Mercredi, des agences de cybersécurité d’Australie, du Royaume-Uni et des États-Unis publié un avertissement consultatif conjoint sur l’exploitation active des vulnérabilités Fortinet et Microsoft Exchange ProxyShell par des acteurs parrainés par l’État iranien pour obtenir un accès initial aux systèmes vulnérables pour les activités de suivi, y compris l’exfiltration de données et les logiciels de rançon.
L’acteur de la menace aurait exploité plusieurs vulnérabilités Fortinet FortiOS remontant à mars 2021 ainsi qu’une faille d’exécution de code à distance affectant les serveurs Microsoft Exchange depuis au moins octobre 2021, selon l’Agence américaine de cybersécurité et de sécurité de l’infrastructure (CISA), l’agence fédérale américaine. Bureau of Investigation (FBI), l’Australian Cyber Security Center (ACSC) et le National Cyber Security Center (NCSC) du Royaume-Uni.
Les victimes ciblées comprennent des organisations australiennes et un large éventail d’entités dans plusieurs secteurs d’infrastructures critiques aux États-Unis, tels que les transports et les soins de santé. La liste des failles exploitées est ci-dessous —
En plus d’exploiter les failles de FortiOS pour accéder à des réseaux vulnérables, la CISA et le FBI ont déclaré avoir observé l’adversaire abuser d’un appareil Fortigate en mai 2021 pour prendre pied sur un serveur Web hébergeant le domaine d’un gouvernement municipal américain. Le mois suivant, les acteurs de l’APT « ont exploité un appareil Fortigate pour accéder aux réseaux de contrôle de l’environnement associés à un hôpital américain spécialisé dans les soins de santé pour enfants », indique l’avis.
Ce développement marque la deuxième fois que le gouvernement américain alerte sur des groupes de menaces persistants avancés ciblant les serveurs Fortinet FortiOS en exploitant CVE-2018-13379, CVE-2020-12812 et CVE-2019-5591 pour compromettre les systèmes appartenant à des entités gouvernementales et commerciales.
Comme mesures d’atténuation, les agences recommandent aux organisations de corriger immédiatement les logiciels affectés par les vulnérabilités susmentionnées, d’appliquer les procédures de sauvegarde et de restauration des données, de mettre en œuvre la segmentation du réseau, de sécuriser les comptes avec une authentification multifacteur et de corriger les systèmes d’exploitation, les logiciels et les micrologiciels au fur et à mesure des mises à jour. sont libérés.
