CISA : huit vieilles failles exploitées, dont Strapi

Ce qui se passe

Le 8 octobre, le FBI, la CISA et la NSA, rejoints par les agences du Royaume-Uni, d'Australie, du Canada, du Japon, de Nouvelle-Zélande et d'Espagne, ont publié l'avis conjoint AA26-281A. Il vise des attaquants outillés par Integrity Technology Group, une société chinoise liée au gouvernement, dont l'activité recoupe ce que l'industrie appelle Flax Typhoon, Ethereal Panda ou Red Juliett. Les victimes vont des administrations à la santé, de la police aux organisations religieuses, aux États-Unis comme en Asie du Sud-Est.

L'information tient moins aux techniques qu'à l'âge des failles : celles que ces attaquants exploitent avec succès ont entre trois et douze ans.

Les huit CVE

Pour Strapi, visez 4.8.0, pas 4.5.6. Le chercheur qui a découvert la faille, Ghostccamm, la situe jusqu'à 4.7.1 et sa correction en 4.8.0, publiée en mars 2023. Le principe : filtrer les réponses de l'API sur des champs privés avec $startsWith, et deviner ainsi, caractère par caractère, hachés de mots de passe et jetons de réinitialisation — sans compte. Combinée à CVE-2023-22621 (injection dans les gabarits d'e-mail), elle donne une exécution de code sans authentification jusqu'en 4.5.5.

La chaîne d'attaque

• Repérage : BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe, wpscan, sur les ports 21, 22, 53, 80, 443 et 1080 ; dirsearch énumère les pages PHP et ASP.NET. Une application maison, MicroScan, aligne plus de 1 300 scripts d'exploitation.
• Entrée : une XSS affiche un faux formulaire d'identifiants puis propose une archive protégée contenant live700_v1.exe, qui se fait passer pour DiagTrack.exe et contacte dns.studiocloud[.]xyz ; en parallèle, EBurst pulvérise des mots de passe sur Exchange (ECP, EWS…).
• Maintien : un client VPN SoftEther, souvent renommé conhost.exe ou dllhost.exe, récupéré par PowerShell, curl ou wget.
• Sortie des données : office-cli pour Microsoft 365, DCSync via DC.exe sur l'Active Directory, et un bot PHP, Curlc4.txt, qui lit les boîtes par l'API EWS.

Ce que vous pouvez chercher sur un serveur PHP

Le bot cherche un répertoire inscriptible (/home, /var/www, /usr, /var/tmp), renomme son processus crypto, chiffre ses envois en RC4 ou AES-128-CBC et laisse des traces reconnaissables :

# Fichiers et dossiers créés par Curlc4
find / -xdev \( -path '*/storage/fm' -o -name '.sess.zip' \) 2>/dev/null
# Chaînes contenues dans le script
grep -rlE 'natcloudservice|jh4jnryw76ikmh|rhnr5m54pk65wertc' /var/www /home 2>/dev/null

Côté réseau : natcloudservice[.]com, upl.natcloudservice[.]com, 149.28.132[.]137, dns.studiocloud[.]xyz, microscan[.]me, streescans[.]com. Les tables complètes (domaines, adresses IP, hôtes SoftEther) sont dans l'avis et en STIX XML et JSON. Certaines remontent à 2016 : l'avis demande de les vérifier avant de bloquer.

Source : Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data, avis AA26-281A, CISA, 8 octobre 2026. Versions Strapi : écrit de Ghostccamm.