Combien de victimes… et combien d’assaillants ? Une semaine après les révélations sur les attaques visant les serveurs Exchange, il reste difficile de donner des estimations. À plus forte raison, du fait que les failles qui ont permis ces attaques sont désormais publiques – et facilement exploitables.
En l’état, les cibles semblent localisées essentiellement aux États-Unis. Mais l’Europe n’est pas épargnée. Sur place, une victime de marque s’est signalée : l’Autorité bancaire européenne. Elle a dû couper ses systèmes de messagerie. Ses investigations n’ont révélé, affirme-t-elle, ni exfiltration de données, ni propagation sur son réseau.
De la CISA à l’ANSSI en passant par le CERT-EU, même consigne : dans la mesure du possible, patchez vos serveurs Exchange locaux sans attendre. À défaut, mettez en place les mesures de contournement provisoires que propose Microsoft. Mais gardez à l’esprit qu’elles ont un impact sur la fonctionnalité des serveurs Exchange, en plus de ne pas garantir une protection complète.
En première ligne des accusés, la Chine. Et plus particulièrement un groupe cybercriminel dit à la solde de Pékin. On le connaît sous le nom de Hafnium.
Parmi ses compatriotes apparemment impliqués figurerait notamment LuckyMouse, aussi appelé Emissary Panda ou APT27. Parmi ses faits d’armes, une attaque « à la SolarWinds » au sens où elle se fondait aussi sur l’infection de mises à jour d’un logiciel. Son nom : Able Desktop. Sa fonction : la messagerie instantanée. Il fait partie d’une suite bureautique populaire en Mongolie, en particulier auprès de l’administration. On y a trouvé une backdoor et plusieurs chevaux de Troie.
Sur les serveurs Exchange, la porte dérobée prend la forme d’un webshell. Il semble s’agir d’une variante de China Chopper, utilisé au moins depuis 2013. Son canal d’entrée : les OAB (carnets d’adresses en mode hors connexion), grâce à une faille qui permet des écritures arbitraires.
Plusieurs indices illustrent le caractère hautement automatisé des attaques. Par exemple, le fait que des serveurs compromis aient fait l’objet de multiples tentatives ultérieures de compromission.
Qu’y a-t-il au-delà du webshell ? Microsoft recense, entre autres activités malveillantes survenues sur les serveurs touchés :
Illustration principale © Julien Eichinger – Fotolia
OVHCloud partage ses efforts environnementaux au sommet de l’Open Compute Project qui se tient à…
Avec Phi-3-mini, Microsoft lance un SLM conçu pour attirer une clientèle disposant de ressources financières…
La Commission européenne serait sur le point d'approuver la proposition d'Apple visant à fournir à…
Le Premier ministre a précisé les usages de l'IA dans les services de l'administration et…
Sous la marque Horizon OS, Meta va ouvrir le système d'exploitation des casques Quest à…
Après avoir essaimé dans 145 pays, la communauté de femmes de la tech Women Who…