Cette semaine, le CTI analyse APT41’s cas récents d'utilisation de Google Command and Control (GC2) dans le cadre de ses opérations, mettant en évidence une augmentation constante du recours à des outils accessibles au public par les APT liées à la Chine. Nous allons maintenant vous présenter un nouvel outil de contournement des systèmes de défense — baptisé AuKill — qui permet aux cybercriminels de désactiver les solutions de détection et de réponse au niveau des terminaux (EDR) avant de déployer des portes dérobées et des ransomwares. Pour conclure, CTI se penche sur un nouveau rapport détaillant la véritable cause à l'origine de la faille très médiatisée de la chaîne d'approvisionnement qui a commencé à affecter l'omniprésente application 3CX Desktop App et ses utilisateurs dès le mois de mars.
Des pirates informatiques exploitent à des fins malveillantes l'outil « red team » de Google destiné au commandement et au contrôle dans le cadre d'attaques
Le rapport « Threat Horizons » de Google Cloud sur l’ , 2023 (s’ouvre dans un nouvel onglet) , révèle que le groupe d’espionnage APT41 , soutenu par l’État chinois, exploite désormais l’outil de simulation d’attaques (red teaming) de Google, GC2 , dans le cadre de ses attaques.
GC2 est un projet open source écrit en Go, spécialement conçu pour les activités de la « red team ». Le groupe d'analyse des menaces (TAG) de Google a déjoué APT41’s la dernière attaque de hameçonnage, au cours de laquelle les auteurs ont tenté de diffuser l'agent GC2 tout en exploitant de manière abusive l'infrastructure de Google à plus grande échelle.
APT41 (s'ouvre dans un nouvel onglet) — également connu sous les noms de Wicked Panda et HOODOO — mène parfois des opérations à but lucratif. Ce groupe est actif depuis au moins 2007, et plusieurs de ses membres ont été mis en examen par le ministère américain de la Justice. Ce groupe a, depuis toujours, pris pour cible des organismes publics et privés aux États-Unis, à Taïwan, en Inde, en Thaïlande, en Chine, à Hong Kong, en Mongolie et dans d’autres pays. Le groupe « APT41 » est également connu pour sa capacité à tirer parti de l’exploitation de vulnérabilités, en particulier lorsqu’il s’agit d’applications exposées aux attaques par injection SQL.
Détails de la campagne
Dans l'affaire « octobre 2022 », le TAG de Google a déjoué une campagne « APT41 » visant un organisme de presse taïwanais à l'aide d'e-mails de hameçonnage de type « » contenant des liens vers des fichiers protégés par mot de passe hébergés sur Drive. La charge utile de cette campagne était GC2, un outil open source destiné aux équipes « red team ».
Cet outil, écrit en Go, reçoit ses commandes depuis Google Sheets afin de dissimuler ses activités malveillantes. Les données sont ensuite transférées vers Google Drive. Une fois installé sur l'ordinateur de la victime, le logiciel malveillant interrogeait Google Sheets pour obtenir ses commandes. Le programme GC2 permet également à l'auteur de la menace de télécharger des fichiers supplémentaires depuis Drive vers le système de la victime. L'utilisation de l'infrastructure de Google et de ses applications collaboratives augmente le risque que du trafic malveillant passe largement inaperçu au sein des environnements d'entreprise.
Google a constaté que cet acteur malveillant avait déjà utilisé un mode opératoire similaire l'année dernière pour cibler un site web italien dédié à la recherche d'emploi.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le TAG de Google n’a pas divulgué beaucoup de détails concernant cette campagne ; nous ne disposons donc pas de beaucoup d’éléments en matière d’indicateurs de compromission (IOC). » Toutefois, cette campagne met en évidence le recours accru de ce groupe APT chinois à des outils accessibles au public, tels que « GC2 ».
« Les groupes APT chinois ont tendance à utiliser et à partager de nombreux outils personnalisés dans le cadre de leurs attaques. » Ils apportent également leur touche personnelle à des versions personnalisées d’outils accessibles au public. L’utilisation de APT41’s sur GC2 — censée correspondre à l’état d’origine, sans aucune modification personnalisée — marque sans aucun doute une évolution vers des outils prêts à l’emploi et accessibles au public. S'agit-il d'une tactique visant à brouiller les pistes en matière d'attribution, ou d'un véritable changement de méthodologie ? « Seul le temps nous le dira. »
Des groupes spécialisés dans les ransomwares exploitent le pilote de Process Explorer pour désactiver les logiciels de sécurité
Un nouveau rapport de Sophos examine un outil de contournement des défenses de type « » (s'ouvre dans un nouvel onglet) , baptisé «AuKill», actuellement utilisé par des acteurs malveillants pour désactiver les logiciels de détection et de réponse sur les terminaux (EDR) avant de déployer des portes dérobées et des ransomwares. Cet outil exploite une version obsolète de Process Explorer et a été utilisé dans au moins trois incidents liés à des ransomwares cette année.
Sophos aurait enquêté sur plusieurs incidents au cours desquels l'auteur de la menace a tenté de désactiver des clients EDR à l'aide du nouvel outil AuKill. Cet outil exploite une version obsolète du pilote utilisé par la version 16,32 de l'utilitaire Process Explorer de Microsoft. En janvier et février, les cybercriminels ont déployé le ransomware Medusa Locker après avoir exploité AuKill. En février, on a de nouveau constaté que cet acteur malveillant utilisait AuKill avant de déployer le ransomware LockBit.
Ce n'est bien sûr pas la première fois que l'on constate que des acteurs malveillants déploient des logiciels conçus pour désactiver les agents EDR. Les équipes de recherche en sécurité de Microsoft, Mandiant, SentinelOne et Sophos ont toutes déjà signalé des attaques impliquant des pilotes sur mesure destinés à désactiver les produits EDR. Ce qui distingue ces incidents récents des attaques précédentes, c'est le fait qu'AuKill exploite un pilote légitime, mais obsolète et vulnérable.
Sophos a recensé six variantes différentes du logiciel malveillant AuKill et a mis en évidence des similitudes entre AuKill et un autre outil open source, Backstab, notamment des chaînes de débogage présentant des caractéristiques qui semblent dérivées de ce dernier et une logique d'exécution du code quasi identique utilisée pour interagir avec le pilote. Les chercheurs de Sophos estiment qu'AuKill a été développé à partir de plusieurs extraits de code issus de Backstab.
Utilisation abusive d'un pilote légitime et procexp.sys
Pour contourner les mesures de sécurité relatives aux pilotes, les acteurs malveillants doivent soit trouver un moyen de faire signer un pilote malveillant par un certificat fiable ou légitime, soit trouver comment exploiter un pilote de logiciel commercial légitime. Dans les campagnes observées par Sophos, les auteurs de la menace ont exploité un pilote à la fois créé et signé par Microsoft.
AuKill place un pilote nommé procexp.sys dans le répertoire C:\Windows\System32\drivers de la machine. Le pilote légitime de Process Explorer se trouve généralement à ce même emplacement et s'appelle procexp152.sys. Ces deux pilotes peuvent coexister sur un ordinateur sur lequel une instance de Process Explorer est en cours d'exécution. Le programme d'installation d'AuKill place également une copie exécutable de lui-même dans le répertoire « System32 » ou « temp », qu'il exécute en tant que service.
Pour exploiter cette faille, l'auteur de la menace doit disposer de privilèges d'administrateur sur le système. Toutefois, les processus Windows critiques bénéficient d'une protection supplémentaire afin d'empêcher les acteurs malveillants de les désactiver. Pour contourner ces fonctionnalités, les auteurs de menaces doivent aller plus loin et exécuter un pilote en mode noyau. Dans ce cas précis, AuKill a détourné le pilote légitime de Process Explorer afin de contourner ces fonctionnalités.
Il est important de noter que l'utilisation d'AuKill nécessite que l'auteur de la menace dispose de privilèges d'administrateur, mais que ce logiciel ne peut, à lui seul, lui conférer ces privilèges.
L'évolution du logiciel malveillant Aukill
Sophos a recueilli six versions du logiciel malveillant AuKill en l'espace de quelques mois et a suivi l'évolution des fonctionnalités d'une version à l'autre. On notera notamment que le compilateur et les composants de sécurité concernés ont été modifiés.
Sophos s'est principalement concentré sur les échantillons v1 et v6 , car ce sont ceux qui ont été observés le plus fréquemment. Le V6 semble être, selon les chercheurs de Sophos, une version expérimentale. La comparaison entre ces deux versions permet aux chercheurs de se faire une idée de la direction que pourraient prendre les versions futures.
- Phase 1 : Installation du service : une fois exécuté, le logiciel malveillant vérifie s'il dispose des droits d'administrateur. Cela oblige également l'auteur de la menace à exécuter le fichier en indiquant un mot-clé, ou une sorte de mot de passe, comme premier argument de la ligne de commande ; à défaut, l'exécution est interrompue. AuKill lance tout d'abord le service « Trusted Installer », un composant du programme d'installation des modules Windows. Il duplique ensuite le jeton de TrustedInstaller[.]exe et transmet ce jeton afin de s'élever au niveau SYSTEM lors du redémarrage du processus. Enfin, il se copie dans le répertoire C:\Windows\system32, s'installe en tant que service et lance ce service.
- Phase 2 : Désactivation des mesures de sécurité : après avoir assuré sa persistance en créant l'entrée de service, il place le fichier procexp.sys sur le disque. Le pilote est intégré à AuKill en tant que ressource.
Afin d'empêcher le redémarrage des composants des clients EDR, AuKill lance plusieurs threads pour s'assurer que ces processus et services restent désactivés. Chacun de ces threads cible un composant différent et les interroge en permanence afin de déterminer si les processus ou services ciblés sont en cours d'exécution ; si tel est le cas, AuKill les désactivera ou les mettra fin.
AuKill dispose de quatre fonctions qu'il utilise pour désactiver les composants EDR : fermeture via Procexp, fermeture forcée, désactivation des services et déchargement des pilotes. Sophos détaille chacune de ces quatre fonctions dans son rapport.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien qu’AuKill semble être un précurseur d’autres activités malveillantes et que toute trace d’AuKill sur un réseau doive être prise au sérieux, il convient de rappeler qu’AuKill ne peut pas s’exécuter si l’auteur de la menace ne dispose pas déjà de droits d’administrateur. » « Néanmoins, la détection de l'activité d'AuKill au sein d'un réseau laisse présager le déploiement imminent d'une autre charge utile dangereuse, telle que le ransomware LockBit ; ce qui prouve donc qu'AuKill peut encore représenter une menace sérieuse. »
3CX incidents liés à la chaîne d'approvisionnement logicielle résultant d'un incident antérieur lié à cette même chaîne
La société de renseignement Mandiant a conclu que le vecteur d'infection initial de la célèbre attaque par compromission de la chaîne d'approvisionnement 3CX , qui a touché en mars dernier le logiciel « Desktop App » très répandu de cette entreprise, était un logiciel malveillant téléchargé depuis un site web tiers sur le réseau 3CX’s .
Mandiant souligne que c'est la première fois qu'elle constate qu'une attaque visant la chaîne logistique d'un logiciel en entraîne une autre, dans ce qui ne peut être décrit que comme un cauchemar cybernétique à la « Inception », à l'image des poupées russes.
Voici un petit rappel, proposé par Mandiant :
Fin mars 2023, une faille dans la chaîne d’approvisionnement logicielle a permis la propagation d’un logiciel malveillant via une version infectée par un cheval de Troie de de 3CX’s logiciels légitimes , disponibles en téléchargement sur leur site web. Le logiciel concerné était la version 3CX de DesktopApp 18,12,416 et les versions antérieures, qui contenaient un code malveillant exécutant un programme de téléchargement, SUDDENICON, lequel recevait à son tour les adresses de serveurs de commande et de contrôle (C2) supplémentaires à partir de fichiers d'icônes chiffrés hébergés sur GitHub. Le serveur C2 déchiffré a été utilisé pour télécharger un troisième module identifié comme ICONICSTEALER, un programme d'extraction de données qui vole des informations relatives au navigateur.
Mandiant Consulting affirme également avoir identifié le vecteur d'intrusion initial dans le cadre de son enquête en cours sur la compromission de la chaîne d'approvisionnement de 3CX : Mandiant a retracé l'origine de toute cette affaire jusqu'à un logiciel infecté qui avait été distribué à 3CX lors d'une attaque visant la chaîne d'approvisionnement logicielle, impliquant un programme d'installation malveillant pour X_TRADER, un logiciel légitime fourni par Trading Technologies.
Mandiant a établi qu'un processus de chargement assez sophistiqué avait finalement conduit au déploiement du logiciel malveillant VEILEDSIGNAL (que Mandiant décrit comme une « porte dérobée modulaire à plusieurs étapes ») ainsi que des modules qui l'accompagnent.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Mandiant attribue l'activité malveillante décrite ci-dessus au groupe de menaces référencé sous le nom de UNC4736 — un acteur que Mandiant estime, avec un degré de certitude modéré, être lié à l'activité de cybercriminalité nord-coréenne à motivation financière baptisée « AppleJeus » par la CISA. »
« Cela est corroboré par un rapport du TAG de Google, qui a signalé la compromission du site www.tradingtechnologies[.]com dans février 2022, avant la diffusion depuis ce site de mises à jour compromises de X_TRADER. » D'autres recoupements au niveau des infrastructures sont visibles entre « UNC4736 » et « APT43 », un autre acteur malveillant nord-coréen pour lequel le CTI tient à jour un profil d'acteur malveillant (TAP). »
« Comme l’a souligné Mandiant, le groupe APT43 cible fréquemment les utilisateurs de cryptomonnaies et les services associés, ce qui montre que ce type de campagnes est très répandu parmi les cybercriminels liés à la Corée du Nord. »
« Il est significatif que des groupes soutenus par l'État nord-coréen puissent être à l'origine de la première attaque visant la chaîne d'approvisionnement logicielle qui a directement conduit à une autre attaque de ce type. » Il est également probable que les chercheurs en sécurité aient, par le passé, sous-estimé les auteurs de cybermenaces ayant un lien avec la Corée du Nord. « Cet incident nous rappelle que le « Royaume ermite » représente toujours une menace redoutable. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
