La NSA prévient contre de nouvelles attaques du Sandworm

L’agence de sûreté américaine, la NSA a déclaré récemment que les serveurs de messagerie de l’agent Exim étaient ciblés par des cybercriminels.

Des pirates informatiques qui seraient selon l’agence américaine de nationalité russe, et qui ont pour intention d’installer des portes dérobés depuis 2019.

Cet article va aussi vous intéresser : Quelques conseils d’Edward Snowden face aux géants du numérique

Le vendredi dernier, la NSA publiait une alerte de sécurité. Cette alerte mettait en garde contre de nouvelles compagnes de piratage informatique dont la cible et des serveurs dédiés à la messagerie. L’agence de sûreté nationale américaine accuse la Russie d’être derrière cybercriminalité. En effet, elle  indique que les pirates informatiques derrière ces actes de cybermalveillance ferait partie d’une unité de cyberespionnage, des plus avancées de l’État Russe. L’unité dont il est  question eit là 74455 du GRU Main Center for Special Technologies (GTsST), connu comme une branche du service de renseignement de l’armée russe. Elle serait impliquée dans l’attaque des serveurs de messagerie électronique de Exim, une société de transfert de courrier.

Le groupe de pirates indexé par la NSA se fait aussi appeler SandWorm. L’agence américaine signifie qu’il cible Exim depuis mi 2019. Des cyberattaques qui tournaient autour de l’exploitation d’une faille de sécurité à l’instar de CVE-2019-10149. « Lorsque Sandworm exploitait CVE-2019-10149, la machine victime téléchargeait et exécutait ensuite un script shell à partir d’un domaine contrôlé par Sandworm » explique la NSA. Avec ce script malveillant, les cybercriminels pouvaient alors :

– Ajouter des utilisateurs disposant de privilèges d’administrateur ;

– Mettre hors d’usage les configurations de sécurité du réseau ;

– Effectuer les mises à jour au niveau des configuration SSH en vue de créer un accès à distance pour leur visage ;

– Exécuter un autre programme pour the futurs.

L’agence américaine de sûreté a de son côté averti les organisations gouvernementales et les structures privées de procéder à la mise à jour de leurs serveurs de l’agent Exim et tourner vers la version 4.93. la NSA de plus de conseiller aussi de procéder à des audits de sécurité afin de chercher de potentielles vulnérabilités et de potentiels cas où signe de compromission. À cet effet,  elle met à la disposition des organisations, des indicateurs de compromis qui sont disponibles dans le PDF publié.

En outre, il faut noter que le groupe dénommé Sandworm est en activité depuis les années 2000. Certains spécialistes de la cybersécurité l’accusent même d’être à l’origine du programme malveillant connu sous le nom de BlackEnergy, un malware qui a causé d’énormes dégâts au niveau des secteurs énergétique en Ukraine. Causant ainsi une grosse panne d’électricité en décembre 2015 et 2016. Mais ce que l’on sait avec certitude, c’est que ce groupe est à l’origine d’un des célèbres malwares qui n’aient jamais existé : le célèbre rançongiciel NotPetya. Un programme malveillant qui a coûté des milliards de dollars à plusieurs entreprises à travers le monde entier.

Par ailleurs, notons que Sandworm fait partie selon les médias en Occidentaux, comme l’un des groupes les plus avancés, financé par l’État russe, avec le groupe de pirates « Turla ». Par ailleurs la faille de sécurité (CVE-2019-10149) que le groupe Sandworm essaie d’en tirer profit a été découverte depuis le mois de juin de l’année dernière. Le géant américain, Microsoft à cette période on avait commencé à émettre des alertes, expliquant, aux clients de son service cloud, Microsoft Azure, qu’un programme malveillant avait été développer et qui menaçait les serveurs Exim. L’objectif était de s’emparer des infrastructures cloud de la firme de Redmond.

Accédez maintenant à un nombre illimité de mot de passe :