Des pirates informatiques nord-coréens ciblent une vulnérabilité d'Internet Explorer dans une attaque de la chaîne d'approvisionnement

Une vulnérabilité zero-day récemment découverte dans Internet Explorer a une fois de plus mis en évidence la menace persistante du cyberespionnage. La dernière victime en date ? Une agence de publicité compromise par le célèbre groupe nord-coréen APT37 , également connu sous les noms de RedEyes, Reaper, ScarCruft, Group123 et TA-RedAnt. Cette attaque sophistiquée met en évidence la capacité du groupe à exploiter une technologie obsolète, en utilisant une faille dans Internet Explorer pour cibler les utilisateurs via des vulnérabilités de la chaîne d'approvisionnement.

Une vulnérabilité exploitée au vu et au su de tous

Identifiée comme CVE-2024-38178, cette vulnérabilité est liée à un problème de corruption de mémoire dans le moteur de script d'Internet Explorer. Bien que Microsoft ait mis fin à la prise en charge d'Internet Explorer en 2022, de nombreuses applications, notamment les logiciels publicitaires, continuent de s'appuyer sur son code sous-jacent pour fonctionner. Plus précisément, la vulnérabilité existe dans jscript9.dll, un composant du moteur de navigateur qui reste intégré au logiciel, ce qui le rend vulnérable aux attaques.

Selon AhnLab et le Centre national de cybersécurité de Corée du Sud (NCSC), APT37 a ciblé le moteur de navigateur vulnérable pour lancer une attaque sans clic. Cela signifie que les utilisateurs n'avaient pas besoin d'interagir avec des liens ou des fichiers malveillants pour que leurs systèmes soient compromis. La faille permettait l'exécution de code à distance, ce qui permettait aux attaquants de prendre le contrôle des machines affectées simplement en s'exposant à des publicités compromises.

Comment s'est déroulée l'attaque

L'attaque a commencé lorsque APT37 a compromis le serveur publicitaire d'une société coréenne à l'origine du programme publicitaire Toast, qui était fourni avec divers logiciels gratuits. Le serveur compromis a ensuite diffusé des publicités malveillantes via le programme publicitaire sur les systèmes exécutant le moteur Internet Explorer vulnérable. Au fur et à mesure que ces publicités étaient téléchargées et affichées, le code malveillant était exécuté sans aucune interaction de l'utilisateur, ce qui a donné lieu à une attaque sans clic.

APT37 a utilisé cette vulnérabilité comme point d'entrée pour diffuser des programmes malveillants sur les systèmes affectés . Il s'agissait probablement d'une initiative plus vaste visant à cibler les individus impliqués dans les affaires sud-coréennes, notamment les transfuges, les militants, les journalistes et les décideurs politiques.

Le correctif de Microsoft et les risques persistants

Le 13 août, Microsoft a publié un correctif pour la vulnérabilité CVE-2024-38178, qui oblige les utilisateurs à cliquer sur une URL spécialement conçue. Cependant, ce correctif est arrivé trop tard pour l'agence de publicité compromise et ses utilisateurs. Même avec ce correctif, la présence du moteur d'Internet Explorer dans les logiciels existants reste un risque important.

AhnLab prévient que de nombreuses applications continuent d'utiliser le composant WebView d'Internet Explorer pour afficher le contenu Web, ce qui les rend vulnérables à ce type d'attaque. Le fait qu'un navigateur retiré du service il y a plus de deux ans soit toujours exploité souligne l'importance de mettre à jour régulièrement les logiciels et de remplacer les anciens systèmes.

Protection contre les exploits zero-day

L'exploitation de la vulnérabilité CVE-2024-38178 par APT37 rappelle de manière flagrante la nécessité pour les entreprises de rester vigilantes face aux vulnérabilités zero-day, même dans les logiciels obsolètes. Voici quelques mesures que les entreprises et les particuliers peuvent prendre pour réduire le risque d'attaques similaires :

• Mises à jour logicielles régulières : assurez-vous que tous les logiciels sont à jour et cessez d'utiliser des applications obsolètes ou non prises en charge.
• Surveiller les indicateurs de compromission (IoC) : AhnLab a publié un rapport contenant des IoC liés à cette attaque. Les organisations doivent surveiller leurs réseaux pour détecter tout signe de compromission.
• Isoler les logiciels vulnérables : si certaines applications s’appuient sur des composants logiciels plus anciens et vulnérables, isolez-les du reste de votre réseau pour empêcher la propagation de logiciels malveillants en cas d’attaque.

Les leçons de la persévérance d'APT37

APT37, également connu sous le nom de RedEyes, cible depuis longtemps des individus et des groupes de haut niveau, en utilisant souvent des vulnérabilités zero-day pour accéder à leurs sites. Leur dernière campagne démontre que même après une décennie d'activité, ils restent une menace informatique importante.

Dans le paysage cybernétique actuel en constante évolution, des attaques comme celles-ci nous rappellent que le maillon le plus faible de la chaîne d'approvisionnement peut causer des dommages considérables. Des mises à jour régulières, une connaissance des vulnérabilités connues et des pratiques de sécurité robustes sont des défenses essentielles contre les menaces persistantes avancées comme APT37.

Tant que les anciens logiciels seront utilisés, les cybercriminels continueront d’exploiter ces vulnérabilités cachées. Pour garder une longueur d’avance, il faut adopter une approche proactive en matière de cybersécurité, car la prochaine faille zero-day pourrait bien être imminente.