Microsoft affirme que les pirates iraniens exploitent activement le bogue Zerologon

Le centre de renseignement sur les menaces de Microsoft (MSTIC) a tweeté en disant que des pirates informatiques soutenus par l’État iranien, vantés comme MERCURY, exploitent activement la vulnérabilité Zerologon . La vulnérabilité provient d’un protocole d’authentification faible qui peut donner au pirate un contrôle total sur le contrôleur de domaine et le réseau de prise de contrôle de la cible.

Cette vulnérabilité a été qualifiée de bogue Windows le plus critique découvert cette année, car il faut moins d'une minute pour compromettre le réseau. Microsoft a publié des correctifs pour ce bogue dans la mise à jour d'août et a exhorté tout le monde à l'appliquer.

Des pirates iraniens exploitant Zerologon

Le bogue Zerologon dans les machines Windows 10 est désigné comme le plus grave révélé cette année. En effet, l'exploitation du bogue ne prend que quelques secondes, bien que l'attaquant ait déjà besoin d'une empreinte interne. Le score de gravité est de 10/10 depuis lors.

La vulnérabilité réside dans le Netlogon, le paramètre d'authentification avec un protocole de sécurité faible. Bien que l’attaque soit au stade secondaire, elle est considérée comme grave car elle peut donner le contrôle sur tout le réseau en prenant au départ les contrôleurs de domaine. Ainsi, quiconque y accédait pouvait lancer une série de nouvelles attaques, voler des données, etc.

Microsoft a suivi les exploitations contre le bug de Zerologon depuis septembre, et dit maintenant avoir détecté que peu de pirates informatiques soutenus par l'État iranien le font. Le Threat Intelligence Center (MSTIC) de Microsoft a tweeté sur les attaques actives contre Zerologon pendant deux semaines.

MSTIC a observé l'activité de l'acteur d'État-nation MERCURY utilisant l'exploit CVE-2020-1472 (ZeroLogon) dans des campagnes actives au cours des 2 dernières semaines. Nous vous recommandons fortement de patcher. Les clients Microsoft 365 Defender peuvent également consulter ces détections: https://t.co/ieBj2dox78

– Microsoft Security Intelligence (@MsftSecIntel) 5 octobre 2020

Le groupe est identifié comme étant MERCURY, également connu sous le nom de MuddyWatter qui travaille pour le principal service de renseignement et militaire iranien. Ils ont des antécédents d'attaques contre des ONG, des gouvernements et des organisations de défense des droits de l'homme.

Le DHS a également averti les agences fédérales de la gravité de Zerologon et leur a ordonné de mettre à jour le correctif Microsoft ou de les déconnecter pour protéger le réseau. Microsoft a déjà publié un correctif pour cela dans la mise à jour d'août de Windows 10 et a exhorté tout le monde à l'appliquer.