Les attaques de FortiGate en Chine sont plus étendues que ce que l’on pensait au départ.

L’agence néerlandaise de cybersécurité (NCSC) déclare que l’attaque précédemment signalée contre le Ministère de la Défense des Pays-Bas (MoD) était bien plus étendue que ce qui était initialement pensé. La NCSC a initialement publié des détails sur une campagne de logiciels malveillants parrainée par l’État chinois en février, mais elle a continué à enquêter sur l’affaire en collaboration avec le Service de renseignement et de sécurité militaire (MIVD) et le Service de renseignement et de sécurité général (AIVD). Les attaquants utilisaient un logiciel malveillant furtif que la NCSC appelle Coathanger après avoir ciblé les boîtes FortiGate. En l’espace de seulement quelques mois en 2022 et 2023, nous savons maintenant qu’au moins 20 000 systèmes FortiGate ont été compromis en raison de cette activité liée à la Chine, avec environ 14 000 intrusions survenues au cours de ce que les enquêteurs appellent une « période ‘zero-day' » – les deux mois précédant la prise de conscience de la vulnérabilité par Fortinet. La faille logicielle en question est CVE-2022-42475 – une faille critique (9,8) de débordement de mémoire tampon dans FortiOS SSL-VPN permettant l’exécution de code à distance. Sans entrer dans les détails, la NCSC a indiqué que les types de victimes comprenaient « plusieurs » gouvernements occidentaux, des organisations internationales et un « grand nombre » d’entreprises de défense. Après avoir établi une première base dans les systèmes FortiGate, les attaquants attendaient pour déployer le logiciel malveillant Coathanger – nommé d’après la « phrase particulière » affichée pendant son processus de cryptage – à une date ultérieure afin d’établir un accès persistant même après l’installation de mises à jour.