Publié le 6 octobre 2025 20:44:00. Un groupe de cybercriminels exploite une faille de sécurité critique dans le logiciel de transfert de fichiers Goanywhere, en utilisant le ransomware Medusa pour cibler des organisations dans divers secteurs, y compris des entités gouvernementales et des infrastructures critiques.
- Le ransomware Medusa est utilisé dans des attaques contre plus de 300 organisations depuis 2021.
- L’Agence de sécurité de la cybersécurité et des infrastructures (CISA) a ordonné aux agences fédérales américaines de corriger la vulnérabilité d’ici le 20 octobre 2025.
- Des experts en cybersécurité avaient alerté sur l’exploitation de cette faille plusieurs semaines avant l’annonce officielle de Fortra et de la CISA.
Microsoft a publié un rapport lundi analysant l’exploitation de la vulnérabilité CVE-2025-10035, une faille critique dans la solution de transfert de fichiers gérée Goanywhere de Fortra. Les chercheurs de Microsoft ont attribué cette activité malveillante à un groupe qu’ils appellent Storm-1175, connu pour déployer le ransomware Medusa et exploiter des applications accessibles au public pour obtenir un accès initial aux systèmes.
Selon Microsoft, l’impact de cette vulnérabilité est amplifié par la capacité des attaquants, une fois l’exploitation réussie, à cartographier les systèmes et les utilisateurs, à maintenir un accès prolongé et à déployer des outils supplémentaires pour se déplacer latéralement au sein du réseau compromis et installer des logiciels malveillants. Après avoir exploité la vulnérabilité pour accéder initialement aux systèmes, les pirates ont utilisé les outils de surveillance et de gestion à distance SimpleHelp et Meshagent pour se déplacer plus profondément dans le réseau.
Fortra avait initialement alerté le public sur cette faille de sécurité le 18 septembre, affirmant l’avoir découverte la semaine précédente. Cependant, l’entreprise a refusé de confirmer si elle était consciente que cette vulnérabilité était activement exploitée par des cybercriminels. Microsoft indique avoir observé l’exploitation dès le 11 septembre, le même jour où Fortra a déclaré avoir découvert la faille.
La semaine dernière, la CISA a confirmé que la vulnérabilité était exploitée et a ordonné à toutes les agences civiles fédérales de la corriger d’ici le 20 octobre 2025. Avant même l’alerte de la CISA, la société de sécurité Watchtowr avait averti les utilisateurs de Goanywhere que la vulnérabilité était activement exploitée. Benjamin Harris, PDG de Watchtowr, a déclaré à Future News que les organisations utilisant cet outil de transfert de fichiers étaient potentiellement compromises depuis au moins le 11 septembre, sans information claire de la part de Fortra.
« La confirmation de Microsoft dépeint désormais une image assez désagréable – exploitation, attribution et un mois d’avance pour les attaquants. Ce qui manque encore, les réponses ne peuvent que venir de Fortra. Comment les acteurs de la menace ont-ils obtenu les clés privées nécessaires pour exploiter cela ? Pourquoi les organisations étaient-elles laissées dans le noir pendant si longtemps ? »
Benjamin Harris, PDG de Watchtowr
Le ransomware Medusa a été utilisé pour attaquer plus de 300 organisations dans des secteurs d’infrastructure critiques depuis son émergence en 2021, selon la CISA et le FBI. Il a attiré l’attention du public en 2023 suite à une attaque contre les écoles publiques de Minneapolis, qui a exposé des données sensibles d’étudiants affectant plus de 100 000 personnes.
Outre les attaques contre les îles du Pacifique, notamment Tonga, le groupe a ciblé des municipalités en France et des agences gouvernementales aux Philippines, ainsi qu’une entreprise technologique liée à deux des plus grandes banques du Canada. Des organes gouvernementaux dans l’Illinois et le Texas ont également été touchés, et le groupe a récemment revendiqué la responsabilité d’une attaque contre NASCAR.
Fortra n’a pas répondu aux demandes de commentaires.
À lire aussi
