Vulnérabilité zero-day Découverte
Des acteurs malveillants exploitent une vulnérabilité zero-day dans le logiciel de gestion de services SysAid. Cette vulnérabilité permet l’accès aux serveurs d’entreprise pour le vol de données et le déploiement du ransomware Clop. La vulnérabilité, identifiée comme CVE-2023-47246, a été découverte après l’exploitation réussie de serveurs SysAid locaux. Source. Source.
Vous craignez une attaque du ransomware Clop ?
Contactez-nous dès aujourd'hui pour discuter de vos besoins en matière de cybersécurité.
Parlez à nos experts en cybersécuritéContexte du Ransomware Clop
Le ransomware Clop a déjà utilisé des méthodes innovantes pour diffuser des données volées, notamment en exploitant la vulnérabilité MOVEit, comme détaillé dans un article précédent sur notre blog.
Réaction de Microsoft et Identification des Menaces
Microsoft a identifié et alerté SysAid sur ce problème de sécurité. Le ransomware Clop, déjà notoire pour son utilisation de torrents dans des attaques précédentes, a exploité cette nouvelle vulnérabilité pour étendre son champ d’action.
Méthode d’Attaque et Réponse de SysAid
L’acteur de la menace a utilisé la faille zero-day de SysAid pour charger un webshell, permettant l’exécution de scripts malveillants. SysAid a réagi rapidement, mettant en place des mesures correctives et conseillant une mise à jour critique à ses clients.
Importance de la Mise à Jour et de la Surveillance
SysAid a réagi rapidement à la découverte de la faille CVE-2023-47246 en fournissant un correctif. Il est crucial d’installer immédiatement la version SysAid 23.3.36 ou ultérieure pour assurer la sécurité de votre système, conformément aux directives du bulletin d’alerte de SysAid.
En complément de cette mise à jour, il est recommandé de prendre des mesures proactives pour identifier tout signe de compromission. Vérifiez scrupuleusement la racine web Tomcat de votre serveur SysAid pour y détecter tout fichier atypique ou suspect, en particulier des fichiers WAR, ZIP, ou JSP avec des horodatages inhabituels. Il est également important de surveiller les flux sortants vers des adresses IP potentiellement malveillantes, telles que :
- 81.19.138[.]52
- 45.182.189[.]100
- 179.60.150[.]34
- 45.155.37[.]105
Ces étapes sont essentielles pour renforcer la sécurité de votre infrastructure face à des menaces sophistiquées et évolutives comme le ransomware Clop.
Conclusion
La vulnérabilité zero-day de SysAid exploitée par le ransomware Clop rappelle l’importance de la vigilance et de la collaboration entre les fournisseurs de logiciels et les équipes de sécurité informatique. Pour plus d’informations sur les méthodes d’attaque de Clop, consultez notre article dédié.
