Les acteurs du ransomware exploitent un bug critique et ciblent l’outil DevOps

DevSecOps , Gestion de la fraude et cybercriminalité , Technologies de nouvelle génération et développement sécurisé

Plusieurs organisations victimes au cours du week-end

M. Mihir (MihirBagwe) •
3 octobre 2023

Les pirates du ransomware utilisent une faille critique dans un outil DevOps quelques jours après que le développeur JetBrains a publié une mise à jour de sécurité critique pour corriger son serveur de gestion de build et d’intégration continue TeamCity.

Voir également: Webinaire en direct | Cyber-résilience : se remettre d’une attaque de ransomware

JetBrains a divulgué le 20 septembre un vulnérabilité suivi comme CVE-2023-42793 permettant l’exécution de code à distance sur ses serveurs d’intégration continue et de livraison continue/déploiement continu.

« De nombreux groupes de ransomwares populaires ont commencé à utiliser CVE-2023-42793 comme une arme et ont ajouté la phase d’exploitation dans leur flux de travail. » dit société de renseignement sur les menaces Prodaft, sur le réseau social X, anciennement Twitter.

La société a déclaré avoir détecté plusieurs organisations touchées au cours des trois derniers jours par des pirates informatiques exploitant le bug. “Malheureusement, la plupart d’entre eux auront un énorme mal de tête dans les semaines à venir”, a déclaré Prodaft.

La vulnérabilité permet à des attaquants non authentifiés d’exécuter du code arbitraire sur le serveur sur site de TeamCity. Les attaquants peuvent voler le code source, les secrets de service et les clés privées, dit SonarSource, qui a été le premier à identifier la faille.

La vulnérabilité affecte toutes les versions antérieures du serveur CI/CD sur site de TeamCity, utilisé par 30 000 utilisateurs dans le monde. Les serveurs tels que TeamCity sont des cibles de grande valeur pour les attaquants.

Groupe de suivi des activités malveillantes Shadowserver dimanche tracé près de 1 300 serveurs TeamCity non corrigés, la plupart aux États-Unis.

Au moins 74 adresses IP uniques ont ciblé les serveurs JetBrains TeamCity exposés à Internet, selon une société de renseignement sur les menaces. GrisBruit.

Rapid7 a divulgué un exploit pour la vulnérabilité qui fonctionne à la fois contre les cibles Windows et Linux, la société de cybersécurité dit.