Une intrusion suspectée de ransomware contre une cible anonyme a utilisé un appareil VoIP Mitel comme point d’entrée pour exécuter du code à distance et obtenir un accès initial à l’environnement.
Les conclusions proviennent de la société de cybersécurité CrowdStrike, qui a remonté la source de l’attaque jusqu’à un appareil VoIP Mitel basé sur Linux situé sur le périmètre du réseau, tout en identifiant un exploit précédemment inconnu ainsi que quelques mesures anti-forensiques adoptées par l’acteur sur l’appareil afin d’effacer les traces de ses actions.
L’exploit en question est répertorié sous le nom de CVE-2022-29499 et a été corrigé par Mitel en avril 2022.
Dans l’incident étudié par CrowdStrike, l’attaquant aurait utilisé l’exploit pour créer un shell inversé, l’utiliser pour lancer un shell web sur l’appareil VoIP et télécharger l’outil proxy open source Chisel.
Cette révélation intervient moins de deux semaines après que la société allemande SySS, spécialisée dans test d’intrusion, a révélé deux failles dans les téléphones de bureau Mitel 6800/6900 qui, si elles étaient exploitées avec succès, pourraient permettre à un pirate d’obtenir des privilèges de racine sur les appareils.
« Il est essentiel d’appliquer les correctifs en temps voulu pour protéger les dispositifs périmétriques. Cependant, lorsque les acteurs de la menace exploitent une vulnérabilité non documentée, il n’est plus nécessaire d’appliquer les correctifs en temps voulu », a déclaré Patrick Bennett, chercheur chez CrowdStrike.
