Dans le résumé de cette semaine, CTI examine une récente attaque de ransomware BianLian qui a exploité des vulnérabilités connues dans le logiciel TeamCity de JetBrains. Ensuite, CTI explore comment les attaques par ransomware continuent à se produire à un rythme rapide malgré une légère diminution des attaques au quatrième trimestre 2023.
Enfin, le CTI fournit les résultats clés du dernier rapport State of Secrets Sprawl de GitGuardian.
1. Les acteurs malveillants biens exploitent les failles de JetBrains TeamCity
L’ opération de ransomware BianLian exploite désormais les vulnérabilités connues du logiciel JetBrains TeamCity pour les attaques par extorsion uniquement. Les dernières attaques ont commencé par exploiter ces vulnérabilités et se sont terminées par le déploiement d’une mise en œuvre PowerShell du backdoor de BianLian.
Accès initial à BrianLian
BianLian a obtenu un accès à l’environnement de la victime via un serveur TeamCity vulnérable, tirant parti de CVE-2024-27198 et CVE-2024-42793.
Le groupe a créé des utilisateurs dans TeamCity et exécuté des commandes malveillantes sous le compte de service du produit. Après avoir obtenu l’accès initial, l’acteur malveillant a utilisé des commandes natives Windows pour identifier une infrastructure supplémentaire. Cela leur a permis de découvrir deux serveurs de build qui étaient de bons candidats pour une exploitation supplémentaire.
winpty-agent.exe et winpty.dll ont été utilisés pour exécuter des commandes à distance sur ces serveurs, ce qui a entraîné le déploiement d’outils supplémentaires. L’un de ces outils supplémentaires déployés était un script PowerShell, web.ps1. D’autres outils nécessaires pour communiquer avec le serveur C2 et des outils pour vider les informations d’identification ont également été déployés.
Pivoter vers PowerShell
L’acteur malveillant a tenté d’exécuter la porte dérobée Go qu’il utilise généralement plusieurs fois, en échoueant à chaque tour. Après plusieurs échecs, l’acteur malveillant a décidé de basculer vers une mise en œuvre PowerShell de la backdoor, qui fonctionnait très similairement à sa backdoor Go traditionnelle.
Après avoir désobstrué le script PowerShell, GuidePoint a pu l’analyser. L’un des composants du script est la fonction gâteaux, qui a été utilisée pour résoudre une adresse IP en fonction de ce qu’elle a été fournie en tant que paramètre. Une fois l’adresse IP confirmée, elle est utilisée pour établir un socket TCP pour la communication.
Il y avait également une fonction de cookies qui était utilisée pour la plupart de la gestion des connexions réseau et une certaine exécution effectuée par la porte dérobée elle-même. À ce moment-là, les chercheurs ont pu déterminer que l’objectif de la porte dérobée est de permettre à un attaquant distant de mener des opérations arbitrairement et d’une manière similaire à la variante Go.
Le coupable : BianLian
GuidePoint a attribué cette attaque à BianLian à partir de la dernière ligne du script PowerShell, qui a révélé l’appel de la fonction des cookies avec des paramètres spécifiques spécifiés.
Après la conversion, une adresse IP a été révélée. Cette adresse IP avait été précédemment associée à un serveur exécutant une backdoor BianLian Go aussi récemment que 6 mars 2024.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ce n’est pas la première fois que nous faisons un rapport sur BianLian. BianLian est connu pour utiliser des backdoors Go personnalisés qui sont adaptés à chaque victime, ce qui prouve à quel point elle est capable de s’adapter. Cette dernière attaque prouve encore plus leur adaptabilité, car ils ont pu passer rapidement à une technique PowerShell / LotL après avoir réalisé que la porte dérobée Go planifiée n’était pas réussie.
Comme le montre cet exemple, les acteurs malveillants prouvent de plus en plus leur capacité à suivre l’évolution des environnements, en particulier en ce qui concerne les nouvelles vulnérabilités.
2. Les attaques par rançongiciel continuent de s’accélérer
Selon Symantec, les attaques par rançongiciels continuent de se produire à un rythme rapide malgré la légère diminution des attaques au quatrième trimestre de 2023.
Les dernières recherches indiquent que les acteurs de la menace par rançongiciel s’améliorent pour adapter et affiner leurs TTP afin de répondre aux perturbations des forces de l’ordre. Les preuves suggèrent que l’exploitation des vulnérabilités est désormais le principal vecteur d’infection pour les attaques par ransomware.
Principaux résultats du rapport de Symantec
D’après l’analyse de Symantec des sites de fuite de rançongiciels, environ 4 700 victimes de rançongiciels ont été signalées chez 2023 et 2 800 victimes chez 2022. Bien qu’il y ait eu une légère diminution des attaques au cours du dernier trimestre 2023, les attaques globales étaient toujours en hausse par rapport aux années précédentes.
L’une des raisons de cette augmentation est le fait que les acteurs de la menace par rançongiciel adaptent stratégiquement leurs TTP pour répondre aux diverses perturbations et retraits et poursuivre leurs objectifs.
Symantec note une disparité entre le nombre de victimes réclamées sur les sites de fuite de ransomware et l’activité réelle de ransomware qu’elles ont étudiée. Sur la base de leurs données collectées, l’acteur malveillant du ransomware Noberus était responsable d’un pourcentage plus élevé d’attaques.
Principaux vecteurs de ransomware
Les acteurs malveillants se tournent vers l’exploitation des vulnérabilités comme moyen d’accès initial pour les attaques de ransomware.
Voici quelques-unes des vulnérabilités les plus exploitées l’année dernière qui ont entraîné des attaques par ransomware :
- CVE-2022-47966 : ZOHO ManageEngine
- Diverses vulnérabilités de Microsoft Exchange Server
- CVE-2023-2966 : Citrix NetScaler ADC et NetScaler Gateway
- CVE-2023-20269 : VPN Cisco ASA et Cisco FTD
Outillage
Les acteurs malveillants développent leurs portefeuilles pour inclure des outils personnalisés et à double usage pour échapper à la détection. Les acteurs des rançongiciels pivotent également pour tirer parti de la technique BYOD (apportez votre propre pilote vulnérable) plus fréquemment.
Voici quelques-uns des outils observés dans les attaques de ransomware récentes :
- HopToDesk : un outil de bureau à distance accessible au public. AnyDesk et Atera sont également couramment utilisés.
- TrueSightKiller : outil accessible au public qui utilise la technique BYOVD et désactive le logiciel de sécurité.
- GhostDriver : outil qui utilise la technique BYOVD et désactive l’ AV.
- StealBit : un outil d’exfiltration de données personnalisé ; associé à LockBit.
Techniques
Symantec a mentionné deux techniques remarquables qui sont désormais utilisées dans les attaques de ransomware.
- La première est esentutl, ce qui implique de supprimer des informations d’identification via un outil de ligne de commande Windows. Cette technique est maintenant utilisée pour supprimer les informations d’identification des navigateurs.
- L’autre technique consiste à utiliser des outils malveillants pour obtenir et déchiffrer les informations d’identification des utilisateurs qui sont stockées via l’API de protection des données de Microsoft.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les rançongiciels ne disparaissent pas de sitôt. Bien que les perturbations des forces de l’ordre puissent entraîner une baisse temporaire des attaques par ransomware, il ne suffit pas de réduire la menace que les acteurs du ransomware représentent.
Cela ne veut pas dire que les efforts des forces de l’ordre sont une perte de temps. Souvent, ils nuisent à la réputation et/ou à l’infrastructure de l’acteur malveillant. De plus, les innombrables rapports publics sur diverses attaques de ransomware, bien que utiles aux défenseurs, poussent uniquement les acteurs malveillants à rechercher de nouvelles techniques, d’où leur capacité à pivoter et à s’adapter rapidement.
3. Plus de 12 millions de secrets et de clés fuient sur GitHub
Selon le rapport State of Secrets Sprawl de GitGuardian, plus de 12,8 millions d ’authentifications et de secrets sensibles dans 3 millions de référentiels publics ont été exposés par les utilisateurs de GitHub en 2023.
Les secrets exposés comprennent les mots de passe de compte, les clés API, les certificats TLS/SSL, les clés de chiffrement, les informations d’identification du service cloud, les jetons OAuth et d’autres données. De plus, la plupart des secrets et clés étaient toujours valides cinq jours après avoir pris connaissance de l’exposition.
Résultats remarquables
Les informations d’identification codées en dur sont la cause première des incidents de sécurité depuis un certain temps. GitGuardian suit et signale les secrets codés en dur depuis 2020, constatant qu’il y a eu une augmentation de 28 % des secrets détectés sur GitHub de 2022 à 2023.
Les chercheurs ont également constaté que 90 % des secrets valides exposés restent actifs pendant cinq jours après que l’auteur a reçu une notification. GitGuardian a envoyé 1,8 millions d’alertes par e-mail l’année dernière qui ont identifié un secret exposé, dont seulement 33 242 ont été révoquées dans les cinq jours. Cette statistique souligne le fait que la remédiation est tout aussi, sinon plus, importante que la détection d’une telle activité.
GitGuardian a décomposé ses données pour identifier les pays et les secteurs présentant le plus de fuites. L’Inde était le pays avec le plus de fuites, suivi par les États-Unis et le Brésil. Le secteur informatique représentait 65,9 % des fuites.
Leurs données ont à nouveau été décomposées en secrets spécifiques par rapport à des secrets génériques, constatant que les secrets spécifiques représentaient la majorité. En examinant de plus près ces secrets spécifiques, ils ont identifié plus d’un million de secrets d’API Google valides, 250 000 Google Cloud et 140 000 AWS IAM.
Que se passe-t-il après des fuites secrètes ?
Une fois qu’un secret est divulgué, il est essentiel qu’il soit rapidement révoqué pour éviter tout impact supplémentaire. Comme indiqué, plus de 90 % des secrets identifiés par GitGuardian étaient toujours valides plusieurs jours plus tard. En outre, seuls 2,6 % des secrets ont été révoqués dans l’heure suivant l’envoi de l’e-mail de notification.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
C’est choquant d’apprendre que plus de 90 % des secrets étaient toujours valides cinq jours après avoir été informés qu’ils ont été accidentellement divulgués.
Cette recherche fournit non seulement des statistiques stupéfiantes, mais met également en perspective que des efforts de détection importants ne sont tout simplement pas suffisants. Les efforts de détection ne signifient pas grand-chose si l’équipe responsable de la remédiation n’est pas correctement guidée et informée sur la manière de corriger les erreurs.
Aujourd’hui plus que jamais, il est essentiel de pouvoir répondre à ce qui se passe après des fuites secrètes, ou après l’identification d’un incident de sécurité spécifique.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
