Pas moins 30 000 organisations américaines ont été compromises ces derniers jours par une porte dérobée installée via quatre failles récemment corrigées dans Microsoft Exchange, ont dit vendredi, au journaliste spécialisé en cybersécurité Brian Krebs, des personnes connaissant bien la réponse du gouvernement américain à l’incident. Les victimes, qui comprennent un nombre important de petites entreprises, de villes et de gouvernements locaux, ont été piratées par des cyberespions agressifs qui se concentrent sur le vol du courrier électronique des organisations victimes. Les failles exploitées par les attaquants ont été récemment découvertes dans Microsoft Exchange Server. Le piratage a déjà atteint plus d'endroits que la totalité du code corrompu téléchargé de SolarWinds, la société au cœur d'une autre vague de piratage massive découverte en décembre. KrebsOnSecurity a rapporté vendredi que des centaines de milliers d'organisations sont touchées dans le monde entier avec des outils qui donnent aux attaquants un contrôle total et à distance sur leurs systèmes informatiques.
Dans un billet de blog publié le 2 mars, Microsoft a informé les clients avoir publié des mises à jour de sécurité d'urgence pour combler les quatre failles de sécurité dans les versions 2013 à 2019 d'Exchange Server que les pirates utilisaient activement pour siphonner les communications par courrier électronique des systèmes connectés à Internet et exécutant Exchange. Mais malgré cela, pendant les trois jours suivants, le même groupe de cyberespionnage a considérablement intensifié les attaques sur tous les serveurs Exchange vulnérables et non patchés dans le monde, selon les experts en sécurité.
Microsoft et les sources qui travaillent avec la réponse américaine ont attribué la première vague d'attaques à des acteurs soutenus par le gouvernement chinois. Les intrus ont laissé derrière eux un "web shell", un outil de piratage facile à utiliser et protégé par un mot de passe, auquel on peut accéder sur Internet à partir de n'importe quel navigateur, selon le billet de Microsoft. Le web shell donne aux attaquants un accès administratif aux serveurs des victimes. Un porte-parole du gouvernement chinois a déclaré que le pays n'était pas derrière ces intrusions, a rapporté Reuters.
S'exprimant sous couvert d'anonymat, deux experts en cybersécurité qui ont informé les conseillers américains en matière de sécurité nationale de l'attaque ont déclaré à Krebs que le groupe de pirates chinois que l'on pense responsable a pris le contrôle de "centaines de milliers" de serveurs Microsoft Exchange dans le monde entier – chaque système victime représentant environ une organisation qui utilise Exchange pour traiter son courrier électronique.
Microsoft a déclaré mardi que les failles d'Exchange sont la cible d'une équipe de piratage chinoise non identifiée auparavant, qu'il a surnommée "Hafnium", et que le groupe a mené des attaques ciblées sur des systèmes de courrier électronique utilisés par une série de secteurs industriels, notamment des chercheurs en maladies infectieuses, des cabinets d'avocats, des établissements d'enseignement supérieur, des entreprises de défense, des groupes de réflexion sur les politiques et des ONG.
Dans son avis de mardi, Microsoft a exprimé sa reconnaissance à la société de réponses aux incidents Volexity pour avoir signalé les vulnérabilités. Le président de Volexity, Steven Adair, a déclaré que la société a vu pour la première fois des attaquants exploiter discrètement les bugs d’Exchange le 6 janvier 2021, le jour où tous les yeux étaient rivés sur le Capitole américain pour la confirmation de l’élection du président Joe Biden, mais surtout à cause de l'émeute des partisans de Donald Trump.
Mais c’est au cours de ces derniers jours que le groupe de pirates est passé à la vitesse supérieure, d’après Adair, passant rapidement à l'analyse d'Internet pour trouver les serveurs Exchange qui n'étaient pas encore protégés par les mises à jour de sécurité publiées par Microsoft mardi.
« Nous avons travaillé sur des douzaines d'affaires jusqu'à présent, où des web shell ont été mis sur le système de la victime le 28 février [avant que Microsoft n'annonce ses correctifs], jusqu'à aujourd'hui », a déclaré Adair. « Même si vous avez mis des correctifs le jour même où Microsoft a publié ses correctifs, il y a toujours une forte chance qu'il y ait un web shell sur votre serveur. La vérité est que si vous utilisez Exchange et que vous n'avez pas encore appliqué les correctifs, il y a de fortes chances que votre organisation soit déjà compromise ».
Un effort nécessaire de nettoyage sans précédent et urgent à l'échelle nationale afin d’éradiquer les portes dérobées
Microsoft, qui avait initialement déclaré que les piratages consistaient en « attaques limitées et ciblées », a refusé de commenter l'ampleur du problème vendredi, mais a déclaré qu'il travaillait avec des agences gouvernementales et des sociétés de sécurité pour apporter de l'aide aux clients.
« La meilleure protection consiste à appliquer les mises à jour dès que possible sur tous les systèmes concernés », a déclaré un porte-parole de Microsoft dans une déclaration écrite. « Nous continuons à aider nos clients en leur fournissant des conseils supplémentaires en matière d'investigation et d'atténuation. Les clients touchés doivent contacter nos équipes d’assistance pour obtenir une aide et des ressources supplémentaires ».
« Ce sont les services de police, les hôpitaux, des tonnes de villes et d'états, ainsi que les coopératives de crédit », a déclaré à Krebs une source qui travaille en étroite collaboration avec les fonctionnaires fédéraux sur la question. « Presque tous ceux qui utilisent Outlook Web Access en mode autohébergé et qui n'ont pas encore reçu de correctif il y a quelques jours ont été victimes d'une attaque "zero-day" ».
Selon Reuters, une analyse des appareils connectés a montré que seulement 10 % des personnes vulnérables avaient installé les correctifs vendredi, bien que le nombre soit en augmentation. Un autre expert en cybersécurité du gouvernement qui a participé à un appel récent avec de multiples parties prenantes touchées par cette série de piratage s'inquiète de l'effort de nettoyage nécessaire qui va être énorme.
« Lors de l'appel, de nombreuses questions ont été posées par des districts scolaires ou des gouvernements locaux qui ont tous besoin d'aide », a déclaré la source, qui s'est exprimée à condition de garder son anonymat. « Si ces chiffres se comptent par dizaines de milliers, comment réagir à l'incident ? Il n'y a tout simplement pas assez d'équipes de réponse aux incidents pour faire cela rapidement ».
Adair et d'autres disent, selon KrebsOnSecurity, que l'éradication de ces intrus va nécessiter un effort de nettoyage sans précédent et urgent à l'échelle nationale. Ils s'inquiètent du fait que plus les victimes mettent de temps à enlever les portes dérobées, plus il est probable que les intrus poursuivent en installant des portes dérobées supplémentaires, et peut-être en élargissant l'attaque pour inclure d'autres parties de l'infrastructure réseau de la victime.
Plus tôt vendredi, l'attachée de presse de la Maison-Blanche Jen Psaki a déclaré aux journalistes que les vulnérabilités trouvées dans les serveurs Exchange de Microsoft, largement utilisés, étaient « importantes » et « pourraient avoir des impacts de grande portée ». « Nous sommes préoccupés par le grand nombre de victimes », a déclaré Psaki.
D'autres attaques sont attendues de la part d'autres hackers à mesure que le code utilisé pour prendre le contrôle des serveurs de messagerie se répand. Les pirates n'ont utilisé les portes dérobées pour entrer et se déplacer dans les réseaux infectés que dans un faible pourcentage de cas, probablement moins de 1 sur 10, a déclaré l’une des sources proches du gouvernement.
Cyberattaque contre SolarWinds : Microsoft a trouvé trois autres logiciels malveillants utilisés par les attaquants
Microsoft a déclaré que les incursions de Hafnium sur les serveurs Exchange vulnérables ne sont en aucun cas liées aux attaques distinctes liées à SolarWinds, dans lesquelles un groupe de renseignements russe présumé a installé des portes dérobées dans des logiciels de gestion de réseau utilisés par plus de 18 000 organisations. L’entreprise a d’ailleurs révélé jeudi d'autres logiciels malveillants qui ont été utilisés par ces pirates informatiques qui ont placé des logiciels malveillants dans SolarWinds Orion.
Jusqu'à présent, Microsoft et le fournisseur de sécurité FireEye avaient identifié les logiciels malveillants Sunburst (que Microsoft a appelé Solorigate) et Teardrop. En janvier, l'entreprise de sécurité CrowdStrike a trouvé Sunspot, un logiciel dédié à la surveillance du serveur de compilation pour les commandes de compilation qui ont assemblé Orion.
Microsoft a maintenant révélé trois nouveaux composants de logiciels malveillants utilisés par les pirates que Microsoft a baptisés "Nobelium" : GoldMax, GoldFinder et Sibot.
GoldMax est considéré par Microsoft comme un implant qui sert de porte dérobée de commande et de contrôle (C2). Cette porte dérobée a été écrite dans le langage de programmation système de Google, Go. FireEye a déclaré qu'il ne savait pas comment ce malware était installé, mais qu'il s'agissait d'une porte dérobée de deuxième niveau qui a été abandonnée après un premier compromis. La société a décrit le design de SUNSHUTTLE (c’est le nom qu’elle a donné au malware) comme « sophistiqué » et « élégant ».
« La nouvelle porte dérobée SUNSHUTTLE est une porte dérobée sophistiquée de deuxième niveau qui démontre des techniques simples de détection, mais élégantes par le biais de ses capacités de trafic "intégré" pour les communications C2 », note FireEye dans son analyse.
« Le malware écrit un fichier de configuration chiffré sur le disque, où le nom du fichier et les clés de chiffrement AES-256 sont uniques par implant et basés sur des variables environnementales et des informations sur le réseau où il fonctionne », a expliqué Microsoft.
« GoldMax établit une clé de session sécurisée avec son C2 et utilise cette clé pour communiquer de manière sécurisée avec le C2, empêchant les connexions non initiées par GoldMax de recevoir et d'identifier le trafic malveillant ». Ce choix a permis à GoldMax d'éviter de déclencher des alarmes dans la plupart des produits de sécurité qui examinent les scores de réputation, selon Microsoft.
Quant à Sibot, construit avec Visual Basic Scripting (VBScript) de Microsoft, il est un malware à double usage, selon Microsoft. « Le fichier VBScript reçoit un nom qui imite les tâches légitimes de Windows et est soit stocké dans le registre du système compromis, soit dans un format obscurci sur le disque. Le VBScript est ensuite exécuté via une tâche planifiée », note Microsoft.
Son principal objectif était la persistance sur une machine infectée afin qu'elle puisse télécharger et exécuter une charge utile à partir d'un serveur C2 distant. Microsoft a identifié trois variantes de Sibot qui téléchargent toutes une charge utile malveillante.
GoldFinder, qui est également écrit en Go, est considéré comme un outil de traçage HTTP personnalisé qui enregistre la route ou les sauts qu'un paquet prend pour atteindre un serveur C2 codé en dur.
Sources : Microsoft (1 & 2), FireEye
Et vous ?
Que pensez-vous de ce nouveau problème de cybersécurité introduit via des failles dans Microsoft Exchange Server ? La première fois que les attaquants ont exploité les bugs d’Exchange date de depuis 6 janvier 2021, selon le président de Volexity. Quel commentaire en faites-vous ? Quelles solutions proposeriez-vous aux organisations pour éviter d’être exposées aux attaques via ce genre de bugs dans Exchange ?Voir aussi :
Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds, et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production Président de Microsoft : le piratage de SolarWinds a été « l'attaque la plus importante et la plus sophistiquée » jamais réalisée, les empreintes informatiques de plus de 1000 développeurs trouvées Le PDG de SolarWinds blâme un stagiaire pour une fuite de mot de passe, il n'est, cependant, pas encore certain que cela ait joué un rôle dans le piratage de SolarWinds 
Envoyé par Arya Nawel
