La revanche de LockBit : un serveur Apache ActiveMQ non corrigé ouvre la porte à une déferlante de ransomware

Tout a commencé comme une intrusion ordinaire : un serveur vulnérable, un hacker ingénieux, et une brèche apparemment contenue. Mais lorsque l’attaquant est revenu près de trois semaines plus tard - muni d’identifiants volés et d’un nouveau plan - l’organisation s’est retrouvée à la merci du ransomware LockBit. Voici l’histoire de la façon dont un serveur Apache ActiveMQ non corrigé est devenu l’épicentre d’une cyberattaque dévastatrice, transformant un simple oubli en laissez-passer illimité pour les cybercriminels.

En bref

• Les attaquants ont exploité la CVE-2023-46604 dans Apache ActiveMQ pour obtenir un accès initial.
• Bien qu’expulsé, le même acteur malveillant a compromis à nouveau le serveur après 18 jours.
• Des identifiants volés ont permis un accès Remote Desktop Protocol (RDP) et le déploiement du ransomware LockBit.
• L’outil d’accès à distance AnyDesk a été installé pour la persistance ; le ransomware s’est propagé via RDP et SMB.
• La note de rançon demandait aux victimes d’utiliser la messagerie Session, dérogeant à la méthode d’extorsion habituelle de LockBit basée sur Tor.

Au cœur de l’attaque : de l’exploitation à l’extorsion

En février 2024, des acteurs malveillants ont ciblé un serveur Apache ActiveMQ exposé sur Internet, toujours vulnérable à la désormais tristement célèbre CVE-2023-46604. Exploitant cette faille, ils ont téléchargé un fichier de configuration XML malveillant via une classe Java Spring. Ce fichier utilisait l’outil Windows CertUtil pour récupérer et exécuter un stager Metasploit - offrant à l’intrus des privilèges SYSTEM quasi instantanément.

Les attaquants n’ont pas perdu de temps. Grâce à leurs accès élevés, ils ont exploré le réseau, utilisant le trafic SMB et des charges utiles Metasploit pour rebondir sur d’autres machines. Ils ont ciblé le processus LSASS, extrayant des identifiants sensibles qui deviendraient plus tard leurs clés du royaume.

Bien qu’ils aient été détectés et expulsés, les attaquants n’en avaient pas fini. Dix-huit jours après leur première intrusion, ils ont exploité le même serveur non corrigé - prouvant que l’éviction sans remédiation n’est qu’un simple sursis. Cette fois, ils ont utilisé leurs identifiants volés pour se connecter à plusieurs serveurs via RDP, y compris les systèmes de sauvegarde et de fichiers critiques.

Avec un accès persistant établi grâce à AnyDesk, les attaquants ont déployé manuellement le ransomware LockBit (LB3_pass.exe et LB3.exe) lors de sessions RDP actives. Le ransomware a balayé le réseau, chiffrant les fichiers et laissant des notes de rançon avec une particularité : au lieu du site de fuite Tor habituel, les victimes étaient invitées à initier le contact via la messagerie Session.

L’attaque n’a duré que quatre heures, mais son impact a été dévastateur. L’utilisation d’un builder LockBit divulgué a souligné la professionnalisation des opérations de ransomware. Pour les défenseurs, le message est clair : corriger les vulnérabilités connues et sécuriser l’accès à distance sont des impératifs dans le paysage actuel des menaces.

Conclusion

Ce cas est un rappel brutal : les cybercriminels n’ont pas besoin d’une seconde invitation. Une vulnérabilité non corrigée peut servir de porte tournante pour les attaquants, avec des conséquences potentiellement catastrophiques. Les organisations doivent considérer la gestion des correctifs et la sécurité de l’accès à distance comme des priorités absolues - car la prochaine campagne LockBit pourrait n’être qu’à un clic.

WIKICROOK

• CVE : CVE, ou Common Vulnerabilities and Exposures, est un système permettant d’identifier et de suivre de manière unique les failles de cybersécurité connues publiquement dans les logiciels et matériels.
• Metasploit stager : Un stager Metasploit est une petite charge utile qui ouvre une porte dérobée, permettant le téléchargement et l’exécution d’un kit d’attaque plus volumineux sur un système cible.
• LSASS : LSASS est un processus Windows qui gère les politiques de sécurité et les identifiants, ce qui en fait une cible courante pour les attaquants cherchant à voler des informations utilisateur.
• SMB : SMB est un protocole utilisé pour partager des fichiers, des imprimantes et des ressources entre ordinateurs sur un réseau, couramment utilisé dans les environnements Windows.
• AnyDesk : AnyDesk est un outil de bureau à distance permettant d’accéder et de contrôler des ordinateurs à distance, utile pour le support mais parfois exploité par des cybercriminels.