Pour gérer vos consentements :
Categories: MalwaresSécurité

Cyberattaque Exchange : l’Europe touchée dans l’ombre des États-Unis

Combien de victimes… et combien d’assaillants ? Une semaine après les révélations sur les attaques visant les serveurs Exchange, il reste difficile de donner des estimations. À plus forte raison, du fait que les failles qui ont permis ces attaques sont désormais publiques – et facilement exploitables.

En l’état, les cibles semblent localisées essentiellement aux États-Unis. Mais l’Europe n’est pas épargnée. Sur place, une victime de marque s’est signalée : l’Autorité bancaire européenne. Elle a dû couper ses systèmes de messagerie. Ses investigations n’ont révélé, affirme-t-elle, ni exfiltration de données, ni propagation sur son réseau.

De la CISA à l’ANSSI en passant par le CERT-EU, même consigne : dans la mesure du possible, patchez vos serveurs Exchange locaux sans attendre. À défaut, mettez en place les mesures de contournement provisoires que propose Microsoft. Mais gardez à l’esprit qu’elles ont un impact sur la fonctionnalité des serveurs Exchange, en plus de ne pas garantir une protection complète.

Un webshell à l’ancienne ?

En première ligne des accusés, la Chine. Et plus particulièrement un groupe cybercriminel dit à la solde de Pékin. On le connaît sous le nom de Hafnium.
Parmi ses compatriotes apparemment impliqués figurerait notamment LuckyMouse, aussi appelé Emissary Panda ou APT27. Parmi ses faits d’armes, une attaque « à la SolarWinds » au sens où elle se fondait aussi sur l’infection de mises à jour d’un logiciel. Son nom : Able Desktop. Sa fonction : la messagerie instantanée. Il fait partie d’une suite bureautique populaire en Mongolie, en particulier auprès de l’administration. On y a trouvé une backdoor et plusieurs chevaux de Troie.

Sur les serveurs Exchange, la porte dérobée prend la forme d’un webshell. Il semble s’agir d’une variante de China Chopper, utilisé au moins depuis 2013. Son canal d’entrée : les OAB (carnets d’adresses en mode hors connexion), grâce à une faille qui permet des écritures arbitraires.

Plusieurs indices illustrent le caractère hautement automatisé des attaques. Par exemple, le fait que des serveurs compromis aient fait l’objet de multiples tentatives ultérieures de compromission.

Qu’y a-t-il au-delà du webshell ? Microsoft recense, entre autres activités malveillantes survenues sur les serveurs touchés :

  • Le vol d’identifiants par copie de la mémoire du processus LSASS, qui assure l’authentification
  • L’utilisation des snap-in de PowerShell pour exfiltrer le contenu des boîtes mail
  • L’exploitation d’outils comme Covenant, Nishang et PowerCat pour les accès à distance

Illustration principale © Julien Eichinger – Fotolia

Recent Posts

Arm-NVIDIA : de la Chine aux USA, les barrières se dressent

Aux États-Unis, un nouvel obstacle se dresse face au projet de fusion Arm-NVIDIA. Quelles autres…

2 jours ago

Géolocalisation en entreprise : un suivi proportionné ?

Utilisés dans le cadre professionnel, smartphones et véhicules peuvent être géolocalisés par l'employeur. Qu'en pensent…

2 jours ago

Salesforce : avec Bret Taylor, Marc Benioff prépare sa succession

Promu co-CEO, Bret Taylor pilote avec Marc Benioff le prochain chapitre de Salesforce. Leurs mots…

2 jours ago

Data et cybersécurité : les métiers les plus mouvants du SI ?

Les métiers de la data et de la cybersécurité concentrent une part importante des évolutions…

2 jours ago

Teams Essentials : une réponse à la Commission européenne ?

Microsoft dégaine une offre qui permet d'accéder à Teams indépendamment de sa suite bureautique cloud.…

2 jours ago

« Convergences numériques 2022 » : le Cigref, Numeum et d’autres interpellent les présidentiables

Cigref, Numeum, Cinov, Afnum... L'industrie numérique française sert les rangs pour peser sur les programmes…

3 jours ago