La cyberattaque MinIO présente un nouveau vecteur de cloud d'entreprise

Un tout nouveau vecteur d'attaque est apparu dans le cloud, permettant aux cybercriminels d'exécuter du code à distance et de prendre le contrôle total des systèmes exécutant le système de stockage d'objets distribué appelé MinIO.

MinIO est une offre open source compatible avec le Service de stockage cloud Amazon S3, qui permet aux entreprises de gérer des données non structurées telles que des photos, des vidéos, des fichiers journaux, des sauvegardes et des images de conteneurs. Les chercheurs de Security Joes ont récemment observé des acteurs malveillants utilisant un ensemble de vulnérabilités critiques dans la plateforme (CVE-2023-28434 ainsi que CVE-2023-28432) pour infiltrer un réseau d'entreprise.

"La chaîne d'exploitation spécifique sur laquelle nous sommes tombés n'a pas été observée auparavant, ni du moins documentée, ce qui en fait la première preuve montrant que de telles solutions non natives sont adoptées par des attaquants", selon Security Joes. « Il a été surprenant de découvrir que ces produits pouvaient être aussi relativement faciles à exploiter en ce qui concerne un nouvel ensemble de vulnérabilités critiques, ce qui en fait un vecteur d'attaque attrayant qui peut être trouvé par les acteurs malveillants via les moteurs de recherche en ligne. »

Lors de l'attaque, les cybercriminels ont trompé un ingénieur DevOps pour mettre à jour MinIO vers une nouvelle version qui fonctionnait efficacement comme une porte dérobée. Les intervenants de Security Joes ont déterminé que la mise à jour était une version militarisée de MinIO contenant une fonction shell de commande intégrée appelée « GetOutputDirectly() » et des exploits d'exécution de code à distance (RCE) pour les deux vulnérabilités, qui ont été divulguées en mars.

De plus, il s'avère que cette version piégée est disponible dans un référentiel GitHub sous le surnom de « Evil_MinIO ». Les chercheurs de Security Joes ont noté que même si cette attaque particulière a été stoppée avant l'étape de RCE et de prise de contrôle, l'existence du logiciel jumeau maléfique devrait avertir les utilisateurs et les inciter à surveiller de futures attaques, en particulier contre les développeurs de logiciels. Une attaque réussie pourrait exposer des informations sensibles et la propriété intellectuelle de l'entreprise, permettre l'accès aux applications internes et inciter les attaquants à s'introduire plus profondément dans l'infrastructure des organisations.

"Ne pas reconnaître explicitement l'importance primordiale de la sécurité tout au long du cycle de vie du développement logiciel constitue une erreur critique", selon Article de blog de Security Joes sur l'enquête. « Une telle négligence peut potentiellement exposer une organisation à des risques importants. Même si ces risques ne sont peut-être pas immédiats, ils se cachent dans l’ombre, en attendant la bonne opportunité d’exploitation.