Des attaquants ont détourné un code de démonstration (PoC) visant une faille Windows LDAP pour piéger la cible la plus inattendue : les chercheurs en sécurité eux-mêmes. Trend Micro a documenté le mécanisme début janvier 2025 — voici ce qu’il faut en retenir, et où en est la faille aujourd’hui.
Les points :
Une nouvelle menace pour les chercheurs en sécurité #
Les chercheurs en sécurité sont de nouveau la cible de pièges tendus par des attaquants, cette fois à travers de faux exploits visant des failles Windows. Cette situation rappelle l’importance de la vigilance dans un domaine où les menaces évoluent constamment : un faux exploit peut sembler attrayant, mais cacher des intentions malveillantes.
Début janvier 2025, les chercheurs de Trend Micro ont repéré une version détournée de LDAPNightmare, le nom donné au code de preuve de concept (PoC) publié par SafeBreach Labs pour CVE-2024-49113, une faille de déni de service (sévérité 7,5) affectant le protocole LDAP de Windows. Cette faille avait été corrigée par Microsoft dès son Patch Tuesday de décembre 2024, aux côtés de CVE-2024-49112, une faille d’exécution de code à distance plus sévère encore (9,8) dans le même composant. Au lieu d’offrir un code de démonstration fonctionnel, la version détournée du PoC télécharge et exécute un logiciel malveillant, compromettant les systèmes des chercheurs qui l’exécutent par curiosité professionnelle.
À lire Drone E99 K3 Pro : ce que valait vraiment l’offre de janvier 2025
Des exploits qui trompent les experts #
Selon Trend Micro, le dépôt piégé se présente comme un projet Python mais contient en réalité un exécutable. Une fois lancé, ce dernier dépose un script PowerShell qui télécharge et exécute un second script, lequel collecte plusieurs types de données sur la machine infectée.
Les informations collectées peuvent inclure :
- Informations sur l’ordinateur de l’utilisateur
- Liste des processus en cours
- Listes de répertoires (Téléchargements, Documents, Bureau)
- Adresses IP du réseau
- Adaptateurs réseau
- Mises à jour installées
Ce type de collecte de données soulève des préoccupations majeures pour la confidentialité des chercheurs visés, qui manipulent souvent des accès et des identifiants sensibles.
Bien que le recours à des leurres PoC comme vecteur de diffusion de malware ne soit pas une tactique nouvelle, cette attaque continue de soulever des préoccupations importantes, notamment parce qu’elle s’appuie sur un sujet d’actualité susceptible de toucher un grand nombre de victimes.
Les conséquences d’une telle attaque #
Les conséquences peuvent être désastreuses, tant pour les chercheurs que pour les entreprises qui les emploient : les données récupérées peuvent alimenter des intrusions ultérieures ou des campagnes de harcèlement ciblé. Camiling a par ailleurs souligné que les deux failles LDAP corrigées en décembre étaient considérées comme hautement significatives en raison de l’usage répandu de LDAP dans les environnements Windows.
Les chercheurs doivent donc rester attentifs aux dépôts et fichiers exécutables partagés sous couvert de PoC — la présence d’un exécutable au sein d’un projet Python est en soi un signal d’alerte — et privilégier l’exécution de tout code non vérifié dans un environnement isolé plutôt que sur leur machine principale. Un examen minutieux des outils et ressources partagés reste essentiel pour ne pas tomber dans ce type de piège, d’autant qu’un correctif officiel existait déjà pour la faille visée par cet exploit.
À lire alerte à la sécurité : des milliers de données de clients des Packers compromises
Wow, c’est flippant ! Comment peut-on être sûr que ce qu’on trouve en ligne est sûr ? 😱
Les chercheurs en sécurité devraient vraiment se méfier. Qui aurait cru que des faux exploits pouvaient exister ?
Merci pour cet article, c’est hyper instructif ! 👍
Est-ce que ces fausses exploits peuvent affecter des utilisateurs normaux aussi ?
Je me demande qui sont ces cybercriminels. Ils doivent être sacrément malins !
Ça fait peur ! On ne peut même plus faire confiance aux PoCs maintenant… 😬
Pourquoi Microsoft ne fait-il pas plus pour protéger les chercheurs ?
Bravo Trend Micro pour avoir détecté ça ! Cela montre à quel point la vigilance est importante. 😊
Je suis sceptique sur l’impact réel de ces attaques. Sont-elles vraiment si fréquentes ?
Ces attaquants sont vraiment bas ! J’espère que la loi les rattrapera un jour.
J’ai toujours eu peur des fichiers exécutables. Cet article ne fait que renforcer ma méfiance. 😒
C’est fou comme la technologie évolue, mais les menaces aussi. Où va-t-on ?
Pourquoi ne pas simplement signaler ces faux exploits aux autorités ?
Merci d’avoir partagé ces infos. Je vais faire plus attention à l’avenir. 🙏
Je me demande si ces attaques sont orchestrées par des groupes organisés ou des individus isolés.
Vraiment, cet article devrait être lu par tous les chercheurs en sécurité !
Ça fait des années que je dis qu’il faut être prudent avec les downloads. 😏
Est-ce que les antivirus ne devraient pas détecter ces fausses exploits ?
Je suis un peu confus. Comment ces faux exploits sont-ils distribués exactement ?
Le monde de la cybersécurité devient vraiment dangereux. On n’est jamais trop prudent !
Les entreprises devraient investir plus dans la formation de leurs employés. C’est vital !