Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Chinese hackers exploit WordPress, Zyxel flaws to steal govt data

1 minute de lecture

Mis à jour :

Campagne de cyberespionnage liée au groupe « Red Heron »

Un groupe de cyberattaquants sinophones, associé au collectif « Red Heron », mène une vaste campagne d’exfiltration de données ciblant des institutions gouvernementales, des organismes de maintien de l’ordre et des entreprises à travers le monde. Les attaquants exploitent une variété de vulnérabilités critiques pour compromettre des infrastructures réseau, des serveurs WordPress et des applications métier afin d’accéder à des bases de données sensibles (plus de 18 500 enregistrements volés).

Points clés :

  • Méthodologie : Les attaquants utilisent des exploits publics pour prendre pied, effectuent une reconnaissance poussée (Windows/AMSI), tentent d’élever leurs privilèges et procèdent à des attaques par pulvérisation de mots de passe (password spraying) pour accéder aux données internes.
  • Cibles : Plus de 49 organisations dans 29 pays ont été compromises, incluant des entités gouvernementales occidentales et une organisation étatique russe.
  • Techniques : Utilisation de webshells, contournement d’AMSI (Antimalware Scan Interface) et exploitation de failles dans divers logiciels de gestion et de virtualisation.

Vulnérabilités exploitées (CVE) :

  • WordPress (wp2shell) : CVE-2026-63030, CVE-2026-60137
  • Zyxel GS1900 : CVE-2026-7273
  • Ubiquiti UniFi OS : CVE-2026-34908, CVE-2026-34909, CVE-2026-34910
  • FlowiseAI : CVE-2026-56271
  • Gitea : CVE-2026-60004
  • Nuclio : CVE-2026-79756
  • SENAITE LIMS : CVE-2026-54569
  • Proxmox VE : CVE-2023-54391
  • Linux Kernel (Dirty Pipe) : CVE-2022-0847

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs de sécurité pour tous les composants cités, en priorité les failles WordPress (wp2shell) et Ubiquiti, qui font l’objet d’exploitations actives.
  • Surveillance accrue : Surveiller les comportements anormaux sur les points de terminaison (tels que les tentatives répétées de contournement AMSI ou de création de comptes administrateurs locaux).
  • Gestion des accès : Renforcer la sécurité des bases de données internes en évitant le stockage de mots de passe en texte clair et en implémentant une authentification multi-facteurs (MFA) robuste pour prévenir les attaques par pulvérisation de mots de passe.
  • Veille active : S’appuyer sur les indicateurs de compromission (IoC) fournis par des plateformes de renseignement comme GreyNoise pour détecter les infrastructures de commande et de contrôle (C2) associées.

Source

Vous pourriez aimer