en ouvrant des shells inversés pour maintenir la persistance.
Le logiciel malveillant en question pourrait également être utilisé pour déposer une web shell ASPX, fournissant aux attaquants une interface qui a aidé à parcourir le système local, télécharger/télécharger des fichiers et exécuter des commandes à distance. Cependant, comme détaillé dans l’avis, « aucune webshell n’a été observée comme étant tombée sur le système cible, probablement en raison du compte de service abusé disposant de permissions d’écriture restrictives. »
Le logiciel malveillant installé sur les serveurs IIS compromis est exploré plus en détail dans un rapport d’analyse des logiciels malveillants, publié simultanément par la CISA.
Vulnérabilités impliquées
Comme indiqué par CISA, CVE-2019-18935, une vulnérabilité de désérialisation .NET contenue dans une instance de Telerik UI pour AJAX Q2 2013 SP1 (version 2013,2,717) exécutée sur le serveur Microsoft IIS d’une agence FCEB a été exploitée avec succès pendant l’attaque.
L’exploit impliqué a fourni aux attaquants un accès interactif au serveur Web et leur a permis d’exécuter avec succès le code à distance sur le serveur Web vulnérable.
De la CISA :
Bien que l’analyseur de vulnérabilité de l’agence disposait du plug-in approprié pour CVE-2019-18935, il n’a pas détecté la vulnérabilité en raison de l ’installation du logiciel Telerik UI dans un chemin de fichier qu’il n’analyse généralement pas.
CISA a ajouté la vulnérabilité de sécurité CVE-2019-18935 Progress Telerik UI à son catalogue Known Exploited Vulnerabilities (KEV) en novembre 2021. L’avis indique ensuite que d’autres vulnérabilités peuvent avoir joué un rôle dans l’incident.
Acteurs malveillants, métiers impliqués
Selon BleepingComputer, au moins deux acteurs malveillants, l’un étant le groupe XE vietnamien , ont pu accéder au serveur non corrigé et obtenir une exécution de code à distance en exploitant le bug CVE-2019-18935 . Les principaux enseignements de l’opération sont les suivants :
- XE Group a été observé en train de mener un type d’activité de reconnaissance et d’analyse cohérente avec l’exploitation réussie de CVE-2019-18935 sur le serveur IIS de l’agence.
- Pendant l’exploitation de la vulnérabilité, les acteurs malveillants ont été observés en chargeant des fichiers DLL malveillants déguisés en fichiers PNG dans le répertoire C :\Windows\Temp\.
- Les fichiers malveillants ont ensuite été exécutés à partir du répertoire C :\Windows\Temp\ via le processus the w3wp.exe, un processus légitime qui s’exécute sur les serveurs IIS. Ce processus est une routine pour traiter les demandes envoyées aux serveurs Web et fournir du contenu. L’examen des journaux antivirus a permis d’identifier que certains fichiers DLL ont été créés et détectés dès août 2021, selon la CISA.
De plus, les fichiers malveillants déposés sur le serveur IIS compromis affichaient une convention de dénomination des fichiers cohérente avec les rapports précédents qui indique que les acteurs malveillants tirent généralement parti d’un tel schéma lors de l’exploitation de CVE-2019-18935.
De la CISA :
Les acteurs malveillants nomment les fichiers au format d’heure Unix Epoch et utilisent la date et l’heure enregistrées sur le système cible. La convention de dénomination de fichier suit le modèle [10 chiffres].[7 chiffres].dll (par ex., un fichier créé sur 31 octobre 2022, pourrait be 1667203023,5321205.dll).
Dans plusieurs cas, les artefacts que l’on s’attendait à trouver lors d’une enquête sur une telle activité n’étaient pas disponibles pour l’analyse en raison de la suppression des logiciels malveillants des acteurs malveillants. Le logiciel malveillant en question recherche et supprime les fichiers avec l’extension de fichier .dll du répertoire C :\Windows\Temp\.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« En plus d’appliquer régulièrement des correctifs aux logiciels, il est tout aussi important de s’assurer que les DLL sont liées aux chemins de fichiers que les mesures de sécurité/solutions audiovisuelles/d’endpoint analysent régulièrement pour détecter les fichiers anormaux, et tout ce qui n’est pas en place. Il est tout aussi important de s’assurer que les mécanismes défensifs sont configurés pour analyser les chemins de fichiers que les acteurs malveillants exploitent généralement. »
Depuis BleepingComputer :
Le CISA, le FBI et le MS-ISAC conseillent d’appliquer plusieurs mesures d’atténuation pour se protéger contre d’autres attaques ciblant cette vulnérabilité, avec certains des points forts, notamment :
- Mettez à niveau toutes les instances de Telerik UI ASP.NET AJAX vers la dernière version après les tests appropriés.
- Surveillez et analysez les journaux d’activité générés par Microsoft IIS et PowerShell à distance.
- Limitez les comptes de service aux permissions minimales nécessaires pour exécuter les services.
- Hiérarchisez la remédiation des vulnérabilités sur les systèmes connectés à Internet.
- Mettez en œuvre une solution de gestion des correctifs pour garantir la conformité aux derniers correctifs de sécurité.
- Assurez-vous que les scanners de vulnérabilité sont configurés pour analyser un éventail complet d’appareils et d’emplacements.
- Mettez en œuvre la segmentation du réseau pour séparer les segments de réseau en fonction du rôle et de la fonctionnalité. »
« La CISA, le FBI et MS-ISAC recommandent également de tester, d’exercer et de valider les programmes de sécurité contre les comportements de menace cartographiés au cadre MITRE ATT&CK for Enterprise mentionné dans le conseil. »
2. Un acteur chinois suspecté utilise Fortinet Zero-Day et des logiciels malveillants personnalisés dans le cadre d’opérations d’espionnage
Selon Mandiant, un cybercriminel chinois présumé parrainé par l’État a été lié à une série d’attaques ciblant des organisations gouvernementales au cours desquelles les pirates se sont engagés dans l’exploitation d’une vulnérabilité zero-day de Fortinet (CVE-2022-41328) pour déployer des logiciels malveillants.
Le défaut de sécurité zero-day en question, CVE-2022-41328, a été divulgué par Fortinet dans un récent conseil indiquant que :
« Une limitation [sique] inappropriée d’un nom de chemin vers une vulnérabilité de répertoire restreinte (« chemin traversal ») [CWE-22] dans FortiOS peut permettre à un attaquant privilégié de lire et d’écrire des fichiers arbitraires via des commandes CLI élaborées... »
Fortinet a publié des mises à jour de sécurité pour traiter la vulnérabilité de haute gravité, ce qui pourrait potentiellement permettre aux acteurs malveillants d’exécuter des codes ou des commandes non autorisés. L’avis n’a fait aucune mention de l’exploitation du bug à l’état sauvage, mais un rapport de Fortinet publié il y a environ deux semaines a révélé que CVE-2022-41328 exploits avaient été utilisés pour pirater et détruire plusieurs appareils de pare-feu FortiGate appartenant à l’un de ses clients, le même incident au centre des derniers rapports de Mandiant, dans lequel l’entreprise reconnaît travailler avec Fortinet pour enquêter sur l’exploitation et le déploiement de logiciels malveillants sur diverses solutions Fortinet.
Qu’est-ce qui est affecté ?
Selon Fortinet, les versions FortiOS suivantes sont affectées :
- Versions 6,4,0 à 6,4,11
- Versions 7,0,0 à 7,0,9
- Versions 7,2,0 à 7,2,3
- Toutes les versions de FortiOS 6,0 et 6,2
Détails de l’attaque
Les rapports de Mandiant indiquent que les attaques ont eu lieu mi-2022. L’analyse de l’activité de post-exploitation associée à une instance a révélé que le logiciel malveillant déployé par l’acteur chinois suspecté, aidé en grande partie par l’exploitation de CVE-2022-41328 , pouvait être utilisé à des fins de cyberespionnage, d’exfiltration de données, d’ouverture de shells distants et de téléchargement et d’écriture de fichiers sur des appareils compromis.
Les attaques ont été hautement ciblées par nature, avec une victimologie composée de réseaux gouvernementaux et de grandes organisations.
Qui est UNC3886 ?
UNC3886 est un groupe suspecté par Mandiant d’avoir un lien Chine-Nexus et qui a été associé au nouveau cadre de malwares VMware ESXi pour hyperviseurs divulgué dans septembre 2022.
Au moment des compromissions de l’hyperviseur ESXi, Mandiant a observé UNC3886 se connecter directement depuis les appareils FortiGate et FortiManager aux backdoors VIRTUALPITA à plusieurs reprises.
Les attaquants ont fait preuve d’un degré significatif de sophistication et de « capacités avancées ».
« L’attaque est hautement ciblée, avec quelques indices de cibles gouvernementales ou liées au gouvernement préférées », a déclaré Fortinet. « L’exploit nécessite une compréhension approfondie de FortiOS et du matériel sous-jacent. Les implants personnalisés montrent que l’acteur dispose de capacités avancées, y compris l’ingénierie inverse de diverses parties de FortiOS. »
Le ciblage associé aux attaques s’aligne sur les modèles de ciblage récents présentés par les acteurs de cyberespionnage soutenus par l’État chinois.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’activité malveillante porte certainement toutes les caractéristiques d’une opération parrainée par l’État, et comme indiqué précédemment, les modèles de ciblage observés, les capacités avancées et l’utilisation d’un exploit zero-day pourraient tous clairement indiquer l’implication d’une APT chinoise. Il semble que ce soit un coup de chance qui a alerté les enquêteurs de la présence de cet acteur en premier lieu. S’il s’agit du travail d’un attaquant Chine-nexus, cela n’est pas surprenant, car de nombreux collectifs de pirates informatiques soutenus par l’État sont notoirement furtifs et ont prouvé leur capacité à effectuer des intrusions pluriannuelles. CTI surveillera cette histoire de près. »
3. Tick APT cible les clients de grande valeur d’une entreprise de prévention des pertes de données en Asie de l’Est
ESET affirme qu’une nouvelle campagne attribuée au groupe Tick APT ciblait une société d’Asie de l’Est qui développe un logiciel de prévention des pertes de données (DLP).
Selon ESET, le groupe a compromis les serveurs de mise à jour internes de l’entreprise pour fournir des logiciels malveillants et des installateurs trojanqués d’outils légitimes utilisés par l’entreprise. Les installateurs trojantés ont été transmis à deux des clients de l’entreprise via un logiciel d’assistance à distance.
À propos de Tick
- Tick, également connu sous le nom de Butler Bronze, est un groupe de cyberespionnage d’origine chinoise.
- On pense que le groupe est actif depuis au moins 2006 ans, ciblant principalement la région APAC.
- Tick utilise un arsenal personnalisé de logiciels malveillants conçu pour la persistance, la reconnaissance, l’exfiltration de données et le téléchargement d’outils supplémentaires.
- Une coche a été précédemment observée en exploitant la vulnérabilité ProxyLogon.
Aperçu des attaques
À peu près au même moment que l’exploitation par Tick de la vulnérabilité ProxyLogon, l’opération a été vue avoir accès à une société de développeurs de logiciels d’Asie de l’Est. La campagne a tiré parti des logiciels malveillants et a remplacé les installateurs d’une application légitime, Q-dir, par des versions trojanquées pour déposer une porte dérobée nommée ReVBShell.
Cette activité a entraîné la compromission de deux des clients de l’entreprise lorsque le logiciel malveillant a été transféré via un logiciel d’assistance à distance. Les chercheurs pensent que cela s’est produit lorsque la société DLP fournissait une assistance technique à ces clients.
Calendrier des attaques
En mars 2021, l’acteur malveillant a déployé des logiciels malveillants sur plusieurs machines de la société DLP. Le logiciel malveillant comprenait des variantes des familles Netboy et Ghostdown, et un téléchargeur précédemment non documenté appelé ShadowPy.
Des copies trojancées des programmes d’installation Q-dir ont ensuite été introduites sur le réseau. Des mois plus tard, ces installateurs trojancés ont été transférés aux clients de la société DLP.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Qu’il s’agisse de l’intention des attaquants ou non, cette campagne a entraîné le transfert d’installateurs trojanqués à deux des clients de l’entreprise. On ne sait pas exactement comment cela s’est produit, mais on pense qu’il s’est produit pendant une session d’assistance technique qui a eu lieu entre l’entreprise et ses clients, au cours de laquelle des outils d’assistance à distance tels que ANYSUPPORT et helpU ont été utilisés. »
« Les chercheurs ne pensent pas qu’une attaque de type chaîne d’approvisionnement était l’objectif principal de la campagne, mais plutôt un résultat indirect de leurs opérations. En fin de compte, ce qui compte, ce sont les résultats et le fait qu’une attaque de la chaîne d’approvisionnement ait pu se produire (peut-être par accident) souligne le fait que ces incidents représentent toujours une réelle menace pour les entreprises. »
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
