avril 26, 2024
La cyber-sécurité Technologie

Des hackers chinois ont exploité la faille récente de Fortinet

Un acteur suspecté de menacer le lien avec la Chine a exploité une vulnérabilité récemment corrigée dans Fortinet FortiOS SSL-VPN comme un jour zéro dans les attaques qui ciblent une entité gouvernementale européenne et un fournisseur de services gérés (MSP) situé en Afrique.

Les preuves télémétriques recueillies par Mandiant, propriété de Google, indiquent que l'exploitation s'est produite dès octobre 2022, soit au moins près de deux mois avant la publication des correctifs. -jour d'attaques

Cet incident se poursuit dans le modèle chinois d'exploitation des appareils connectés à Internet, en particulier ceux utilisés à des fins de sécurité gérée (par exemple, pare-feu, appliances IPS\IDS, etc.).

Les attaques impliquaient l'utilisation d'une porte dérobée sophistiquée baptisée BOLDMOVE, qui est une variante Linux spécialement conçue pour fonctionner sur les pare-feu FortiGate de Fortinet.


Le vecteur d'intrusion en question concerne l'exploitation de CVE-2022-42475 qui est une vulnérabilité de débordement de tampon basée sur le tas dans FortiOS SSL-VPN qui pourrait entraîner l'exécution de code à distance non authentifié via des requêtes spécialement conçues.

Source des images<a href="/fr_ca/httpswwwgooglecomampswwwnewindianexpresscomworld2020sep16five/" chinese nationals charged in mega hacking scheme indian governmentnetworks hit us 2197788amp target= "blank" rel="noopener" nofollow title="thenewwindianexpress">thenewwindianexpress<a>

Fortinet a révélé que des groupes de piratage inconnus ont profité de l'insuffisance pour cibler les gouvernements et d'autres grandes organisations avec un implant Linux générique capable de fournir des charges utiles supplémentaires et d'exécuter des commandes envoyées par un serveur distant.

Les dernières découvertes de Mandiant indiquent que l'acteur de la menace a réussi à abuser de la vulnérabilité comme un jour zéro à son avantage et à violer des réseaux ciblés pour des opérations d'espionnage.
Avec BOLDMOVE, ce ne sont pas seulement les attaquants qui ont développé un exploit et un malware qui montrent une compréhension approfondie des systèmes, des services et des propriétaires non documentés.

On dit que le malware écrit en C a des saveurs Windows et Linux, ce dernier étant capable de lire des données à partir d'un format de fichier propriétaire de Fortinet. L'analyse des métadonnées des variantes Windows de la porte dérobée montre qu'elles ont été compilées en 2021, bien qu'aucun échantillon n'ait été détecté dans la nature.

BOLDMOVE est conçu pour effectuer une enquête système capable de recevoir des commandes d'un serveur de commande et de contrôle (C2) qui permet aux attaquants d'effectuer des opérations sur les fichiers qui génèrent un shell distant et de relayer le trafic via l'hôte infecté.

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *

fr_CAFrançais du Canada