L’attaque de la chaîne d’approvisionnement 3CX induit un effet domino

L’entreprise de logiciels de communication populaire 3CX a admis une attaque de la chaîne d’approvisionnement, affectant potentiellement ses clients également. Comme les attaquants ont trojanisé la version légitime de l’application, la suppression de l’application de bureau 3CX reste le seul correctif fonctionnel pour le moment. L’impact exact de cet incident sur d’autres entreprises reste actuellement incertain; cependant, des enquêtes sont en cours.

L’attaque de la chaîne d’approvisionnement 3CX affecte de nombreuses entreprises

Récemment, 3CX a révélé une cyberattaque grave qui met en danger la sécurité de ses clients. 3CX a admis la présence de logiciels malveillants dans son logiciel, suite à une attaque de la chaîne d’approvisionnement, et a exhorté les clients à simplement désinstaller l’application jusqu’à ce que le problème reçoive une solution.

3CX est un fournisseur de PBX populaire qui dessert une vaste clientèle dans le monde. Sa prise en charge des systèmes Windows et Linux permet à diverses entreprises d’intégrer 3CX dans les CRM.

UN alerte communautaire du PDG de l’entreprise, Nick Galea, sur les forums 3CX a révélé que les acteurs de la menace ont potentiellement infecté l’application de bureau 3CX avec un malware, affectant le client Windows Electron. Alors que l’entreprise enquêtait sur la question, elle a conseillé aux clients d’utiliser à la place le client Progressive Web App (PWA), qui restait à l’abri de cette attaque.

Plonger profondément dans ce qui s’est passé

Alors que cela ressemblait initialement à une révélation abrupte suite à une attaque soudaine, SentinelOne a précisé qu’ils pouvaient détecter la menace même tôt. Selon eux poste, ils ont décidé d’enquêter sur la question après que l’application SentinelOne ait commencé à bloquer les menaces malveillantes avec l’application de bureau 3CX. Certains utilisateurs ont même partagé leur plaintes sur les forums 3CX suite à ces alertes. Pourtant, les responsables de 3CX n’ont pas reconnu l’affaire.

Au fur et à mesure que l’incident gagnait du terrain et que les enquêtes progressaient, il s’est avéré que les acteurs de la menace exploitaient potentiellement une vulnérabilité Windows déjà connue pour infecter l’application 3CX. L’analyse de l’affaire a révélé la présence d’une DLL malveillante dans l’application, qui téléchargeait d’autres logiciels malveillants, comme des voleurs d’informations, sur l’appareil cible.

Sophos, en soi poste, a également expliqué l’incident, faisant allusion à l’abus potentiel de ffmpeg.dll pour l’attaque de chargement latéral de DLL. Les chercheurs attribuent également l’attaque au groupe Lazarus. Alors que CrowdStrike, en soi analysea mentionné LABYRINTH CHOLLIMA comme l’acteur menaçant derrière l’attaque.

Ironiquement, ladite vulnérabilité Windows, malgré de nombreux exploits et un correctif fonctionnel disponible depuis une décennie, menace toujours de nombreux systèmes. C’est parce que, comme Ordinateur qui bipe élaboré, le correctif pour ce bogue reste disponible uniquement en tant que fonctionnalité « opt-in », nécessitant une configuration manuelle. Ainsi, la probabilité d’une immunité générale à cet exploit de vulnérabilité reste très faible.

Et ensuite ?

Pour l’instant, Galéa conseille les utilisateurs 3CX pour abandonner l’application de bureau pour le client PWA jusqu’à ce que le problème soit résolu. Pendant ce temps, 3CX a engagé Mandiant pour enquêter sur l’affaire.

Faites-nous part de vos réflexions dans les commentaires.