Cette semaine, CTI analyse APT41’s utilisations récentes de Google Command and Control (GC2) pendant ses opérations, soulignant une augmentation régulière de l’utilisation d’outils accessibles au public par les APT Chine-nexus. Ensuite, vous trouverez un aperçu d’un nouvel outil d’évasion de défense, appelé AuKill, qui permet aux acteurs malveillants de désactiver les solutions de détection et de réponse aux endpoints (EDR) avant de déployer des backdoors et des ransomwares. Pour conclure, CTI explore un nouveau rapport détaillant la véritable cause profonde de la compromission importante de la chaîne d’approvisionnement qui a commencé à avoir un impact sur l’omniprésente application 3CX Desktop et ses utilisateurs en mars dernier.
Les pirates informatiques abusent de l’outil d’équipe rouge de commande et de contrôle de Google dans les attaques
Le rapport 2023 Threat Horizons de Google Cloud révèle que le groupe d’espionnage parrainé par l’État chinois APT41 abuse désormais de l’outil GC2 red teaming de Google dans ses attaques.
GC2 est un projet open source écrit dans Go qui a été conçu spécifiquement pour les activités de l’équipe rouge. Le Threat Analysis Group (TAG) de Google a perturbé APT41’s dernières attaques par hameçonnage, au cours desquelles les acteurs ont tenté de distribuer l’agent GC2 dans un contexte d’abus plus large de l’infrastructure de Google.
APT41 , également connue sous le nom de Wicked Panda et HOODOO, s’engage occasionnellement dans des opérations motivées financièrement. Le groupe est actif depuis au moins 2007, et plusieurs membres ont été inculpés par le ministère de la Justice des États-Unis. Le groupe a toujours ciblé des organisations gouvernementales et privées aux États-Unis, à Taïwan, en Inde, en Thaïlande, en Chine, à Hong Kong, en Mongolie, etc. APT41 est également connue pour sa capacité à tirer parti de l’exploitation des vulnérabilités, en particulier lorsqu’il s’agit d’applications vulnérables aux attaques par injection SQL.
Détails de la campagne
En octobre 2022, TAG de Google a perturbé une campagne APT41 ciblant une organisation médiatique taïwanaise avec des e -mails d’hameçonnage contenant des liens vers des fichiers protégés par mot de passe hébergés sur Drive. La charge utile de cette campagne était de GC2 ; un outil d’équipe rouge open source.
Cet outil, écrit en Go, reçoit ses commandes de Google Sheets pour masquer son activité malveillante. Les données sont ensuite exfiltrées sur Google Drive. Après l’installation sur la machine de la victime, le logiciel malveillant a interrogé Google Sheets pour ses commandes.GC2 permet également à l’acteur malveillant de télécharger des fichiers supplémentaires de Drive sur le système de la victime. L’utilisation de l’infrastructure Google et des applications collaboratives augmente la probabilité que le trafic malveillant passe largement inaperçu dans les environnements d’entreprise.
Google a noté que cet acteur malveillant utilisait auparavant un workflow similaire l’année dernière pour cibler un site Web italien de recherche d’emploi.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le TAG de Google n’a pas publié beaucoup de détails sur cette campagne, il n’y a donc pas grand-chose à travailler en termes d’indicateurs de compromission (IOC). Cependant, la campagne révèle l’utilisation accrue par cette APT chinoise d’outils accessibles au public tels que GC2. »
« Les APT chinoises ont tendance à utiliser et partager de nombreux outils personnalisés dans leurs attaques. Ils ont également mis leur propre touche à des versions personnalisées d’outils disponibles publiquement. APT41’s utilisation de GC2 , soi-disant dans son état d’origine sans modifications personnalisées, marque certainement un passage vers des outils prêts à l’emploi et accessibles au public. S’agit-il d’une tactique pour confondre les efforts d’attribution ou d’un véritable changement de méthodologie ? Seul le temps le dira. »
Les gangs de rançongiciels abusent du pilote de Process Explorer pour tuer les logiciels de sécurité
Un nouveau rapport Sophos explore un outil d’évasion de défense appelé « AuKill » actuellement utilisé par les acteurs malveillants pour désactiver le logiciel de détection et de réponse aux endpoints (EDR) avant de déployer des backdoors et des ransomwares. L’outil abuse d’une version obsolète de Process Explorer et a été utilisé dans au moins trois incidents de ransomware cette année.
Sophos aurait enquêté sur plusieurs incidents dans lesquels l’acteur malveillant a tenté de désactiver les clients EDR via le nouvel outil AuKill. Cet outil abuse d’une version obsolète du pilote utilisé par la version 16,32 de l’utilitaire Process Explorer de Microsoft. En janvier et février, les acteurs malveillants ont déployé le ransomware Medusa Locker après avoir exploité AuKill. En février, l’acteur malveillant a à nouveau été observé en utilisant AuKill avant de déployer le ransomware LockBit.
Bien sûr, ce n’est pas la première fois que des acteurs malveillants sont observés en déployant des logiciels conçus pour tuer les agents EDR. Les équipes de recherche en sécurité de Microsoft, Mandiant, SentinelOne et Sophos ont toutes déjà signalé des attaques impliquant des pilotes personnalisés pour désactiver les produits EDR. Ce qui distingue ces incidents récents des attaques précédentes, c’est le fait qu’AuKill abuse d’un conducteur légitime, mais obsolète et exploitable.
Sophos a collecté six variantes différentes du logiciel malveillant AuKill, trouvant des similarités entre AuKill et un autre outil open source, Backstab, y compris des chaînes de débogage présentant des caractéristiques apparemment dérivées et une logique de flux de code presque identique utilisée pour interagir avec le pilote. Les chercheurs de Sophos pensent qu’AuKill a été construit autour de plusieurs extraits de code de Backstab.
Abus légitime du conducteur et procexp.sys
Pour contourner les mesures de sécurité des pilotes, les acteurs malveillants doivent soit trouver un moyen d’obtenir un pilote malveillant signé par un certificat fiable/légitime, soit comprendre comment abuser d’un pilote logiciel commercial légitime. Dans les campagnes observées par Sophos, les acteurs malveillants ont tiré parti d’un pilote créé et signé par Microsoft.
AuKill dépose un pilote nommé procexp.sys dans le chemin C :\Windows\System32\drivers sur la machine. Le pilote légitime de l’Explorateur de processus se trouve normalement à ce même emplacement et s’appelle procexp152.sys. Les deux pilotes peuvent exister sur une machine qui a une copie de l’Explorateur de processus en cours d’exécution. Le programme d’installation AuKill dépose également une copie exécutable de lui-même dans le répertoire System32 ou temporaire, qu’il exécute en tant que service.
L’utilisation abusive de ce processus nécessite que l’acteur malveillant utilise des privilèges administratifs sur le système. Cependant, les processus Windows critiques sont soumis à une protection supplémentaire pour empêcher les acteurs malveillants de les désactiver. Pour contourner ces fonctionnalités, les acteurs malveillants doivent aller plus loin et exécuter un pilote en mode noyau. Dans ce cas, AuKill a abusé du pilote légitime derrière Process Explorer pour surmonter ces fonctionnalités.
Il est important de noter que l’utilisation d’AuKill nécessite que l’acteur malveillant dispose de privilèges administratifs, mais il ne peut pas lui-même donner ces privilèges.
Évolution des logiciels malveillants Aukill
Sophos a collecté six versions du logiciel malveillant AuKill en quelques mois et a suivi les modifications de fonctionnalité entre chaque version. Plus particulièrement, le compilateur et les composants de sécurité ciblés ont changé.
Sophos s’est principalement concentré sur v1 et v6 échantillons, car ceux-ci ont été observés le plus fréquemment. V6 semble être une version expérimentale pour les chercheurs de Sophos. La comparaison entre ces deux versions donne aux chercheurs un aperçu de l’emplacement potentiel des futures versions.
- Phase 1 : Installation du service : une fois exécuté, le logiciel malveillant confirme s’il dispose de privilèges d’administrateur. Il nécessite également que l’acteur malveillant exécute le fichier avec un mot-clé, ou un mot de passe de sorte, comme premier argument de la ligne de commande et, si ce n’est pas le cas, interrompt l’exécution. AuKill démarre d’abord le service Trusted Installer, un composant du programme d’installation de modules Windows. Il duplique ensuite le jeton de TrustedInstaller[.]exe et transmet le jeton pour s’élever au SYSTÈME lorsque le processus redémarre. Il se copie finalement vers C :\Windows\system32, s’installe en tant que service et démarre le service.
- Phase 2 : désactivation de la sécurité : après avoir établi la persistance en créant l’entrée de service, elle dépose procexp.sys sur le disque. Le pilote est intégré dans AuKill en tant que ressource.
Pour empêcher le redémarrage des composants des clients EDR, AuKill démarre plusieurs threads pour s’assurer que ces processus et services restent désactivés. Chacun des threads cible un composant différent et les sonde en continu pour déterminer si les processus ou services ciblés sont en cours d’exécution ; s’ils le sont, AuKill les désactivera ou les mettra fin.
AuKill dispose de quatre fonctions qu’il utilise pour désactiver les composants EDR : mettre fin via Procexp, mettre fin avec force, désactiver les services et décharger les pilotes. Sophos détaille chacune de ces quatre fonctions dans son rapport.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien qu’AuKill semble être un précurseur d’autres activités malveillantes et que toute indication d’AuKill sur un réseau doive être prise au sérieux, il convient de se rappeler qu’AuKill ne peut pas fonctionner si l’acteur malveillant ne dispose pas déjà de privilèges d’administrateur. Néanmoins, l’observation de l’activité d’AuKill dans un réseau signale probablement le déploiement en attente d’une autre charge utile dangereuse, telle que le ransomware LockBit, prouvant ainsi qu’AuKill peut toujours poser une menace grave. »
3CX compromission de la chaîne d’approvisionnement logicielle initiée par un compromis antérieur de la chaîne d’approvisionnement logicielle
L’entreprise de renseignement Mandiant a conclu que le vecteur d’infection initial pour la compromission de la chaîne d’approvisionnement 3CX qui a affecté le logiciel omniprésent de l’entreprise en mars dernier était un logiciel malveillant téléchargé depuis un site Web tiers sur le réseau 3CX’s .
Mandiant remarque que c’est la première fois qu’une attaque de la chaîne d’approvisionnement logicielle entraîne une autre attaque de la chaîne d’approvisionnement logicielle dans ce qui ne peut être décrit que comme un cyber-cauchemar de type Inception, nidification russe.
Voici un rappel, offert par Mandiant :
Fin mars 2023, une compromission de la chaîne d’approvisionnement logicielle a diffusé des logiciels malveillants via une version trojanquée de 3CX’s logiciels légitimes qui étaient disponibles au téléchargement sur leur site Web. Le logiciel affecté était 3CX DesktopApp 18,12,416 et versions antérieures, qui contenait un code malveillant qui exécutait un téléchargeur, SUDDENICON, qui à son tour a reçu des serveurs de commande et de contrôle (C2) supplémentaires à partir de fichiers d’icônes cryptés hébergés sur GitHub. Le serveur C2 décrypté a été utilisé pour télécharger une troisième étape identifiée comme ICONICSTEALER, un dataminer qui vole des informations de navigateur.
Mandiant Consulting prétend également avoir découvert le vecteur d’intrusion initial suite à son enquête continue sur la compromission de la chaîne d’approvisionnement 3CX : Mandiant a retracé l’ensemble du fiasco jusqu’à un logiciel infecté qui a été distribué à 3CX dans une attaque de la chaîne d’approvisionnement logicielle qui impliquait un programme d’installation armé pour X_TRADER, un package logiciel légitime fourni par Trading Technologies.
Mandiant a déterminé qu’un processus de chargement assez sophistiqué a finalement conduit au déploiement de logiciels malveillants VEILEDSIGNAL (que Mandiant décrit comme un « backdoor modulaire à plusieurs étapes ») ainsi que de ses modules d’accompagnement.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Mandiant attribue l’activité malveillante décrite ci-dessus au groupe de menaces suivi comme UNC4736 , un acteur que Mandiant estime avec un degré modéré de confiance lié à l’activité de cybercriminalité nord-coréenne motivée financièrement appelée AppleJeus par CISA. »
« Cela est corroboré par un rapport de l’TAG de Google qui a signalé la compromission de www.tradingtechnologies[.]com en février 2022, avant la distribution des mises à jour X_TRADER compromises à partir du site. D’autres chevauchements d’infrastructures sont apparents entre UNC4736 et APT43, un autre acteur de menace nord-coréen pour lequel CTI maintient un profil actif d’acteur de menace (TAP). »
« Comme Mandiant l’a souligné, APT43 cible fréquemment les utilisateurs de cryptomonnaies et les services connexes, soulignant que ces campagnes sont répandues dans les cyber-opérateurs en relation avec la Corée du Nord. »
« Il est important que les groupes nord-coréens soutenus par l’État puissent être responsables de la première attaque de la chaîne d’approvisionnement logicielle qui a entraîné directement une autre attaque de la chaîne d’approvisionnement logicielle. Il est également probable que les chercheurs en sécurité aient sous-estimé les acteurs de cybermenace avec un lien DPRK par le passé. Cet incident nous rappelle que le royaume de l’Ermit représente toujours une formidable menace. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
