Cyber threats
Barometer

Vendredi 29 mars. Après avoir remarqué que ses connexions SSH étaient anormalement longues, Andres Freund, ingénieur logiciel chez Microsoft, avait alerté la communauté de la présence de code malveillant sur deux versions de la bibliothèque xz. Aussi connue sous le nom liblzma, cet utilitaire est disponible sur de nombreuses distributions Linux, comme Arch Linux, Debian ou Fedora.

Les versions 5.6.0 et 5.6.1 publiées respectivement fin février et le 9 mars contenaient toutes deux du code malveillant permettant une exécution de code arbitraire à distance. Au vu de l’ampleur de la menace, une référence CVE a été réservée : CVE-2024-3094, avec un score CVSS de 10 sur 10.

L’origine du code malveillant remonte, quand à lui, à la mi-mars, lorsque JiaT75, un contributeur au projet open source, a inséré discrètement une backdoor dans la librairie, tirant profit de la légitimité acquise par ses précédentes contributions valides. Ces fichiers malveillants étaient initialement camouflés parmi les dossiers de test de l’outil, rendant leur détection plus difficile.

À ce jour, aucune exploitation de la backdoor n’a encore été détectée dans la nature.

Une backdoor, ou « porte dérobée » désigne une méthode discrète permettant d’accéder à un système informatique en contournant les mesures de sécurité habituelles. Elle peut être placée là intentionnellement par les créateurs du système, ou il peut s’agir d’une vulnérabilité involontaire. Par exemple, une porte dérobée peut être un mot de passe ou un code secret qui permet d’accéder à un système, ou une faiblesse dans la conception qui peut être exploitée.

En général, les portes dérobées sont utilisées à des fins malveillantes telles qu’un accès non autorisé, un vol de données ou l’endommagement d’un système.

Malwares, vulnérabilités critiques, attaques persistantes avancées, secteurs particulièrement visés, signaux faibles de menaces émergentes… Ce n’est un secret pour personne, la connaissance de son environnement cyber est un facteur clé pour la sécurité d’une entreprise. Le Cyber Threats Barometer vous donne chaque mois mais un aperçu des menaces cyber détectées lors des trente derniers jours par Gatewatcher CTI, notre plateforme de Cyber Threat Intelligence.

Les moteurs automatisés de collecte, d’analyse et de corrélation de Gatewatcher CTI sont alimentés en permanence par plus de quatre milles sources de données provenant de multiples canaux : réseaux sociaux, sites spécialisés, dark et deep web. Ils permettent de rendre accessibles les informations sur les menaces 24 heures en moyenne avant la concurrence et facilitent la prise de décision des équipes opérationnelles en réduisant fortement leurs temps d’analyse et de réaction en cas d’incident.