L’installation des mises à jour n’est que le début du processus de récupération, car les infections permettent aux attaquants de se débrouiller avec des références d’authentification qui donnent un large accès à une variété de ressources sensibles dans un réseau compromis. En savoir plus sur ces étapes supplémentaires plus tard dans cet article.
Samedi, des chercheurs de la société de sécurité Eye Security ont déclaré avoir constaté que «des dizaines de systèmes activement compromis lors de deux vagues d’attaque, le 18 juillet vers 18h00 UTC et le 19 juillet vers 07h30 UTC.» Les systèmes, diffusés à travers le monde, avaient été piratés à l’aide de la vulnérabilité exploités, puis infectés par une porte dérobée basée sur une coque en boutique appelée Fillet. Les chercheurs de la sécurité oculaire ont déclaré que la porte dérobée avait pu accéder aux parties les plus sensibles d’un serveur SharePoint et à partir de là, des jetons qui leur ont permis d’exécuter du code qui permettait aux attaquants d’étendre leur portée à l’intérieur des réseaux.
« Ce n’était pas votre volet de boutique typique », a écrit des chercheurs en sécurité oculaire. «Il n’y avait pas de commandes interactives, de shells inversés ou de logique de commande et de contrôle. Au lieu de cela, la page a invoqué des méthodes .NET internes pour lire la configuration de la clé UplePoint Server, y compris la validation.
L’exécution du code distant est rendue possible en utilisant l’exploit pour cibler la façon dont SharePoint traduit les structures de données et les états d’objets en formats qui peuvent être stockés ou transmis puis reconstruits plus tard, un processus appelé sérialisation. Une vulnérabilité SharePoint Microsoft fixée en 2021 avait permis d’abuser de la logique d’analyse pour injecter des objets en pages. Cela s’est produit parce que SharePoint a exécuté des objets ASP.NET ViewState à l’aide de la touche de signature ValidationKey, qui est stocké dans la configuration de la machine. Cela pourrait permettre aux attaquants de faire désérialiser les objets arbitraires et d’exécuter des commandes intégrées. Ces exploits, cependant, ont été limités par l’exigence de générer une signature valide, ce qui à son tour exigeait l’accès au Secret ValidationKey du serveur.
Pour aller plus loin