Tempête 1175 et Méduse la campagne qui accélère les dégâts avec zéro jour et des outils légitimes

Au cours des derniers mois, une règle que chaque agent de sécurité devrait avoir en place est devenue évidente : quand un acteur malveillant combine vitesse, connaissances techniques et accès à des exploits de zéro jour, la marge de réponse est considérablement réduite. Un groupe lié à la Chine, identifié par des équipes de renseignement comme Storm-1175, exploite cette combinaison pour infiltrer les réseaux exposés sur Internet et déployer l'ansomware connu sous le nom de Méduse. Son modus operandi est basé sur les mouvements rapides, la cartographie de vulnérabilité et l'utilisation stratégique d'outils légitimes, ce qui rend difficile la détection et l'accélération des dommages.

Les chercheurs de Microsoft ont documenté comment ce groupe ne se contente pas de profiter des échecs déjà signalés : il a utilisé à plusieurs reprises des vulnérabilités de zéro jour avant d'être public et a mélangé des exploits récents avec d'autres déjà connus pour ouvrir des portes et avancer dans l'environnement compromis. Il en est résulté des intrusions qui ont particulièrement affecté les organismes de santé, mais aussi des centres d'enseignement, des bureaux professionnels et des institutions financières dans des pays comme l'Australie, le Royaume-Uni et les États-Unis. Pour plus de contexte sur le travail de Microsoft dans ces enquêtes, il est approprié de revoir sa section de sécurité: Microsoft Security Blog.

Une des caractéristiques qui rend dangereux des acteurs comme Storm-1175 est la vitesse avec laquelle ils transforment l'accès en impact. Dans plusieurs incidents, ils ont réussi à voler des informations et à mettre en place des systèmes en quelques jours; dans des cas isolés, même dans les 24 heures suivant la porte initiale. Cette cadence exige non seulement des patchs, mais aussi une détection précoce et des mesures imposées rapidement. Les vulnérabilités exploitées par le groupe depuis 2023 comprennent les défaillances dans les serveurs de courrier, les plateformes de gestion à distance et les outils de collaboration, dont beaucoup sont enregistrés publiquement sur des bases telles que NIST (NVD). Pour des exemples précis, voir, par exemple, l'onglet CVE-2023-21529 dans NVD: CVE-2023-21529 ou CVE-2024-1708 concernant les solutions de télécommande: CVE-2024-1708. De plus, si vous voulez suivre les vulnérabilités exploitées de manière massive et prioriser le stationnement, le guide de la CISA sur les vulnérabilités exploitées connues est une ressource utile : CISA - Catalogue des vulnérabilités exploitées.

Au-delà des défaillances techniques, la tactique Storm-1175 révèle une autre tendance inquiétante : la réutilisation d'outils légitimes pour cacher une activité malveillante. Les attaquants sont souvent basés sur RMM (Surveillance et gestion à distance), des applications d'administration à distance ou des utilitaires système - les soi-disant LOLBins - pour se déplacer latéralement et minimiser le bruit. Des outils comme PowerShell, PsExec, utilitaires commerciaux de gestion à distance et paquets de déploiement ont été utilisés à la fois pour exécuter des commandes légitimes et pour diffuser des charges malveillantes. Ce mélange complique l'identification de l'attaque parce que le trafic et les actions correspondent à des modèles administratifs valides.

Dans la phase post-intrusion, la chaîne typique que les analystes ont observé comprend la création de nouveaux comptes pour la persistance, l'installation de shells web, l'abus de RMM commerciale pour passer sur le réseau, le dumping d'identifications avec des outils tels que Mimikatz ou frameworks réseau, et la mise en place d'exclusions dans les solutions antivirus pour empêcher les binaires malveillants d'être bloqués. Pour l'exfiltration de l'information, on a signalé l'utilisation d'utilitaires d'archivage et de synchronisation qui facilitent la saisie et le déplacement de grands volumes de données à l'extérieur du réseau. Tout cela se termine par l'activation de Méduse, qui est active et généralement accompagnée de demandes de sauvetage.

Face à ce scénario, il existe des mesures concrètes et pragmatiques qui, sans être infaillibles, augmentent considérablement les coûts d'exploitation des agresseurs. La première consiste à fermer la fenêtre temporaire entre la divulgation d'un patch et son application : il ne suffit pas de connaître les patchs, ils doivent être déployés en priorité sur les surfaces exposées. La segmentation des réseaux et l'accès limité aux services Internet essentiels contribuent à réduire la « portée » d'une explosion réussie. Il est tout aussi important de contrôler et de vérifier l'utilisation d'outils de gestion à distance; s'ils sont utilisés, ils doivent être configurés avec une forte authentification, un accès limité et des propositions de surveillance spécifiques. Pour ceux qui gèrent des environnements d'affaires, les recommandations visant à renforcer l'authentification multifactorielle, à limiter les privilèges, à permettre la télémétrie et à préparer des procédures d'intervention en cas d'incident demeurent valides et urgentes.

Il y a aussi une leçon organisationnelle : les attaquants financiers comme Storm-1175 exploitent non seulement des vulnérabilités techniques, mais aussi des processus lents ou fragmentés. Une entité avec des politiques de patching dispersées, sans inventaire complet des services exposés ou avec une utilisation intensive de solutions tierces (RMM, outils de soutien) offre un terrain beaucoup plus fertile que celui qui a un contrôle strict de son périmètre et une visibilité continue de sa télémétrie. Le travail est à la fois technique et humain: les équipes de formation, l'examen des contrats et des dépendances externes, et le maintien des cahiers d'intervention peuvent faire la différence.

Pour ceux qui veulent approfondir les détails techniques et les signes d'engagement que ce type de campagne laisse derrière eux, il est recommandé de combiner les sources des fabricants de sécurité avec les bases de données et les avis nationaux de vulnérabilité. En plus du blog Microsoft cité ci-dessus et de la base de données NVD, les avis d'organismes comme la CISA ou les rapports des fournisseurs de détection et d'intervention fournissent des indicateurs et des propositions d'atténuation avec des exemples pratiques. Par exemple, la liste des vulnérabilités exploitées par les acteurs actifs peut être consultée et recoupée avec son inventaire afin de prioriser les actions: NVD - Base de données nationale sur la vulnérabilité et CISA Ce sont de bons points de départ.

Le fait qu'un groupe comme Storm-1175 accorde la priorité à la vitesse, aux chaînes explosives et à l'utilisation d'infrastructures légitimes est un rappel que la sécurité moderne exige rythme et discipline. Il ne s'agit pas seulement de mettre des patchs, mais de contrôler les bâtiments qui détectent les anomalies dans l'utilisation des outils administratifs, qui limitent les mouvements latéraux et qui permettent d'agir en heures, pas en semaines. Dans un monde où les attaquants peuvent accéder aux vulnérabilités avant la divulgation publique, la résilience et la réponse organisée sont la meilleure défense.