Tout d’abord, nous examinons une tendance croissante impliquant des acteurs de menaces persistantes avancées (APT) et des familles de logiciels malveillants de base tirant de plus en plus parti des fichiers complémentaires Excel (fichiers .XLL) comme vecteur d’intrusion initial. Ensuite, nous couvrons les dernières informations sur Automated Libra, l’acteur malveillant axé sur le cloud derrière la campagne de freejacking suivie sous le nom de « PureUrchin ». Enfin, nous approfondissons le rapport récent de Mandiant sur les activités malveillantes attribuées au célèbre groupe russe de menaces soutenues par l’État, Turla.
1. Les pirates informatiques APT se tournent vers des compléments Excel malveillants comme vecteur d’intrusion initial
Selon un blog sur les menaces publié par Cisco Talos, les acteurs de menaces persistantes avancées (APT) et les familles de logiciels malveillants de base tirent de plus en plus parti des fichiers complémentaires Excel (fichiers .XLL) comme vecteur d’intrusion initial.
L’augmentation observée de l’utilisation des fichiers XLL intervient après la décision de Microsoft de bloquer l’exécution des macros VBA par défaut. Les applications Microsoft Office passent désormais par un processus de décision plus strict et empêchent les utilisateurs d’exécuter des macros lorsqu’un document dispose d’une balise MOTW (Marque du Web). La décision de Microsoft de bloquer les macros était largement due au fait que de nombreux acteurs malveillants ont exploité les macros VBA comme vecteur initial pour déployer des logiciels malveillants et des rançongiciels.
Microsoft et compléments : un bref aperçu
Les compléments sont des éléments de code exécutable qui existent dans divers formats et ont de nombreuses capacités différentes. Ils peuvent être ajoutés aux applications Microsoft Office pour améliorer les fonctionnalités.
- Word : pour Microsoft Word, les compléments doivent être déposés à un emplacement spécifique spécifié par la valeur du registre. Si un pirate informatique devait placer une DLL dans un emplacement fiable à l’aide de l’extension de fichier .wll, Word tenterait de charger la DLL dans son propre espace de processus.
- Excel : pour Microsoft Excel, si l’utilisateur tente d’ouvrir un fichier .XLL dans l’Explorateur Windows, le shell tente automatiquement de lancer Excel pour ouvrir le fichier. Avant le chargement d’un fichier XLL, Excel affiche un avertissement sur la possibilité d’inclure un code malveillant. Il s’agit d’un avertissement/d’une approche similaire affiché après l’ouverture d’un document contenant un code macro VBA. Cela semble bon en théorie, mais la plupart des gens ont tendance à cliquer dessus et à ignorer l’avertissement sans réfléchir.
Que sont les fichiers XLL ?
Les fichiers XLL sont des bibliothèques de chargement dynamique (DLL) Windows standard. Ce qui différencie un fichier XLL, c’est sa capacité à mettre en œuvre certaines fonctions exportées qui seront appelées par le gestionnaire de complément Excel. Les compléments sont créés en code natif et permettent aux développeurs d’étendre la fonctionnalité d’Excel.
- XLL basés sur C/C++ : les compléments XLL natifs sont développés à l’aide du kit de développement logiciel (SDK) Microsoft Excel XLL. Pour qu’un complément soit chargé par le gestionnaire des compléments, le XLL doit implémenter au moins une fonction exportée, appelée xlAutoOpen, afin que le code puisse être appelé avec le complément soit chargé par Excel. Le SDK Excel XLL se compose de fichiers d’en-tête et de bibliothèques C/C++ qui permettent aux fichiers XLL d’utiliser l’API Excel pour accéder aux données du classeur et appeler les fonctions Excel.
- XLL basés sur Excel-DNA : deux frameworks populaires, Add-In Express et Excel-DNA, permettent aux développeurs de créer des compléments XLL à l’aide des langages .NET. Étant donné qu’ Excel-DNA est un cadre gratuit, de nombreux auteurs de logiciels malveillants l’ont adopté pour créer des fichiers XLL malveillants.
L’évolution des XLL malveillants
Cisco Talos a pu suivre le nombre de fichiers malveillants natifs et basés sur Excel soumis par VirusTotal au fil du temps.
Cisco Talos a également approfondi et déterminé que mi-2017 était le début des acteurs malveillants qui utilisaient les fichiers XLL comme vecteur pour exécuter un code malveillant. Il semble que l’utilisation des fichiers XLL ait été sporadique jusqu’en 2021, lorsque des familles de logiciels malveillants comme Dridex ont commencé à l’utiliser.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il semble que la décision de Microsoft de bloquer les macros VBA ne soit pas la seule raison de l’augmentation des XLL en tant que vecteurs d’infection. Cette augmentation significative a été observée au cours des dernières années et a commencé bien avant la décision de blocage macro bien reçue de Microsoft. Quels que soient le raisonnement et le calendrier, de plus en plus de familles de logiciels malveillants de base et d’acteurs malveillants adoptent les XLL. Un exemple récent impliquant des XLL est l’Ekipa RAT qui a intégré des compléments Excel XLL dans ses attaques, tout en tirant parti des macros de Microsoft Publisher pour supprimer le cheval de Troie d’accès à distance. »
2. PurpleUrchin contourne le CAPTCHA et vole les ressources de la plateforme cloud
L’unité 42 de Palo Alto a récemment effectué une analyse approfondie de Automated Libra, l’acteur de menace cloud derrière la campagne de freejacking PurpleUrchin.
Automated Libra est un groupe de freejacking basé en Afrique du Sud qui est connu pour cibler les plateformes cloud qui offrent des essais à durée limitée des ressources cloud. Les essais gratuits sont ensuite utilisés par l’acteur malveillant pour effectuer des opérations de cryptominage. L’acteur malveillant serait à l’origine de la campagne de freejacking appelée PurpleUrchin.
La bibliothèque automatisée a été observée à l’aide d’un nouveau système de résolution CAPTCHA, suite à une utilisation plus agressive des ressources CPU pour la cryptomination et des techniques de mélange pour abuser des ressources cloud libres.
Qu’est-ce que PurpleUrchin ?
La campagne de cryptominage PurpleUrchin a été observée en octobre 2022 comme une opération de freejacking. La campagne s’est appuyée sur l’abus de ressources offrant des comptes cloud de niveau libre pour générer un faible bénéfice de chaque compte gratuit, ce qui a entraîné un montant en dollars plus significatif lorsqu’il est combiné.
Les acteurs derrière PurpleUrchin ont utilisé les opérations Play and Run en créant et en utilisant de faux comptes cloud avec des cartes de crédit falsifiées ou potentiellement volées. Les faux comptes ont entraîné des soldes impayés pour les services cloud.
L’unité 42 de Palo Alto a analysé plus de 250GB données, y compris les données de conteneur et les journaux d’accès au système. L’architecture d’infrastructure utilisée par les acteurs malveillants utilise des techniques CI/CD, où chaque composant logiciel individuel d’une opération est placé dans un conteneur. L’architecture CI/CD permet à certains composants d’une opération d’échouer/mettre à jour/terminer sans avoir d’impact sur l’environnement plus vaste. L’analyse a permis aux chercheurs de retracer l’activité de cet acteur malveillant jusqu’à août 2019. Elle a également révélé la préférence de l’acteur malveillant pour l’utilisation des services cloud via des fournisseurs de services virtuels traditionnels, ou VSP.
Exploitation minière avec les workflows GitHub
Les opérations de l’acteur malveillant sur GitHub utilisaient une combinaison de tactiques Play and Run et de freejacking. Les acteurs malveillants ont automatiquement créé des comptes GitHub à un taux moyen de trois à cinq par minute. Après avoir établi la base de comptes, l’activité de freejacking a commencé.
Chaque compte GitHub a ensuite été impliqué dans une stratégie Play and Run dans laquelle chaque compte utiliserait les ressources informatiques fournies à ce compte, mais la facture résultante n’a pas été payée. Les chercheurs ont découvert des preuves de l’acteur malveillant créant plus de 130 000 comptes auprès de divers fournisseurs de serveurs privés virtuels et fournisseurs de services cloud.
Automatisation des créations de comptes GitHub
L’un des derniers déploiements observés par l’acteur malveillant impliquait l’exécution de Togglebox à l’aide des services AHP. Togglebox est une plateforme cloud d’hébergement d’applications et VPS de disque SSD entièrement gérée. L’acteur malveillant a exploité cette plateforme pour exécuter une série de conteneurs. Chaque conteneur est capable de créer automatiquement des comptes GitHub. Les chercheurs ont également identifié un switch appelé comptes basés sur « nommés » dans le processus Python de création de compte d’utilisateur. Ce processus a utilisé des comptes nommés générés de manière aléatoire sur la base de Md5 hachages.
Les outils nécessaires au processus de création automatique de compte ont été expédiés sous forme de conteneur. Avec la dernière version du conteneur, l’acteur malveillant a combiné plusieurs outils légitimes et accessibles au public, notamment Iron Browser, xdotool et ImageMagick. Une fois les outils en place, l’acteur malveillant peut commencer à créer des comptes.
Tirer parti d’une faiblesse du CAPTCHA
La création d’un compte GitHub nécessite la résolution d’un test CAPTCHA. Pour ce faire, l’acteur malveillant utilise deux outils du kit d’outils ImageMagick, y compris la conversion et l’identification.
Les images CAPTCHA sont d’abord converties en images complétées en rouge, vert et bleu à l’aide de l’outil de conversion.
Une fois les images converties, la commande d’identification est exécutée sur chaque image pour extraire la fonction « biais ». Le résultat est une liste organisée par ordre croissant, révélant la réponse précise comme la plus petite valeur.
Une fois le CAPTCHA résolu, GitHub nécessite un code de lancement qui est envoyé à l’e-mail du compte. L’acteur malveillant a utilisé un compte Gmail dans cet exemple pour automatiser le processus d’obtention du code de lancement en lisant les messages IMAP entrants.
Une fois le code d’accès saisi, l’automatisation génère un jeton d’accès personnel avec des permissions de workflow. La convention de dénomination a changé dans les opérations plus récentes où l’acteur malveillant utilise désormais des noms aléatoires pour les référentiels, qui étaient basés sur MD5 hachages.
Comptes créés
L’unité 42 a estimé le nombre de comptes créés par GitHub.
Une fois le référentiel créé dans GitHub, un script bash est appelé pour le mettre à jour avec le workflow souhaité. Le workflow lui-même est généré à l’aide d’un script PHP. Le mécanisme de workflow permet à l’acteur malveillant d’exécuter des applications externes. Dans une instance observée, le workflow généré a exécuté 64 tâches au total, où chaque tâche a sélectionné de manière aléatoire 1 configuration unique disponible sur 5 .
L’un des services cloud préférés utilisés par l’acteur malveillant en 2021 était Heroku, une plateforme d’applications cloud qui permet à ses utilisateurs de créer et de déployer des applications sans maintenir l’infrastructure d’hébergement. Les chercheurs ont identifié plus de 100 000 comptes uniques créés sur la plateforme Heroku.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’utilisation du système de résolution CAPTCHA d’Automated Libra pour créer des comptes GitHub sans intervention manuelle est impressionnante. Ce n’est un secret pour personne que les cybercriminels gagnent beaucoup d’argent en effectuant des opérations de cryptominage, et ce processus de création de compte automatisé ne fait que faciliter la tâche des cybercriminels. Cette technique de contournement du CAPTCHA sert d’autre exemple de la manière dont les acteurs malveillants continueront à améliorer et à faire évoluer cette méthodologie pour mieux mener leurs opérations. »
3. Les pirates informatiques russes de Turla APT s’attaquent aux infections USB d’autres pirates informatiques
Une nouvelle publication publiée par Mandiant, une société de renseignement sur les cybermenaces de premier plan, met en évidence la dernière activité attribuée à Turla, un groupe russe réputé de menaces persistantes avancées (APT) qui pensait avec un haut degré de confiance fonctionner à la demande du service russe de renseignement FSB.
En plus de fournir des informations sur les nouveaux domaines de commande et de contrôle (C2) enregistrés par Turla et le déploiement ciblé par le groupe de logiciels malveillants KOPILUWAK et QUIETCANARY, Mandiant décrit comment Turla a obtenu l’accès aux réseaux des victimes en enregistrant les domaines expirés précédemment associés à une campagne cybercriminelle de près de dix ans qui propage des logiciels malveillants via des clés USB infectées.
Piggybacking USB
Le rapport de Mandiant est le résultat de la septembre 2022 découverte d’une violation intéressante d’un réseau en Ukraine, dans laquelle plusieurs ordinateurs de ce réseau avaient été infectés après que quelqu’un a inséré une clé USB dans le port ouvert d’un appareil.
Mandiant a finalement déterminé que l’activité était liée à une opération Turla dans laquelle l’acteur malveillant a pu réenregistrer au moins trois domaines ANDROMEDA C2 expirés. Cela a permis à Turla d’explorer les victimes du logiciel malveillant relativement ancien (ANDROMEDA était un logiciel malveillant courant au début de l’année 2010s), de profiler des cibles et de déployer sélectivement l’utilitaire de reconnaissance KOPILUWAK et la porte dérobée QUIETCANARY contre les victimes ukrainiennes.
Une note sur ANDROMEDA
Comme indiqué ci-dessus, ANDROMEDA était un logiciel malveillant répandu qui a atteint un pic de popularité au début de l’année 2010s. Dans cet incident, Turla a détourné l’infrastructure d’une variante qui a été téléchargée pour la première fois sur VirusTotal en 2013. Comme cela se produit, cette variante ANDROMEDA se propage via l’utilisation de clés USB infectées.
Cet incident provient d’une clé USB, infectée par plusieurs souches d’anciens logiciels malveillants, insérée dans une organisation ukrainienne en décembre 2021. Selon Mandiant, lorsque l’utilisateur du système ciblé a double-cliqué sur un fichier de lien malveillant (LNK) déguisé en dossier contenu dans la clé USB, un « échantillon ANDROMEDA hérité » a été automatiquement installé, moment auquel il a commencé à se déloger.
Étant donné que cette version d’ANDROMEDA avait été téléchargée sur VirusTotal en 2013, il s’ensuit que la plupart des C2 domaines du logiciel malveillant avaient été creusés par des chercheurs, ou simplement expiré après près d’une décennie. Lorsque ce binaire particulier a été exécuté, il a établi la persistance en déposant un autre échantillon ANDROMEDA dans C :\ProgramData\Local Settings\Temp\mskmde.com et a ajouté une clé de registre d’exécution pour l’exécuter chaque fois que l’utilisateur du système s’est connecté. Mandiant a pu déterminer que l’un de ses C2 domaines expirés avait été réenregistré en janvier 2022 par un inscrit protégé de la vie privée, Dynadot étant le registraire d’accueil.
En tirant parti de ce C2 pour profiler les victimes existantes de cet échantillon de logiciels malveillants, Turla a pu cibler sélectivement les utilisateurs intéressants avec le compte-gouttes KOPILUWAK de première étape.
Recon avec KOPILUWAK
Selon Mandiant, Turla a finalement téléchargé et exécuté une archive à extraction automatique WinRAR (WinRAR SFX) contenant KOPILUWAK sur l’appareil d’une victime en septembre 2022, après plusieurs mois de balisage ANDROMEDA, ce qui n’a entraîné aucune activité significative observée.
Dans l’ensemble, les chercheurs de Mandiant ont observé les pirates télécharger et exécuter le même compte-gouttes WinRAR SFX KOPILUWAK sept fois ce mois-là, chaque fois qu’ils essayaient de transférer « des quantités significatives de données au responsable C2 .surro[.]am ».
La raison pour laquelle les attaquants l’ont fait reste inconnue. Les commandes de profilage des victimes dans KOPILUWAK sont codées en dur et, en tant que telles, ne donneraient pas différents ensembles de données provenant du même hôte ciblé.
Dans l’incident décrit par Mandiant, le processus « wuclt.exe » a été injecté par ANDROMEDA et a ensuite émis des demandes GET pour « yelprope.cloudns[.]cl » avec l’URL cible « /system/update/version ». Ce domaine est un sous-domaine DNS dynamique hébergé par ClouDNS et était précédemment lié à l’activité ANDROMEDA. Il s’agissait d’un autre domaine réenregistré par Turla.
En substance, Turla a exploité KOPILUWAK comme ressource de profilage de cible de première étape, KOPILUWAK représentant le premier malware Turla personnalisé utilisé par les attaquants après ANDROMEDA. KOPILUWAK a aidé Turla à faciliter la reconnaissance du réseau sur l’hôte victime, en utilisant des utilitaires tels que whoami, netstat, arp et net, en recherchant des connexions TCP actives avec PID et en localisant les partages réseau avant d’énumérer les disques logiques et les processus en cours d’exécution. The results of all commands were piped into %TEMP%\result2.dat, before being uploaded to KOPILUWAK's C2 "manager.surro[.]am" with POST requests.
QUIETCANARY entre dans l’image
Suite à l’exécution initiale de KOPILUWAK, Turla a été observée en train de télécharger deux fois le module léger .NET backdoor QUIETCANARY sur un hôte (bien que les commandes n’aient été exécutées que dans la deuxième instance). QUIETCANARY a été principalement utilisé par Turla pour récolter, compresser, mettre en scène et finalement exfiltrer les données des victimes. QUIETCANARY a été écrit sur disque.
Mandiant a pu observer les commandes interactives envoyées à QUIETCANARY et exécutées par le backdoor.
Remarque : des fautes de frappe occasionnelles dans les commandes émises, ainsi que leur correction et réémission ultérieures, ont suggéré qu’il s’agissait d’un processus manuel, par opposition à la collecte automatisée de données.
Il est intéressant de noter que Turla ne semblait être concernée que par l’exfiltration des fichiers créés après 1 janvier 2021.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Dans son rapport, Mandiant reconnaît que les charges utiles de Turla impliquées dans cet incident n’ont été observées qu’en Ukraine. En fait, Mandiant n’a observé qu’une seule instance d’une infection ANDROMEDA détournée utilisée pour distribuer des logiciels malveillants Turla. Cependant, il ne serait pas judicieux de tirer la conclusion que l’Ukraine est le seul endroit où Turla a effectué ce type d’opération. Il serait tout aussi imprudent de conclure que les attaques de Turla contrevenant aux infections par ANDROMEDA ont été limitées à une seule cible. Il serait également imprudent de supposer que Turla sera le seul acteur à tirer parti des infections existantes à ses propres fins. Il est probable que d’autres acteurs malveillants avec des motivations différentes chercheront à capitaliser sur les intrusions précédentes d’une manière cohérente avec l’activité décrite dans les présentes. »
En fait, ce n’est pas la première fois que Turla détourne l’infrastructure d’attaque d’autres acteurs malveillants. Comme indiqué dans un article câblé sur le sujet :
Turla utilise depuis longtemps des astuces astucieuses pour dissimuler le contrôle de ses logiciels malveillants, et même pour pirater le contrôle d’autres pirates informatiques, comme Mandiant l’a vu dans ce dernier cas. La société de cybersécurité Kaspersky a révélé en 2015 que Turla avait pris le contrôle des connexions Internet satellites pour masquer l’emplacement de ses serveurs de commande et de contrôle. En 2019, l’agence britannique de renseignement GCHQ a averti que Turla avait commandé silencieusement les serveurs des pirates informatiques iraniens pour se cacher et confondre les détectives essayant de les identifier.
« Les techniques de piratage basées sur USB semblent avoir connu une résurgence ces dernières années, et les observations de Mandiant sur la méthodologie furtive de Turla dans cet incident devraient rappeler aux professionnels de la sécurité que ce vecteur d’intrusion particulier est loin d’être obsolète, et, lorsqu’il est placé entre les mains d’un opérateur aussi sophistiqué et bien équipé que celui de Turla, cette technique représente toujours une menace importante. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
