Tout d’abord, le CTI fait état d’un avis conjoint émis par la CISA, le FBI et le MS-ISAC concernant la compromission, l’année dernière, du réseau d’une agence fédérale civile relevant du pouvoir exécutif (FCEB) dont le nom n’a pas été divulgué. CTI se penche ensuite sur un rapport conjoint récent de Mandiant et Fortinet concernant une série d'attaques visant des organismes publics, au cours desquelles les pirates ont exploité une vulnérabilité « zero-day » de Fortinet (CVE-2022-41328) pour déployer deux nouvelles souches de logiciels malveillants. Enfin, CTI conclut son analyse en se penchant sur une nouvelle campagne attribuée au groupe Tick, spécialisé dans les menaces persistantes avancées (APT), qui aurait pris pour cible une entreprise d'Asie de l'Est spécialisée dans le développement de logiciels de prévention des pertes de données (DLP).
1. Une agence fédérale américaine a été piratée à l'aide d'une ancienne faille de Telerik afin de voler des données
Selon un avis conjoint « » publié par la CISA, le FBI et le MS-ISAC (s'ouvre dans un nouvel onglet), le serveur web Microsoft Internet Information Services (IIS) d’une agence fédérale américaine a été piraté en 2022 , lorsque le pirate a exploité une vulnérabilité critique de désérialisation .NET (CVE-2019-18935 (s'ouvre dans un nouvel onglet)) affectant le composant AJAX Progress Telerik UI for ASP.NET (s'ouvre dans un nouvel onglet) composant AJAX.
Comme l'explique l'avis conjoint, les attaquants ont eu accès au serveur entre le novembre 2022 et le début du janvier 2023 , d'après les indicateurs de compromission (IOC) découverts sur le réseau d'une agence fédérale civile du pouvoir exécutif (FCEB) dont le nom n'a pas été divulgué.
Extrait de BleepingComputer :
Après avoir piraté le serveur de cette agence fédérale civile du pouvoir exécutif (FCEB) dont le nom n'a pas été divulgué, ils ont déployé des charges utiles malveillantes dans le dossier C:\Windows\Temp\ afin de collecter et d'exfiltrer des informations vers des serveurs de commande et de contrôle contrôlés par les attaquants.
Le logiciel malveillant installé sur le serveur IIS compromis pourrait déployer des charges utiles supplémentaires, échapper à la détection en effaçant ses traces sur le système et ouvrir des shells inversés afin de maintenir sa persistance.
Le logiciel malveillant en question pouvait également servir à déployer un « web shell » ASPX, offrant ainsi aux attaquants une interface leur permettant de parcourir le système local, de télécharger ou d'envoyer des fichiers, et d'exécuter des commandes à distance. Toutefois, comme l'indique l'avis, « aucun webshell n'a été détecté sur le système cible, probablement en raison des droits d'écriture restreints du compte de service piraté ».
Le logiciel malveillant installé sur les serveurs IIS compromis est examiné plus en détail dans un rapport d’analyse du logiciel malveillant « » (s’ouvre dans un nouvel onglet), publié simultanément par la CISA.
Vulnérabilités concernées
Selon les informations communiquées par la CISA, une vulnérabilité de désérialisation .NET ( CVE-2019-18935) présente dans une instance de Telerik UI for AJAX Q2 2013 SP1 (version 2013,2,717) s'exécutant sur le serveur Microsoft IIS d'une agence de la FCEB a été exploitée avec succès lors de l'attaque.
La faille exploitée a permis aux attaquants d'obtenir un accès interactif au serveur web et leur a permis d'exécuter avec succès du code à distance sur le serveur web vulnérable.
Communiqué de la CISA :
Bien que le scanner de vulnérabilités de l'agence disposât du module complémentaire adapté à la vulnérabilité CVE-2019-18935, il n'a pas réussi à la détecter, car le logiciel Telerik UI était installé dans un chemin d'accès qu'il n'analyse généralement pas.
La CISA a ajouté la faille de sécurité « CVE-2019-18935 Progress Telerik UI » à son catalogue des vulnérabilités connues exploitées (KEV) sur novembre 2021. L'avis précise ensuite que d'autres vulnérabilités ont pu jouer un rôle dans cet incident.
Acteurs malveillants et techniques utilisées
Selon BleepingComputer, au moins deux acteurs malveillants — dont le groupe vietnamien XE Group (s'ouvre dans un nouvel onglet) , membre de l' — ont réussi à accéder au serveur non corrigé et à obtenir l'exécution de code à distance en exploitant la faille CVE-2019-18935 . (s'ouvre dans un nouvel onglet) Les principaux enseignements à tirer de cette opération sont les suivants :
- Le groupe XE a été observé en train de mener une activité de reconnaissance et d'analyse correspondant à l'exploitation réussie de la vulnérabilité CVE-2019-18935 sur le serveur IIS de l'agence.
- Lors de l'exploitation de cette vulnérabilité, on a constaté que les auteurs de la menace téléchargeaient des fichiers DLL malveillants, déguisés en fichiers PNG, dans le répertoire C:\Windows\Temp\.
- Les fichiers malveillants ont ensuite été exécutés à partir du répertoire C:\Windows\Temp\ via le processus the w3wp.exe — un processus légitime qui s'exécute sur les serveurs IIS. Ce processus fait partie des opérations courantes permettant de traiter les requêtes envoyées aux serveurs web et de fournir du contenu. L'analyse des journaux antivirus a permis de constater que certains fichiers DLL avaient été créés et détectés dès le août 2021, selon la CISA.
Par ailleurs, les fichiers malveillants déposés sur le serveur IIS compromis présentaient une convention de nommage conforme aux rapports antérieurs, selon lesquels les auteurs de menaces ont souvent recours à ce schéma lorsqu'ils exploitent la vulnérabilité CVE-2019-18935.
Communiqué de la CISA :
Les auteurs de la menace nomment les fichiers au format « Unix Epoch » et utilisent la date et l'heure telles qu'elles sont enregistrées sur le système cible. La convention de nommage des fichiers suit le modèle [10 chiffres].[7 chiffres].dll (par exemple, un fichier créé le 31 octobre 2022 pourrait s'appeler be 1667203023,5321205.dll).
À plusieurs reprises, les éléments de preuve que l'on aurait pu s'attendre à trouver lors d'une enquête sur ce type d'activité n'étaient pas disponibles pour analyse, car les logiciels malveillants des auteurs de ces attaques les avaient supprimés. Le logiciel malveillant en question rechercherait et supprimerait les fichiers portant l'extension .dll dans le répertoire C:\Windows\Temp\.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Outre l'application régulière des correctifs logiciels, il est tout aussi important de s'assurer que les DLL sont associées à des chemins d'accès que les mesures de sécurité, les antivirus et les solutions de protection des terminaux analysent régulièrement à la recherche de fichiers anormaux et de tout autre élément suspect. » « Il est tout aussi important de veiller à ce que les mécanismes de défense soient configurés pour analyser les chemins d'accès aux fichiers que les auteurs de menaces exploitent couramment. »
Extrait de BleepingComputer :
La CISA, le FBI et le MS-ISAC recommandent de mettre en œuvre plusieurs mesures d'atténuation afin de se prémunir contre d'autres attaques ciblant cette vulnérabilité. Parmi les principales mesures à retenir, on peut citer :
- Mettez à jour toutes les instances de Telerik UI ASP.NET (s'ouvre dans un nouvel onglet) AJAX vers la dernière version après avoir effectué les tests appropriés.
- Surveiller et analyser les journaux d'activité générés par Microsoft IIS et PowerShell à distance.
- Limitez les droits des comptes de service au strict minimum nécessaire à leur fonctionnement.
- Accordez la priorité à la correction des vulnérabilités sur les systèmes exposés à Internet.
- Mettez en place une solution de gestion des correctifs afin de garantir la conformité avec les derniers correctifs de sécurité.
- Veillez à ce que les outils d'analyse des vulnérabilités soient configurés de manière à analyser l'ensemble des appareils et des sites.
- « Mettez en place une segmentation du réseau afin de séparer les segments en fonction de leur rôle et de leur fonctionnalité. »
« La CISA, le FBI et le MS-ISAC recommandent également de tester, de mettre en œuvre et de valider les programmes de sécurité face aux comportements malveillants répertoriés dans le cadre MITRE ATT&CK « » ( for Enterprise), mentionné dans l’avis. »
2. Un acteur présumé chinois utilise une faille « zero-day » de Fortinet et un logiciel malveillant sur mesure dans le cadre d'une opération d'espionnage
Selon Mandiant, un acteur malveillant chinois, soupçonné d’être soutenu par l’État, a été mis en cause dans une série d’attaques visant des organismes publics, au cours desquelles les attaquants ont exploité une vulnérabilité « zero-day » de Fortinet, « » (s’ouvre dans un nouvel onglet) (CVE-2022-41328) afin de déployer des logiciels malveillants.
La faille de sécurité « zero-day » en question, la n° CVE-2022-41328, a été révélée par Fortinet (s'ouvre dans un nouvel onglet) dans un avis récent publié sur (s'ouvre dans un nouvel onglet) indiquant que :
« Une vulnérabilité liée à une limitation inappropriée [sic] du chemin d'accès à un répertoire restreint (« parcours de chemin ») [CWE-22] dans FortiOS pourrait permettre à un attaquant disposant de privilèges de lire et d'écrire des fichiers arbitraires à l'aide de commandes CLI spécialement conçues... »
Fortinet a publié des mises à jour de sécurité afin de corriger cette vulnérabilité de gravité élevée, qui pourrait permettre à des acteurs malveillants d'exécuter du code ou des commandes non autorisés. L'avis ne faisait aucune mention d'une exploitation de cette faille dans la nature, mais un rapport de Fortinet publié il y a environ deux semaines a révélé que CVE-2022-41328 exploits avaient été utilisés pour pirater et mettre hors service plusieurs pare-feu FortiGate (s'ouvre dans un nouvel onglet) appartenant à l’un de ses clients — il s’agit du même incident qui est au cœur du dernier rapport de Mandiant, dans lequel la société reconnaît avoir collaboré avec Fortinet pour enquêter sur l’exploitation et le déploiement de logiciels malveillants sur diverses solutions Fortinet.
Quelles sont les conséquences ?
Selon Fortinet, les versions suivantes de FortiOS sont concernées :
- Versions 6,4,0 à 6,4,11
- Versions 7,0,0 à 7,0,9
- Versions 7,2,0 à 7,2,3
- Toutes les versions de FortiOS 6,0 et 6,2
Détails de l'attaque
Le rapport de Mandiant indique que ces attaques ont eu lieu à la mi-2022. L'analyse des activités post-exploitation associées à un cas particulier a révélé que le logiciel malveillant déployé par l'acteur présumé chinois — grâce, en grande partie, à l'exploitation de la vulnérabilité CVE-2022-41328 — pouvait être utilisé à des fins de cyberespionnage, d'exfiltration de données, d'ouverture de sessions shell à distance, ainsi que de téléchargement et d'écriture de fichiers sur les appareils compromis.
Ces attaques ont été de nature très ciblée, les victimes étant principalement des réseaux gouvernementaux et de grandes organisations.
Qui est UNC3886 ?
« UNC3886 » est un groupe soupçonné par Mandiant d'avoir des liens avec la Chine et qui a été associé au nouveau framework de logiciels malveillants « » ciblant l'hyperviseur VMware ESXi : (s'ouvre dans un nouvel onglet), révélé dans septembre 2022.
At the time of the ESXi hypervisor compromises, Mandiant observed UNC3886 directly connect from FortiGate and FortiManager devices to VIRTUALPITA (opens in a new tab) backdoors on multiple occasions.
Les auteurs de ces attaques ont fait preuve d'un haut degré de sophistication et de « capacités avancées ».
« Cette attaque est très ciblée et laisse entrevoir une préférence pour des cibles gouvernementales ou liées au gouvernement », a déclaré Fortinet. « Cette faille nécessite une connaissance approfondie de FortiOS et du matériel sous-jacent. » « Les implants personnalisés démontrent que l'acteur dispose de compétences avancées, notamment en matière de rétro-ingénierie de diverses composantes de FortiOS. »
Les cibles visées par ces attaques correspondent aux schémas récents observés chez les acteurs du cyberespionnage soutenus par l'État chinois.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette activité malveillante présente sans aucun doute toutes les caractéristiques d’une opération soutenue par un État et, comme indiqué précédemment, les schémas de ciblage observés, les capacités avancées et l’utilisation d’une faille « zero-day » pourraient tous indiquer l’implication d’un groupe APT chinois. » On dirait bien que c'est un coup de chance qui a permis aux enquêteurs de découvrir la présence de cet acteur. S'il s'agit là de l'œuvre d'un groupe de pirates informatiques lié à la Chine et à l' , cela n'a rien de surprenant, car bon nombre des groupes de pirates informatiques soutenus par l'État chinois sont connus pour leur discrétion et se sont révélés capables de mener des intrusions s'étalant sur plusieurs années. « CTI suivra cette affaire de près. »
3. Tick APT cible les clients haut de gamme d'une entreprise d'Asie de l'Est spécialisée dans la prévention des pertes de données
ESET affirme qu'une nouvelle campagne attribuée au groupe APT « Tick » (s'ouvre dans un nouvel onglet) a pris pour cible une entreprise d'Asie de l'Est spécialisée dans le développement de logiciels de prévention des pertes de données (DLP).
Selon ESET, ce groupe a piraté les serveurs de mise à jour internes de l'entreprise afin de diffuser des logiciels malveillants et des programmes d'installation infectés par des chevaux de Troie, qui se faisaient passer pour des outils légitimes utilisés par l'entreprise. Les programmes d'installation infectés par un cheval de Troie ont été transmis à deux clients de l'entreprise via un logiciel d'assistance à distance.
À propos de Tick
- Tick, également connu sous le nom de « » (Bronze Butler (s'ouvre dans un nouvel onglet)), est un groupe de cyberespionnage que l'on pense être d'origine chinoise.
- Ce groupe, , serait (s'ouvre dans un nouvel onglet) actif depuis au moins 2006, et ciblerait principalement la région APAC.
- Tick utilise un arsenal de logiciels malveillants sur mesure, conçu pour assurer la persistance, la reconnaissance, l'exfiltration de données et le téléchargement d'outils supplémentaires.
- Le virus « Tick » avait déjà été observé (s'ouvre dans un nouvel onglet) exploitant la vulnérabilité ProxyLogon.
Présentation de l'attaque
À peu près au même moment où Tick exploitait la faille ProxyLogon, on a constaté que cette opération avait réussi à s'introduire dans une société de développement de logiciels d'Asie de l'Est. Cette campagne a exploité des logiciels malveillants et a remplacé les programmes d'installation d'une application légitime, Q-dir, par des versions infectées par un cheval de Troie afin d'implanter une porte dérobée nommée ReVBShell.
Cette activité a entraîné la compromission de deux clients de l'entreprise, le logiciel malveillant ayant été transmis via un logiciel d'assistance à distance. Les chercheurs pensent que cela s'est produit alors que la société DLP fournissait une assistance technique à ces clients.
Chronologie de l'attaque
Dans l'affaire « mars 2021 », l'auteur de la menace a déployé un logiciel malveillant sur plusieurs machines de la société spécialisée dans la prévention des fuites de données (DLP). Ces logiciels malveillants comprenaient des variantes des familles Netboy et Ghostdown, ainsi qu'un programme de téléchargement jusqu'alors inconnu, baptisé ShadowPy.
Des copies infectées par un cheval de Troie des programmes d'installation de Q-dir ont ensuite été introduites sur le réseau. Quelques mois plus tard, ces programmes d'installation infectés par un cheval de Troie ont été transmis aux clients de la société DLP.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Que cela ait été ou non l’intention des pirates, cette campagne a entraîné la transmission de programmes d’installation infectés par un cheval de Troie à deux clients de l’entreprise. » On ne sait pas exactement comment cela s'est produit, mais on pense que cela s'est produit lors d'une session d'assistance technique entre l'entreprise et ses clients, au cours de laquelle des outils d'assistance à distance tels que ANYSUPPORT et helpU ont été utilisés. »
« Les chercheurs ne pensent pas qu’une attaque de type « chaîne d’approvisionnement » ait constitué l’objectif principal de cette campagne, mais plutôt une conséquence indirecte de leurs opérations. » « En fin de compte, ce sont les résultats qui comptent, et le fait qu’une attaque visant la chaîne d’approvisionnement ait pu se produire (peut-être par accident) met en évidence le fait que de tels incidents constituent toujours une menace réelle pour les entreprises. »
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
