BoldMove : retour sur la réminiscence d’une vulnérabilité 0-day sous FortiOS et des VPNs Fortinet !

Le 12 Décembre 2022, FortiOS était impacté par une porte dérobée : vulnérabilité assignée CVE-2022-42475 et exploitable dans la nature, les versions estampillées, au maximum, 7.2.2 étaient concernés et un premier correctif avait été, alors, déployé. Dans un billet sécuritaire du 19 Janvier 2023, l’équipe Mandiant revient plus en détails sur la mise en lumière de cette faille à finalité de cyber-espionnage.

“Mandiant a identifié un nouveau logiciel malveillant que nous suivons sous le nom de “BoldMove” dans le cadre de notre enquête. Nous avons découvert une variante Windows de BoldMove et une variante Linux, spécialement conçue pour fonctionner sur les pare-feu FortiGate. Nous pensons qu’il s’agit de la dernière d’une série d’opérations de cyberespionnage chinois qui ont ciblé des appareils connectés à Internet et nous prévoyons que cette tactique continuera d’être le vecteur d’intrusion de choix pour les groupes chinois disposant de ressources suffisantes […] Avec BOLDMOVE, les attaquants ont non seulement développé un exploit, mais également un malware qui montre une compréhension approfondie des systèmes, des services, de la journalisation et des formats propriétaires non documentés. Les logiciels malveillants s’exécutant sur un appareil connecté à Internet peuvent permettre un mouvement latéral plus loin dans un réseau et activer le serveur de commande et de contrôle (C2) en tunnellisant les commandes et les données hors d’un réseau […] BoldMove est écrit en C et possède des variantes Windows et Linux, cette dernière étant destinée à s’exécuter (au moins en partie) sur les appareils Fortinet car elle lit les données d’un fichier propriétaire de Fortinet“, est-il, notamment, communiqué.

Selon les retours-échantillon observés par l’équipe sécuritaire, concernant la variation Windows de BoldMove, les premières traces de compilation (code) remonteraient, au moins, au 26 Août 2021. Le terminal utilisé aurait été paramétré en fuseau horaire UTC+8 (Australie, Chine, Russie, Singapour, autres pays de l’Asie de l’Est) et configuré en langue (système) chinoise. Toujours selon les conclusions et observations des chercheurs, le tableau comparatif (ci-dessus) fait apparaître une version originelle de BoldMove pour Windows (C, MinGW, chiffrement Salsa20) qui a eu le temps d’être peaufinée ou améliorée sous la version Linux (C, GCC, support SSL / TLS AES128 ainsi que des systèmes plus légers via Musl et WolfSSL). Pour l’heure, pas d’exploit effectif, est-il assuré… A veiller !

Source : Blog Mandiant – 19 Janvier 2023 – FortiOS : retour (technique) sur la vulnérabilité 0-day de Décembre 2022 (porte dérobée, spyware, BoldMove).

Signaler une erreur

Raison: *
Erreur(s) dans l'informationFaute(s) d'orthographe(s)

Votre nom: *

Votre email: *

Détails: *

Envoyer votre message