Dans son tour d'horizon de cette semaine, CTI revient sur une récente attaque par le ransomware BianLian qui a exploité des vulnérabilités connues du logiciel TeamCity de JetBrains. CTI examine ensuite comment les attaques par ransomware continuent de se multiplier à un rythme soutenu, malgré une légère baisse observée au quatrième trimestre de 2023.
Enfin, CTI présente les principales conclusions du dernier rapport de GitGuardians intitulé « State of Secrets Sprawl ».
1. Les auteurs de la menace BianLian exploitent des failles de JetBrains TeamCity
L'opération de ransomware « BianLian » menée par l' , accessible à l'adresse , exploite désormais des vulnérabilités connues du logiciel TeamCity de JetBrains dans le cadre d'attaques à des fins exclusivement d'extorsion. Les dernières attaques ont commencé par l'exploitation de ces vulnérabilités et se sont soldées par le déploiement d'une implémentation PowerShell de la porte dérobée de BianLian.
BrianLian - Première connexion
BianLian a réussi à s'introduire dans l'environnement de la victime via un serveur TeamCity vulnérable, en exploitant les failles « » CVE-2024-27198 et CVE-2024-42793.
Le groupe a créé des comptes utilisateurs dans TeamCity et a exécuté des commandes malveillantes sous le compte de service du produit. Après avoir obtenu un premier accès, l'acteur malveillant a utilisé des commandes natives de Windows pour identifier d'autres éléments de l'infrastructure. Cela leur a permis de découvrir deux serveurs de compilation qui constituaient de bonnes cibles pour une exploitation plus poussée.
Les fichiers « winpty-agent.exe » et « winpty.dll » ont été utilisés pour exécuter à distance des commandes sur ces serveurs, ce qui a entraîné le déploiement d'outils supplémentaires. L'un de ces outils supplémentaires déployés était un script PowerShell, web.ps1. D'autres outils nécessaires à la communication avec le serveur C2 , ainsi que des outils permettant d'extraire les identifiants, ont également été déployés.
Passer à PowerShell
L'auteur de la menace a tenté à plusieurs reprises d'exécuter la porte dérobée Go qu'il utilise habituellement, mais a échoué à chaque fois. Après plusieurs échecs, l'acteur malveillant a décidé de se tourner vers une implémentation PowerShell de la porte dérobée, dont le fonctionnement était très similaire à celui de sa porte dérobée traditionnelle en Go.
Après avoir désobfusqué le script PowerShell, GuidePoint a pu l'analyser. L'un des éléments du script est la fonction « cakes », qui a été utilisée pour résoudre une adresse IP en fonction de la valeur qui lui était fournie en paramètre. Une fois l'adresse IP confirmée, celle-ci est utilisée pour établir une connexion TCP permettant la communication.
Il existait également une fonction « cookies » qui servait à gérer la plupart des connexions réseau et à exécuter certaines opérations effectuées par la porte dérobée elle-même. À ce stade, les chercheurs ont pu établir que cette porte dérobée avait pour objectif de permettre à un attaquant distant d'effectuer des opérations de manière arbitraire, à l'instar de la variante « Go ».
Le coupable : BianLian
GuidePoint a attribué cette attaque à BianLian en se basant sur la dernière ligne du script PowerShell, qui révélait l'appel de la fonction « cookies » avec des paramètres spécifiques.
Une fois cette conversion effectuée, une adresse IP a été révélée. Cette adresse IP avait déjà été associée à un serveur exécutant une porte dérobée « BianLian Go », comme l'a récemment montré l'article « 6 mars 2024 ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce n'est pas la première fois que nous parlons de BianLian. BianLian est connu pour utiliser des portes dérobées Go personnalisées, adaptées à chaque victime, ce qui démontre sa grande capacité d'adaptation. Cette dernière attaque démontre encore davantage leur capacité d'adaptation, puisqu'ils ont su se rabattre rapidement sur une technique PowerShell / LotL après s'être rendu compte que la porte dérobée Go qu'ils avaient prévue n'avait pas fonctionné.
Comme le montre cet exemple, les acteurs malveillants démontrent de plus en plus leur capacité à s'adapter à des environnements en constante évolution, notamment en ce qui concerne les nouvelles vulnérabilités.
2. Les attaques par ransomware ne cessent de se multiplier
Selon Symantec, les attaques par ransomware « » continuent de se multiplier à un rythme soutenu, malgré une légère baisse du nombre d'attaques au quatrième trimestre de 2023.
Les dernières études indiquent que les auteurs d'attaques par ransomware parviennent de mieux en mieux à adapter et à affiner leurs TTP afin de faire face aux perturbations causées par les forces de l'ordre. Les données disponibles indiquent que l'exploitation des vulnérabilités constitue désormais le principal vecteur d'infection dans le cadre des attaques par ransomware.
Principales conclusions du rapport de Symantec
D'après l'analyse réalisée par Symantec sur les sites de divulgation de données volées par des ransomwares, on a dénombré environ 4 700 victimes de ransomwares en 2023 et 2 800 victimes en 2022. Bien qu'on ait constaté une légère baisse du nombre d'attaques au cours du dernier trimestre de l'année 2023, le nombre total d'attaques restait en hausse par rapport aux années précédentes.
L'une des raisons de cette augmentation réside dans le fait que les auteurs d'attaques par ransomware adaptent stratégiquement leurs TTP afin de faire face aux diverses perturbations et mesures de neutralisation et de poursuivre leurs objectifs.
Symantec constate un écart entre le nombre de victimes revendiquées sur les sites de divulgation de rançongiciels et l'activité réelle des rançongiciels sur laquelle elle a enquêté. D'après les données recueillies, l'acteur malveillant à l'origine du ransomware Noberus était responsable d'un pourcentage plus élevé d'attaques.
Principaux vecteurs de ransomware
Les cybercriminels ont recours à l'exploitation de vulnérabilités pour obtenir un accès initial dans le cadre d'attaques par ransomware.
Parmi les vulnérabilités les plus exploitées l'année dernière et ayant donné lieu à des attaques par ransomware, on peut citer :
- CVE-2022-47966 « » : ZOHO ManageEngine
- Diverses vulnérabilités de Microsoft Exchange Server
- n° CVE-2023-2966 : Citrix NetScaler ADC et NetScaler Gateway
- n° CVE-2023-20269 : VPN Cisco ASA et Cisco FTD
Outillage
Les cybercriminels élargissent leur arsenal en y intégrant des outils sur mesure et à double usage afin d'échapper à la détection. Les auteurs de ransomware se tournent également de plus en plus vers la technique dite « BYOVD » (Bring Your Own Vulnerable Driver, ou « apportez votre propre pilote vulnérable ») pour mener leurs attaques.
Parmi les outils observés lors des récentes attaques par ransomware, on peut citer :
- de HopToDesk : un outil de bureau à distance accessible au grand public. AnyDesk et Atera sont également couramment utilisés.
- « TrueSightKiller » : un outil accessible au public qui utilise la technique BYOVD et désactive les logiciels de sécurité.
- de GhostDriver : un outil qui utilise la technique BYOVD et désactive les antivirus.
- StealBit : un outil d'exfiltration de données sur mesure ; associé à LockBit.
Techniques
Symantec a évoqué deux techniques notables qui sont désormais utilisées dans le cadre d'attaques par ransomware.
- La première est « esentutl », qui consiste à extraire des identifiants à l'aide d'un outil en ligne de commande Windows. Cette technique est désormais utilisée pour extraire les identifiants des navigateurs.
- L'autre technique consiste à utiliser des outils malveillants pour récupérer et déchiffrer les identifiants des utilisateurs stockés via l'API de protection des données de Microsoft.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les ransomwares ne sont pas près de disparaître. Même si les interventions des forces de l'ordre peuvent entraîner une baisse temporaire du nombre d'attaques par ransomware, cela ne suffit pas à réduire la menace que représentent les auteurs de ces attaques.
Cela ne veut pas dire pour autant que les efforts déployés par les forces de l'ordre constituent une perte de temps. Souvent, elles portent atteinte à la réputation et/ou à l'infrastructure de l'acteur malveillant. De plus, les nombreuses informations rendues publiques concernant diverses attaques par ransomware, bien qu’utiles aux défenseurs, ne font qu’inciter les auteurs de menaces à rechercher de nouvelles techniques, d’où leur capacité à changer rapidement de stratégie et à s’adapter.
3. Plus de 12 millions de secrets et de clés ont été divulgués sur GitHub
Selon le rapport « State of Secrets Sprawl » de GitGuardian, plus de 12,8 millions d’ d’authentification et de secrets sensibles répartis dans 3 millions de dépôts publics ont été exposés par des utilisateurs de GitHub en 2023.
Parmi les informations confidentielles exposées figurent des mots de passe de compte, des clés API, des certificats TLS/SSL, des clés de chiffrement, des identifiants de services cloud, des jetons OAuth et d'autres données. De plus, la plupart des mots de passe et des clés étaient toujours valides cinq jours après la découverte de la fuite.
Conclusions notables
Les identifiants codés en dur constituent depuis longtemps l'une des causes principales des incidents de sécurité. GitGuardian assure le suivi et le signalement des secrets codés en dur depuis 2020, et a constaté une augmentation de 28 % du nombre de secrets détectés sur GitHub entre 2022 et 2023.
Les chercheurs ont également constaté que 90 % des secrets valides exposés restaient actifs pendant cinq jours après que leur auteur eut reçu une notification. GitGuardian a envoyé 1,8 millions d'alertes par e-mail l'année dernière signalant des informations confidentielles exposées, parmi lesquelles seules 33 242 ont été révoquées dans les cinq jours. Cette statistique met en évidence le fait que la correction est tout aussi importante, voire plus, que la détection de ce type d'activité.
GitGuardian a affiné son analyse des données afin d'identifier les pays et les secteurs les plus touchés par les fuites. L'Inde était le pays où l'on a recensé le plus grand nombre de fuites, suivie par les États-Unis et le Brésil. Le secteur informatique a représenté 65,9 % des fuites.
Leurs données ont de nouveau été ventilées entre secrets spécifiques et secrets génériques, ce qui a permis de constater que les secrets spécifiques représentaient la majorité. En examinant de plus près ces identifiants de sécurité spécifiques, ils ont identifié plus d'un million d'identifiants de sécurité valides pour l'API Google, 250 000 pour Google Cloud et 140 000 pour AWS IAM.
Que se passe-t-il après des fuites d'informations confidentielles ?
Une fois qu'un secret a été divulgué, il est essentiel de le retirer rapidement afin d'éviter toute conséquence supplémentaire. Comme indiqué, plus de 90 % des mots de passe identifiés par GitGuardian étaient encore valides plusieurs jours plus tard. Par ailleurs, seuls 2,6 % des secrets ont été révoqués dans l'heure qui a suivi l'envoi de l'e-mail de notification.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est choquant d'apprendre que plus de 90 % des secrets étaient toujours valides cinq jours après avoir été informés de leur fuite accidentelle.
Cette étude ne se contente pas de présenter des statistiques stupéfiantes, mais elle met également en évidence le fait que les efforts considérables déployés en matière de détection ne suffisent tout simplement pas. Les efforts de détection ne servent pas à grand-chose si l'équipe chargée de la correction n'est pas correctement encadrée et ne dispose pas des connaissances nécessaires pour corriger les erreurs.
Aujourd’hui plus que jamais, il est essentiel de pouvoir répondre à la question de savoir ce qui se passe après des fuites d’informations confidentielles — ou ce qui se passe après la détection de tout incident de sécurité spécifique.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
