Nouvelle couverture ThreatClaw : 22 CVEs exploitées et 20 familles de malware

Renforcement de la détection des attaques web et des menaces avancées

Cette semaine, ThreatClaw étend sa couverture de détection avec 355 nouvelles règles Sigma et 20 fichiers YARA ciblant des vulnérabilités critiques, des familles de malware sophistiquées et des techniques d’attaque couramment exploitées par les acteurs avancés. Voici les principales avancées :

1. Exploitation de vulnérabilités critiques (CVE) en temps réel

Notre couverture inclut désormais la détection des tentatives d’exploitation de 22 vulnérabilités connues pour être exploitées (KEV), dont plusieurs figurent parmi les plus dangereuses pour les entreprises cette année. Ces vulnérabilités permettent souvent un accès initial (T1190 - Exploit Public-Facing Application) ou une escalade de privilèges, exposant les systèmes à des attaques en chaîne.

• CVE-2024-3400 (Palo Alto Networks PAN-OS) : Vulnérabilité zero-day exploitée pour des attaques ciblées, permettant une exécution de code à distance (RCE) sans authentification. Pourquoi c’est critique : Utilisée pour déployer des backdoors et des outils de persistance (T1505.003), cette faille a été massivement exploitée avant la publication des correctifs.
• CVE-2023-22515 (Atlassian Confluence) : Exploitation d’une faille d’injection OGNL pour une RCE pré-authentification. Impact : Permet aux attaquants de prendre le contrôle de serveurs Confluence, souvent utilisés pour héberger des données sensibles (T1213 - Data from Information Repositories).
• CVE-2023-42793 (JetBrains TeamCity) : Vulnérabilité d’authentification permettant une RCE. Risque : Les serveurs CI/CD compromis peuvent être utilisés pour empoisonner des chaînes de build (T1554 - Compromise Client Software Binary), menant à des attaques supply chain.
• CVE-2023-3519 (Citrix ADC/Gateway) : Exploitation d’une faille RCE pour déployer des webshells. Conséquence : Utilisée pour le vol de données (T1048 - Exfiltration Over Alternative Protocol) et le mouvement latéral (T1021.001 - Remote Services: Remote Desktop Protocol).
• CVE-2022-1388 (F5 BIG-IP) : Faille permettant une RCE via une requête HTTP spécialement forgée. Enjeu : Les appliances BIG-IP sont souvent exposées sur Internet, offrant une porte d’entrée directe aux réseaux internes (T1133 - External Remote Services).

Autres CVEs notables couvertes :

• CVE-2024-4577 (PHP-CGI) : Exploitation d’une faille d’injection de commande pour une RCE.
• CVE-2023-29298 et CVE-2023-26360 (Adobe ColdFusion) : Accès non autorisé et lecture arbitraire de fichiers.
• CVE-2023-24489 (Citrix ShareFile) : Exploitation pour une RCE via un upload de fichier malveillant.
• CVE-2022-40684 (Fortinet FortiGate) : Contournement d’authentification pour un accès admin.

2. Détection des techniques d’attaque web courantes

Au-delà des CVEs, nous couvrons désormais des techniques génériques utilisées pour identifier et exploiter des failles dans les applications web, souvent précurseurs d’attaques plus larges :

• Inclusion de fichiers locaux (LFI) et traversée de chemin (T1083 - File and Directory Discovery, T1190) : Permet aux attaquants de lire des fichiers sensibles (ex : /etc/passwd, fichiers de configuration) ou d’exécuter du code arbitraire.
• Injection de commandes OS (T1190) : Technique permettant une RCE via des entrées utilisateur non sanitizées (ex : paramètres d’URL, champs de formulaire).
• Scanners de vulnérabilités et outils offensifs (T1592.004 - Gather Victim Host Information, T1595.002 - Vulnerability Scanning) : Détection des User-Agents associés à des outils comme Nuclei, Burp Suite ou Metasploit, souvent utilisés pour du repérage avant une attaque.
• Sondage de fichiers sensibles ou d’endpoints exposés (T1592.002 - Gather Victim Network Information, T1595.002) : Requêtes ciblant des fichiers comme /.env, /wp-config.php ou des endpoints comme /autodiscover/autodiscover.xml (Exchange).

3. Couverture étendue des familles de malware avancées

Cette mise à jour inclut 20 nouveaux fichiers YARA pour détecter des familles de malware associées à des acteurs avancés, couvrant des techniques de persistance, d’évasion et d’exfiltration :

• AnimalFarm, Gazer, InvisiMole : Familles de malware ciblant les environnements Windows et Linux, connues pour leurs capacités de vol de données (T1005 - Data from Local System), mouvement latéral (T1021.002 - Remote Services: SMB/Windows Admin Shares) et persistance (T1547.001 - Registry Run Keys / Startup Folder).
• RedLine : Stealer populaire pour le vol de credentials (T1555.003 - Credentials from Web Browsers), de portefeuilles cryptographiques et d’informations système.
• SparklingGoblin : Backdoor utilisée pour des attaques ciblées, avec des capacités de commande et contrôle (C2) (T1071.001 - Application Layer Protocol: Web Protocols) et d’exfiltration de données (T1567 - Exfiltration Over Web Service).
• Turla-Outlook : Malware exploitant Microsoft Outlook pour des attaques de phishing interne (T1566.001 - Spearphishing Attachment) et de vol de tokens (T1528 - Steal Application Access Token).
• Windigo (Onimiki) : Campagne ciblant les serveurs Linux pour déployer des backdoors SSH (T1098 - Account Manipulation) et des bots IRC (T1071.001).

4. Techniques MITRE ATT&CK couvertes

Cette mise à jour renforce la détection de plus de 150 techniques MITRE ATT&CK, avec un focus sur :

• Accès initial : T1190 (Exploit Public-Facing Application), T1133 (External Remote Services), T1200 (Hardware Additions).
• Exécution : T1059 (Command-Line Interface), T1204.002 (User Execution: Malicious File).
• Persistance : T1547.001 (Registry Run Keys), T1546.003 (Windows Management Instrumentation Event Subscription).
• Évasion de défense : T1027 (Obfuscated Files or Information), T1070.001 (Indicator Removal: Clear Windows Event Logs).
• Mouvement latéral : T1021.001 (Remote Desktop Protocol), T1021.002 (SMB/Windows Admin Shares).
• Exfiltration : T1048 (Exfiltration Over Alternative Protocol), T1567 (Exfiltration Over Web Service).

Protégez votre entreprise avec ThreatClaw Premium

Les cybermenaces évoluent rapidement, et les attaquants exploitent souvent des vulnérabilités connues avant que les correctifs ne soient déployés. Avec ThreatClaw Premium, bénéficiez de :

• Mises à jour en temps réel pour les nouvelles règles de détection, couvrant les menaces émergentes dès leur apparition.
• Une couverture étendue des techniques MITRE ATT&CK, des familles de malware et des vulnérabilités critiques.
• Une intégration transparente avec vos outils de sécurité existants (SIEM, EDR, XDR) pour une détection et une réponse optimisées.

Ne laissez pas les attaquants exploiter les failles avant vous. Passez à ThreatClaw Premium dès aujourd’hui pour une protection proactive et continue.