CVE-2022-40684 — CVSS 9.8 | Conti Saldırılarında Kullanılan Güvenlik Açığı

CVE-2022-40684 — CVSS: 9.8 (Kritik)

Fortinet FortiOS/FortiProxy Kimlik Doğrulama Atlatma — FortiGate cihazlarına yetkisiz erişim.

Zafiyet Detayları

CVE Kimliği	CVE-2022-40684
CVSS Puanı	9.8 / 10.0 — Kritik
Yayın Yılı	2022
Saldırı Vektörü	NETWORK
Etkilenen Sistemler	FortiOS 7.0.0-7.0.6, FortiProxy 7.0.0-7.0.6

Bu Zafiyeti Kullanan Malware Familleleri

Conti
BlackBasta
Cl0p

Toplam 3 malware ailesi bu güvenlik açığından yararlanmaktadır.

Zafiyet Açıklaması

Fortinet FortiOS/FortiProxy Kimlik Doğrulama Atlatma — FortiGate cihazlarına yetkisiz erişim.

Yama ve Azaltma Önerileri

Confiancelik güncellemesini derhal uygulayın — NVD: CVE-2022-40684
Etkilenen sistemleri ağdan geçici olarak izole edin (yaması mümkün değilse)
IDS/IPS kurallarını güncelleme yapılana kadar aktive edin
Ağ trafiğini izleyin — olağandışı bağlantı girişimlerini bloklayın
Yedeklerinizi doğrulayın ve güncel tutun
Etkilenen sistemlerde tehdit avcılığı yapın

MITRE ATT&CK Haritalama

Bu zafiyet; T1190 (Halka Açık Uygulamaların Kötüye Kullanımı) ve T1203 (İstemci Yürütme Zafiyetleri) tekniklerine karşılık gelir.

Conti — Profil du malware

Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.

Type de malware

Ransomware

Langage de programmation

C++

Protocole C2

—

Systèmes ciblés

Windows/Linux

Détails techniques

Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.

Attribution / Acteur de la menace

WIZARD SPIDER, multiple successor groups

Capacités et comportement

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
mojobiden.com	domain	80	HTTP	active	—
mojobiden.com	domain	80	HTTP	active	—
213.234.12.78	ip	8080	HTTP	inactive	UA
paymenthacks.com	domain	443	HTTPS	inactive	—
myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion	domain	80	HTTPS	inactive	—
mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion	domain	80	HTTPS	inactive	—
paymenthacks.com	domain	80	HTTP	inactive	—
85.62.61.3	ip	443	HTTPS	sinkholed	RU

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.