Au cours des dernières années, les pirates ont pris pour cible des périphériques réseau exposés au public, tels que les routeurs, les concentrateurs VPN et les équilibreurs de charge, afin de s'introduire dans les réseaux d'entreprise. S'il n'est pas rare de trouver des vulnérabilités permettant l'exécution de code à distance sur ce type de périphériques, les incidents au cours desquels des attaquants parviennent à déployer sur ces périphériques des logiciels malveillants capables de survivre aux redémarrages ou aux mises à jour du micrologiciel sont rares et souvent attribués à des campagnes APT sophistiquées menées par des organisations.
Comme ils utilisent une mémoire flash, susceptible de se dégrader au fil du temps en cas d'écritures répétées, les appareils réseau embarqués stockent souvent leur micrologiciel dans un système de fichiers en lecture seule et chargent son contenu en mémoire vive (RAM) à chaque redémarrage. Cela signifie que toutes les modifications et tous les fichiers générés par les différents services en cours d'exécution pendant le fonctionnement normal de l'appareil sont temporaires, car ils n'existent qu'en mémoire vive et ne sont jamais enregistrés dans le système de fichiers, qui, lors du redémarrage de l'appareil, sera restauré dans son état d'origine.
Les exceptions concernent les fichiers de configuration et les scripts générés via l’interface de gestion des appareils et stockés dans une zone de stockage limitée appelée NVRAM (mémoire vive non volatile). Du point de vue d’un pirate, cette limitation rend plus difficile la compromission durable des périphériques réseau ; c’est pourquoi les attaques à grande échelle visant, par exemple, les routeurs domestiques, font appel à des botnets automatisés qui analysent et réinfectent périodiquement le routeur.
Cependant, dans le cadre d’une attaque ciblée contre un réseau d’entreprise, les pirates préfèrent rester invisibles plutôt que d’attaquer plusieurs fois le même appareil, afin de ne pas déclencher les mécanismes de détection qui pourraient être mis en place si la vulnérabilité venait à être rendue publique. Ils préfèrent également disposer d’un accès à long terme à ces appareils et les utilisent comme passerelles vers les réseaux internes, ainsi que comme points d’appui à partir desquels ils peuvent effectuer des mouvements latéraux et étendre leur accès à d’autres appareils non publics.
Possibilités de persistance dans les équilibreurs de charge Citrix et F5
Depuis 2019, trois vulnérabilités critiques ont été découvertes dans les équilibreurs de charge Citrix et F5 (CVE-2019-19781, CVE-2020-5
(902 et CVE-2022-1388), ces vulnérabilités ont été rendues publiques et exploitées dans la nature, ce qui a conduit l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ainsi que d'autres organisations à émettre des avertissements. C’est pourquoi les chercheurs de la société de sécurité des micrologiciels Eclypsium ont récemment étudié les possibilités de persistance dont disposent les attaquants sur ce type d’appareils. Leurs conclusions ont été publiées mercredi dans un rapport.
En mai 2022, la société de sécurité Mandiant a signalé qu’un acteur malveillant spécialisé dans le cyberespionnage — identifié à l’époque sous le nom d’UNC3524, mais associé par la suite au groupe APT29 (Cozy Bear) dirigé par l’État russe — avait compromis des réseaux d’entreprise grâce au déploiement d’une porte dérobée. L’intrusion est restée indétectée pendant une longue période sur des équipements réseau, notamment des équilibreurs de charge qui ne prenaient pas en charge les outils de détection tels que l’EDR (Endpoint Detection and Response) et qui fonctionnaient sous d’anciennes versions de CentOS et de BSD. Bien que Mandiant n’ait pas nommé ces équipements ni leurs fabricants, les chercheurs d’Eclypsium estiment qu’il s’agit d’équipements F5 et Citrix, car l’équilibreur de charge F5 fonctionne sous CentOS et Citrix (anciennement Netscaler) sous FreeBSD.
“ Une caractéristique de l’UNC3524 ressort particulièrement : leurs TTP ne sont pas fiables, ils utilisent des logiciels open source modifiés pour créer leur porte dérobée et semblent n’avoir que les connaissances minimales nécessaires sur le système pour atteindre les objectifs les plus élémentaires ”, ont écrit les chercheurs d’Eclypsium dans leur article, selon le rapport. “ Leurs implants étaient si peu fiables qu’ils installaient des shells réseau dans le seul but de les redémarrer après leur arrêt. C’est cette caractéristique qui a été le catalyseur de cette recherche, et la question qui se posait était la suivante : cela serait-il possible sur un équilibreur de charge ? En utilisant un framework C2 standard ? Le logiciel malveillant est-il suffisamment résilient pour persister après des redémarrages, voire des mises à jour ? Est-il possible d’infecter un appareil si profondément qu’un effacement complet suivi d’une réinstallation ne suffirait pas ? ”
De nombreux groupes d'attaquants choisissent d'utiliser des versions piratées de frameworks d'attaque commerciaux tels que Cobalt Strike ou Brute Ratel, mais les chercheurs d'Eclypsium souhaitaient disposer d'un outil open source et facile à utiliser par des attaquants moins expérimentés ; ils ont donc opté pour Sliver, un framework open source de simulation d'adversaires, pour leurs implants de test. Écrit en Go, Sliver est multiplateforme et offre des fonctionnalités de rotation et de tunneling.
Afin de déterminer quels fichiers l'équilibreur de charge F5 conserve lors des redémarrages et des mises à jour du micrologiciel, les chercheurs se sont penchés sur la fonctionnalité de sauvegarde de configuration disponible via l'interface de gestion, qui permet de générer une archive contenant toutes les configurations et tous les paramètres pouvant ensuite être restaurés lors d'une nouvelle installation. Déploiement. Parmi une archive contenant des centaines de fichiers, les chercheurs ont sélectionné trois scripts exécutables et des fichiers de configuration permettant d'exécuter des scripts lors de certains événements.
“ L’une des découvertes inattendues de cette étude concerne la documentation fournie par le fabricant ; il s’avère que ces appareils contenaient une mine d’informations sur des caractéristiques et fonctionnalités non documentées au fil des ans ”, ont déclaré les chercheurs. “ Sans cette documentation fournie par le fabricant, cette recherche aurait été bien plus difficile à mener. Il est important de comprendre comment l’appareil gère ses fichiers de configuration. ”
