Une nouvelle vulnérabilité dans le protocole NTLM de Windows a été découverte et exploitée comme zero-day par des pirates informatiques probablement liés à la Russie. Cette faille de sécurité permet de dérober le hash NTLM d’un utilisateur et est utilisée dans le cadre d’attaques ciblées contre l’Ukraine.
Identifiée sous la référence CVE-2024-43451, cette vulnérabilité a été corrigée par Microsoft dans sa dernière mise à jour de sécurité. Elle peut être déclenchée par une simple interaction de l’utilisateur avec un fichier malveillant, sans nécessiter son ouverture ou son exécution.
Une campagne de phishing sophistiquée
Les attaquants ont mis en place une campagne de phishing élaborée, utilisant des serveurs gouvernementaux ukrainiens compromis pour envoyer des e-mails malveillants. Ces messages incitent les victimes à télécharger un fichier ZIP contenant un raccourci Internet piégé (.URL).
Lorsque l’utilisateur interagit avec ce fichier, même sans l’ouvrir, la faille NTLM est exploitée. Cela permet aux pirates de voler le hash NTLM de la victime et potentiellement de réaliser une attaque « Pass-the-Hash » pour usurper son identité sur le réseau.
Déploiement du malware Spark RAT
L’objectif final de cette attaque est l’installation du malware Spark RAT (Remote Access Trojan) sur les systèmes ciblés. Ce logiciel malveillant open-source permet aux attaquants de prendre le contrôle à distance des machines infectées.
Les autorités ukrainiennes attribuent cette campagne à un groupe d’acteurs malveillants baptisé UAC-0194, soupçonné d’être lié aux services de renseignement russes. Cette nouvelle attaque s’inscrit dans le contexte plus large des cyberattaques persistantes visant les infrastructures ukrainiennes depuis le début du conflit.
