VPN : une faille permet aux pirates de répandre un dangereux malware

Une nouvelle campagne de logiciels malveillants cible les dispositifs VPN Ivanti Connect Secure (ICS), utilisant deux vulnérabilités de type “zero-day” pour les infecter avec une charge utile basée sur Rust qui télécharge et exécute l'outil de post-exploitation Sliver.

Mauvaise nouvelle pour les utilisateurs de VPN, des pirates ont découvert une nouvelle faille et l’utilisent activement pour propager leurs malwares. Deux failles critiques, identifiées comme CVE-2023-46805 et CVE-2024-21887, permettent aux attaquants d'exécuter du code arbitraire sur ces dispositifs sans authentification. Celles-ci ont été identifiées sur des dispositifs VPN ICS, qui sont utilisés par de nombreuses organisations pour fournir un accès à distance sécurisé à leurs réseaux.

Ces failles ont été découvertes et signalées par la société de sécurité Volexity, qui a également constaté qu'elles étaient exploitées par un groupe de pirates chinois parrainé par l'État, appelé UTA0178 ou UNC5221. Ce groupe utilise ces failles depuis le 3 décembre 2023 pour diffuser un logiciel malveillant appelé KrustyLoader, écrit dans le langage de programmation Rust.

Lire également – 70 % des VPN ne protègent pas votre vie privée, un comble !

Ce malware peut prendre le contrôle de votre ordinateur ou voler vos données

KrustyLoader est un malware qui se connecte à un serveur distant et télécharge un autre logiciel malveillant appelé Sliver, qui est un cadre de post-exploitation open source développé par BishopFox. Sliver est un outil polyvalent qui peut effectuer diverses actions sur les systèmes compromis, telles que le vol de données, l'exécution de commandes, le téléchargement de fichiers, etc.

Sliver est également une alternative populaire à d'autres outils de sécurité offensifs, tels que Cobalt Strike, Viper et Meterpreter, qui sont souvent utilisés par les cybercriminels et les pirates informatiques. Selon Recorded Future, Cobalt Strike reste l'outil le plus utilisé par les attaquants, suivi par Viper et Meterpreter. Cependant, Sliver, ainsi que Havoc, Brute Ratel et Mythic, gagnent également en popularité auprès des acteurs de la menace.

Ivanti n'a pas encore publié de correctifs pour les deux failles du VPN, mais a fourni une atténuation temporaire par le biais d'un fichier XML qui peut être appliqué aux appareils. L'entreprise a également conseillé à ses clients de surveiller leurs journaux VPN pour détecter toute activité suspecte et de signaler tout incident à son équipe de sécurité.