*Google découvre une porte dérobée personnalisée sur des dispositifs réseau SonicWall*
Les équipes de Google Threat Intelligence Group ont mis au jour une campagne de cyberattaques sophistiquée visant les appliances SonicWall Secure Mobile Access (SMA). Ces dispositifs, positionnés en périphérie des réseaux d’entreprise, gèrent l’accès sécurisé des appareils mobiles. L’attaque exploite des équipements en fin de vie, privés de mises à jour de sécurité régulières, transformant cette vulnérabilité en porte d’entrée pour le groupe de hackers baptisé UNC6148. La sophistication de l’opération réside dans l’installation d’une porte dérobée personnalisée nommée Overstep, capable d’effacer sélectivement les journaux système pour brouiller les pistes forensiques.
SonicWall sous le feu des cyberattaquants : une cible privilégiée
Les appliances SonicWall SMA ciblées présentent un profil particulièrement attractif pour les cybercriminels. Arrivées en fin de vie, ces solutions continuent pourtant d’être déployées massivement au sein des infrastructures d’entreprise. Cette situation rappelle les vulnérabilités récentes découvertes chez Fortinet, démontrant que les fournisseurs de sécurité réseau font face à des défis similaires.
L’attaque exploite des identifiants d’administrateur local compromis, bien que le mécanisme d’obtention de ces credentials reste mystérieux. Cette technique d’infiltration s’inscrit dans une tendance plus large d’attaques ciblant les équipements réseau de marques reconnues comme Cisco, Palo Alto Networks, Check Point et Juniper Networks.
La menace UNC6148 : un acteur sophistiqué aux méthodes inédites
Le groupe UNC6148, identifié par Google, déploie des tactiques d’une sophistication remarquable. L’installation de la porte dérobée Overstep représente un tournant dans les techniques d’anti-forensique. Cette capacité à supprimer sélectivement les entrées de journaux constitue un obstacle majeur pour les investigations post-incident.
Les experts soupçonnent l’utilisation d’une vulnérabilité zero-day, exploitant une faille jusqu’alors inconnue du public. Cette approche fait écho aux récentes campagnes d’hackers chinois exploitant des failles SAP, illustrant l’évolution constante des menaces cybersécuritaires.
Vulnérabilités exploitées : un arsenal de failles critiques
L’analyse technique révèle plusieurs vulnérabilités potentiellement exploitées par UNC6148. La CVE-2021-20038 permet une exécution de code à distance non authentifiée via une corruption mémoire, tandis que la CVE-2024-38475 autorise l’extraction de bases de données SQLite contenant les identifiants utilisateur et tokens de session.
Plus inquiétant encore, la CVE-2025-32819 permet la suppression authentifiée de fichiers, forçant le dispositif à restaurer les identifiants administrateur par défaut. Cette technique rappelle les méthodes utilisées dans d’autres campagnes récentes exploitant des vulnérabilités système.
L’impact sur l’écosystème de la sécurité réseau
Cette découverte bouleverse l’écosystème des solutions de sécurité réseau. Les entreprises utilisant des équipements Barracuda Networks, McAfee ou Trend Micro scrutent désormais leurs infrastructures avec une attention renouvelée. La recommandation de Google d’acquérir des images disque pour analyse forensique souligne la gravité de la situation.
L’ampleur potentielle de cette campagne fait écho aux conséquences réglementaires du piratage SolarWinds, où la SEC a infligé des amendes pour des divulgations cybersécuritaires trompeuses.
Stratégies de détection et réponse incident
Face à cette menace sophistiquée, les organisations doivent adapter leurs stratégies de détection. L’analyse des images disque devient primordiale pour contourner les capacités anti-forensiques d’Overstep. Cette approche technique contraste avec les méthodes traditionnelles de monitoring réseau, nécessitant une collaboration étroite avec SonicWall pour l’extraction des données depuis les appliances physiques.
La nature sélective des suppressions de logs complique considérablement l’identification des indicateurs de compromission. Les équipes de sécurité doivent désormais intégrer cette dimension dans leurs procédures d’investigation, à l’instar des leçons apprises lors d’incidents comme l’attaque du ransomware Cactus contre l’Autorité du logement de Los Angeles.
L’évolution des menaces persistantes avancées
Cette campagne illustre l’évolution des menaces persistantes avancées (APT) vers des techniques d’effacement de traces plus sophistiquées. La capacité d’Overstep à masquer ses activités représente un défi inédit pour les analystes cybersécurité. Cette approche s’inscrit dans une tendance plus large d’attaques ciblant les infrastructures critiques.
L’utilisation présumée d’exploits zero-day démontre les ressources considérables investies par UNC6148. Cette escalade technologique fait écho aux préoccupations croissantes concernant la prolifération de packages malveillants sur les plateformes de développement, soulignant la nécessité d’une vigilance accrue à tous les niveaux de l’infrastructure technologique.
