Des pirates informatiques iraniens exploitent la vulnérabilité Log4j pour déployer une porte dérobée PowerShell

Vulnerabilidad Log4j Des nouvelles

Un acteur parrainé par l’État iranien a été observé en train de scanner et d’essayer d’abuser de la faille Log4Shell dans des applications Java exposées publiquement pour déployer une porte dérobée modulaire basée sur PowerShell, jusqu’ici non documentée, surnommée « CharmPower » pour un suivi post-exploitation.

« La configuration de l’attaque de l’acteur a évidemment été précipitée, car ils ont utilisé l’outil open source de base pour l’exploitation et ont basé leurs opérations sur l’infrastructure précédente, ce qui a rendu l’attaque plus facile à détecter et à attribuer », ont déclaré des chercheurs de Check Point. mentionné dans un rapport publié cette semaine.

La société israélienne de cybersécurité a lié l’attaque à un groupe connu sous le nom de APT35, qui est également suivi à l’aide des noms de code Charming Kitten, Phosphorus et TA453, citant des chevauchements avec des ensembles d’outils précédemment identifiés comme une infrastructure utilisée par l’acteur de la menace.

Log4Shell alias CVE-2021-44228 (score CVSS : 10,0) concerne une vulnérabilité de sécurité critique dans la célèbre bibliothèque de journalisation Log4j qui, si elle est exploitée avec succès, pourrait conduire à l’exécution à distance de code arbitraire sur des systèmes compromis.

La facilité d’exploitation associée à l’utilisation généralisée de la bibliothèque Log4j a créé un vaste bassin de cibles, alors même que la lacune a attiré des essaims de mauvais acteurs, qui ont saisi l’opportunité d’organiser une série vertigineuse d’attaques depuis sa dernière divulgation publique. mois.

Alors que Microsoft avait précédemment souligné les efforts d’APT35 pour acquérir et modifier l’exploit Log4j, les dernières découvertes montrent que le groupe de piratage a opérationnalisé la faille pour distribuer l’implant PowerShell capable de récupérer les modules de la prochaine étape et d’exfiltrer les données vers un système de commande et de contrôle ( C2) serveur.

Vulnérabilité Log4j

Les modules de CharmPower prennent également en charge diverses fonctionnalités de collecte de renseignements, notamment des fonctionnalités permettant de collecter des informations système, de répertorier les applications installées, de prendre des captures d’écran, d’énumérer les processus en cours d’exécution, d’exécuter des commandes envoyées depuis le serveur C2 et de nettoyer tout signe de preuve créé par ces composants.

La divulgation intervient alors que Microsoft et le NHS ont averti que les systèmes connectés à Internet exécutant VMware Horizon sont ciblés pour déployer des shells Web et une nouvelle souche de ransomware appelée Ciel nocturne, le géant de la technologie connectant ce dernier à un opérateur basé en Chine surnommé DEV-0401, qui a également déployé les rançongiciels LockFile, AtomSilo et Rook dans le passé.

De plus, Hafnium, un autre groupe d’acteurs menaçants opérant hors de Chine, a également été observé en utilisant la vulnérabilité pour attaquer l’infrastructure de virtualisation pour étendre son ciblage typique, Microsoft c’est noté.

« A en juger par leur capacité à tirer parti de la vulnérabilité Log4j et par les morceaux de code de la porte dérobée CharmPower, les acteurs sont capables de changer de vitesse rapidement et de développer activement différentes implémentations pour chaque étape de leurs attaques », ont déclaré les chercheurs.

David
Rate author
Hackarizona