Failles de 2014 : un sous-traitant chinois s'en sert

Sept domaines saisis, sept gouvernements signataires

Le 8 octobre, le FBI a annoncé la saisie de sept domaines web liés à des outils de piratage que, selon des documents judiciaires américains, exploitait Integrity Technology Group, une société basée en Chine qui, selon les agences, a des liens avec le gouvernement chinois. En parallèle, des agences de sept pays ont publié un avis unique, numéroté AA26-281A.

Les auteurs sont le FBI, la CISA et la NSA aux États-Unis, le NCSC britannique, l'ACSC australien, le Cyber Centre canadien, l'Agence nationale de police et le Bureau national de cybersécurité du Japon, le NCSC néo-zélandais et le CNI espagnol. Ils disent que les acteurs soutenus par Integrity Tech combinent balayage automatisé, grands botnets et exploitation manuelle pour voler des données, et que l'activité correspond à ce que l'on suit publiquement sous les noms Flax Typhoon, Ethereal Panda et Red Juliett. Le NCSC ajoute que le gouvernement britannique a sanctionné Integrity Tech l'an dernier.

Les documents judiciaires allèguent qu'Integrity Tech a construit un botnet dérivé de Mirai et le scanner de vulnérabilités Microscan, exploité un outil appelé FishHub et détient des contrats avec le gouvernement chinois. Ils ajoutent qu'un serveur de base de données contenait des enregistrements de plus de 1,2 million d'appareils infectés au 5 juin 2024, dont plus de 385 000 aux États-Unis.

La plus vieille faille de la liste date de 2014

Huit CVE figurent dans l'avis comme exploitées avec succès, et quatre portent un numéro de 2014, 2015 ou 2016.

L'avis dit que ces CVE ont été retrouvées dans les scripts de tests d'intrusion du scanner et ont été exploitées avec succès. Rien dans la liste n'exige un nouvel exploit. Il faut un logiciel que personne n'a corrigé, joignable depuis Internet, et Microscan, utilisé dès 2017 au moins, contient plus de 1 300 scripts de ce genre.

Comment les acteurs entrent et restent

L'avis décrit une chaîne courte qui commence par un balayage. Des outils comme nmap et masscan examinent les ports 21, 22, 53, 80, 443 et 1080, puis les acteurs exploitent ce qu'ils trouvent ou récoltent des mots de passe avec des charges de cross-site scripting qui affichent un faux formulaire de connexion.

Pour le courrier, ils utilisent un outil open source nommé EBurst afin d'arroser de mots de passe et de deviner ceux des interfaces de connexion de Microsoft Exchange, parmi lesquelles Outlook Web Access, Exchange Web Services et Autodiscover. Pour durer, ils installent des clients VPN SoftEther, souvent nommés conhost.exe ou dllhost.exe, que la sécurité des postes signale moins parce que le programme est légitime. Des scripts extraient ensuite courriels et identifiants.

Quoi vérifier cette semaine

Commencez par l'exposition, car chaque étape ci-dessus part de quelque chose de joignable depuis Internet. Listez ce qui répond sur les ports 21, 22, 53, 80, 443 et 1080 et fermez ce que personne n'utilise, première action recommandée par l'avis.

Comparez ensuite vos logiciels au tableau. Si vous exploitez ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi ou un Bash non corrigé, vérifiez la version et corrigez-le ou retirez-le. L'avis recommande aussi de remplacer les produits en fin de vie.

Enfin, exigez l'authentification multifacteur sur les connexions à la messagerie web et au VPN, que l'avis met en avant, et examinez les journaux des applications web à la recherche de tentatives de traversée de répertoires, d'injection de commandes et d'énumération. Pour les organisations britanniques et européennes, le signal est que le NCSC et le CNI espagnol l'ont cosigné et que des documents judiciaires citent un aéroport polonais parmi les réseaux balayés, donc ce n'est pas seulement une affaire américaine.

À lire ensuite: L'Allemagne fixe 2030 et 2035 pour le post-quantique  |  Le troisième jour zéro de NetScaler en 90 jours