Cette semaine, CTI enquête sur une nouvelle campagne qui a été observée en fournissant AsyncRAT. Ensuite, CTI explique comment un acteur malveillant connu sous le nom de Water Curupira distribue activement le malware du chargeur PikaBot via des campagnes de spam. CTI conclut par un aperçu d’une campagne financièrement motivée intitulée RE#TURGENCE qui cible les serveurs Microsoft SQL non sécurisés dans le monde entier.
1. AsyncRAT apparaît dans une nouvelle campagne
AT&T Alien Labs a découvert une nouvelle campagne qui fournit AsyncRAT aux victimes. Depuis 11 mois, l’acteur malveillant à l’origine de la campagne livre le logiciel malveillant via un fichier JavaScript initial intégré à une page d’hameçonnage. Les chercheurs ont découvert plus de 300 échantillons et plus de 100 domaines mettant en évidence la persistance de l’acteur.
Qu’est-ce qu’AsyncRAT ?
AsyncRAT existe depuis au moins 2019 lorsqu’il a été publié en tant qu’outil d’accès à distance open source. L’outil est toujours disponible aujourd’hui sur GitHub, ce qui en fait un RAT très couramment utilisé par les acteurs malveillants. Il est connu pour l’enregistrement des clés, les techniques d’exfiltration et la mise à disposition initiale de l’accès pour la livraison finale de la charge utile.
En septembre 2023, AT&T a observé un pic d’e -mails d’hameçonnage ciblant un ensemble d’individus. Les e-mails d’hameçonnage contenaient une pièce jointe GIF qui conduirait à un fichier SVG. Le fichier SVG, à son tour, a conduit au téléchargement d’un fichier JavaScript hautement masqué, suivi de scripts PowerShell masqués et d’une exécution finale d’un client AsyncRAT.
Le pivotement des modèles dans le code a permis aux chercheurs AT&T d’identifier des échantillons supplémentaires dans cette campagne, en trouvant des échantillons datant de février 2023. L’enregistrement des domaines et la découverte des échantillons AsyncRAT sont en cours.
Analyse technique
- Le chargeur AsyncRAT a plusieurs étapes qui sont masquées davantage par un serveur C2 qui vérifie si le logiciel malveillant s’exécute dans un environnement sandbox avant de déployer la charge utile principale AsyncRAT.
- Les fichiers JavaScript sont livrés à la victime via des pages Web d’hameçonnage malveillantes tout au long de la campagne. Les fichiers contiennent de longues chaînes qui sont commentées et ont des textes composés de mots positionnés de manière aléatoire tels que Melville, l’église, le chapitre et l’scottish.
- Le script lui-même est très obscurci et dispose de plusieurs fonctions pour déplacer les commandes/chaînes détectables. Le logiciel malveillant modifie le C2 et l’URL de temps à autre, rendant la détection plus difficile. De plus, l’acteur malveillant semble essayer de créer une nouvelle version du chargeur pour chaque victime. Les nouveaux fichiers ont de nouveaux noms de variables randomisés, ce qui rend encore la détection difficile.
- Si le C2 reçoit une réponse non valide et que le logiciel malveillant fonctionne dans une sandbox, il redirigera la demande vers Google ou renverra un script qui contacte une charge utile hébergée sur temp[.]sh. Ce domaine héberge les fichiers pendant environ trois jours et génère un nouveau chemin d’URL randomisé pour chaque nouveau fichier téléchargé. Le fichier semble à première vue être un client AsyncRAT basé sur certaines détections antivirus. Cependant, lorsqu’il est décompilé, le RAT est en fait une distraction pour ceux qui peuvent enquêter sur la campagne. L’échantillon est un fichier décoy qui a été conçu pour ressembler à un RAT, mais ne contient pas de serveur C2 et contient des chaînes telles que LOL.
- Si le C2 reçoit une réponse valide et que le logiciel malveillant ne fonctionne pas dans un sandbox, il servira un script avec le domaine et l’URL suivants masqués, qui téléchargera ultérieurement AsyncRAT.
Infrastructure réseau
Le code de cette campagne est en constante évolution et est fortement masqué, ce qui peut rendre la détection difficile. En ce qui concerne l’infrastructure réseau, les échantillons observés ont contacté une gamme de domaines, mettant fréquemment à jour la liste.
Bien que les domaines aient souvent changé, ils partageaient des caractéristiques communes telles qu’un TLD de .top et huit caractères alphanumériques aléatoires. Parmi les autres caractéristiques partagées, citons Nicenic[.]net, Inc. en tant que registraire, ayant un code de pays d’Afrique du Sud et toujours créé quelques jours avant son utilisation.
Un script a conduit les chercheurs à un nouvel ensemble de domaines qui n’avaient pas de domaine codé en dur sous l’obscurcissement, comme l’échantillon précédemment observé. Au lieu de cela, ces échantillons avaient un script pour calculer le domaine en fonction de la date actuelle, permettant aux échantillons de modifier automatiquement le domaine C2 avec le temps.
L’algorithme de génération de domaine (DGA) a généré une base en utilisant le jour de l’année et y a apporté quelques modifications pour s’assurer qu’un nouveau domaine est renseigné tous les sept jours. Cette base est ensuite utilisée pour choisir 15 lettres de « a » à « n » pour générer le domaine. Ces modèles permettent aux chercheurs d’identifier des échantillons historiques, mais également de créer des détections pour identifier l’infrastructure future.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne est un excellent exemple de la manière dont les acteurs malveillants peuvent être déterminés et de la facilité avec laquelle ils peuvent passer inaperçus.
Dans de nombreux cas, les développeurs verront le logiciel malveillant s’arrêter complètement et sortir s’il est déterminé qu’il se trouve dans un bac à sable afin qu’il ne puisse pas être analysé plus en détail. Il est intéressant de noter que le développeur de cette campagne a consacré plus de temps et d’efforts à la création d’un RAT décoy qui est essentiellement conçu pour gaspiller le temps d’un analyste avant de se rendre compte qu’il n’a pas reçu le véritable logiciel malveillant.
Il s’agit d’un cas intéressant où un auteur de malware consacre plus de temps à quelque chose qui ne rend pas le malware plus furtif ou plus complexe, mais vise simplement à ennuyer les analystes.
2. Water Curupira distribue un malware de chargeur PikaBot
Un acteur malveillant connu sous le nom de Water Curupira distribue activement le malware du chargeur PikaBot via des campagnes de spam.
Cet acteur mène généralement des campagnes dans le but de faire tomber les portes dérobées et conduit souvent à des attaques de ransomware (principalement Black Basta).
Le chargeur PikaBot présente un grand nombre des mêmes comportements que le célèbre QBot et sa popularité croissante semble coïncider avec le retrait de QBot.
Accès initial
L’attaque commence par un e-mail malveillant qui est envoyé via le détournement de thread. L’e-mail contient une pièce jointe qui est soit un fichier ZIP d’archive protégé par mot de passe contenant un fichier IMG, soit un fichier PDF. Si nécessaire, l’acteur inclura le mot de passe du fichier dans l’e-mail.
Première étape
L’archive jointe à l’e-mail contient un JavaScript fortement obscurci avec une taille de fichier supérieure à 100 Ko. Lorsque cela est exécuté, le script commencera à lancer une série de commandes. Le script tente l’exécution à l’aide de cmd. Si cela échoue, une chaîne désignée fera écho à la console et tentera d’envoyer un ping à une cible spécifiée à l’aide de la même chaîne. Si cela échoue, il utilisera Curl.exe pour télécharger la charge utile PikaBot à partir d’un serveur externe.
Une autre chaîne d’attaque a également été observée où l’acteur malveillant n’utilisait pas de script malveillant, mais plutôt un fichier IMG de la pièce jointe PDF de l’e-mail qui contenait deux fichiers supplémentaires. Ces fichiers supplémentaires étaient la charge utile PikaBot. Cette dernière approche est apparue vers la fin de l’année 2023.
Charge utile PikaBot
Trend Micro a analysé un fichier DLL qui a été extrait de l’archive lors de la première étape, en trouvant qu’il s’agissait d’un échantillon d’un fichier DLL 32 bits avec 1515 exportations. La DLL déchiffre et exécute finalement un shellcode, qui déchiffre encore un autre fichier DLL. Ce fichier DLL se charge en mémoire et est finalement exécuté. Le fichier DLL décrypté exécute une routine anti-analyse qui charge des bibliothèques incorrectes et d’autres éléments non pertinents pour détecter les sandboxs.
Après avoir effectué une anti-analyse, le logiciel malveillant chargera un ensemble d’images PNG qui contiennent une partie cryptée du module principal. Après les avoir décryptés, l’injecteur PikaBot crée un processus suspendu et y injecte le module principal, tout en utilisant des appels système indirects pour masquer son injection.
PikaBot utilise deux fonctions pour obtenir les adresses de trois API nécessaires. Il s’agit notamment de GetProcAddress, LoadLibraryA et HeapFree. Le module principal vérifiera la langue du système et arrêtera l’exécution si la langue est russe ou ukrainienne.
Après s’être assuré qu’une seule instance d’elle-même est en cours d’exécution, elle obtiendra des détails sur le système à envoyer au C2. Le logiciel malveillant créera un tuyau nommé et l’utilisera pour stocker temporairement des informations supplémentaires qu’il recueille. Une fois que le logiciel malveillant aura collecté toutes les informations qu’il juge nécessaires, il les enverra à une adresse IP ajoutée à une URL spécifique.
Impact
Water Curupira mène souvent des campagnes qui entraînent un ransomware Black Basta. C’est ce qui fait des campagnes PikaBot une telle menace.
Trend Micro a identifié des clusters distincts de balises Cobalt Strike avec plus de 70 C2 domaines qui conduisent à Black Basta et qui auraient pu être abandonnés via des campagnes menées par cet acteur malveillant.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les infections par PikaBot ont tendance à entraîner le déploiement du ransomware Black Basta. Par conséquent, PikaBot n’est pas une menace à prendre à la légère.
De plus, de nombreux chercheurs ont identifié des chevauchements et des connexions potentielles entre PikaBot et QBot. Le moment où le QBot a été supprimé à peu près au même moment où PikaBot a augmenté en popularité est étrange.
Bien que nous ne sachions pas avec certitude si PikaBot est le nouveau QBot, ses liens potentiels avec le ransomware Black Basta et sa nature sophistiquée en plusieurs étapes en font une menace à éviter.
3. Les pirates informatiques turcs exploitent des serveurs MS SQL mondiaux
Une campagne financièrement motivée, désormais appelée RE#TURGENCE, cible les serveurs Microsoft SQL non sécurisés via un forçage brut à travers le monde comme moyen d’accès initial. La campagne se termine de l’une des deux manières suivantes : la première consiste à vendre l’accès obtenu et la seconde consiste à fournir des ransomwares.
L’acteur malveillant commence par forcer brutalement son passage sur un serveur MS SQL mal sécurisé, en utilisant la procédure qui permet d’exécuter des commandes au niveau du système d’exploitation à partir de SQL Server pour exécuter des commandes sur l’hôte. Après avoir exécuté le code, ils ont commencé à lancer des commandes supplémentaires à partir du processus sqlservr.exe.
- La première commande appelle l’exécutable et entraîne le téléchargement d’un fichier, 189jt, à partir du serveur distant de l’attaquant et exécute son code contenu à l’aide d’une expression d’invocation PowerShell. Le script PowerShell téléchargera et exécutera l’étape suivante de l’attaque.
- Le script PowerShell suivant contient une charge utile Cobalt Strike masquée qui se charge dans le processus en cours d’exécution. L’obscurcissement est axé sur les importations DLL et la charge utile Cobalt Strike qui s’est avérée contenir des centaines de lignes de variables combinées et de blocs de commentaires inutiles. La balise Cobalt Strike a été configurée pour s’injecter dans le processus natif Windows, SndVol.exe. L’acteur malveillant a ensuite téléchargé les fichiers binaires AnyDesk à partir d’un partage réseau monté.
Accès aux informations d’identification
L’acteur malveillant a été observé en téléchargeant Mimikatz sur le système à l’aide de AnyDesk, ainsi qu’un autre script de lot qui a été utilisé pour automatiser certaines commandes Mimikatz.
Le script est responsable de l’exécution de plusieurs fonctions. Il utilise d’abord une modification connue du registre pour activer les informations d’identification en texte clair. Après cela, il effectue quelques vérifications avant d’exécuter Mimikatz à partir du sous-répertoire approprié. Les résultats de la décharge Mimikatz sont enregistrés dans un fichier Mimikatz_dump.txt.
Découverte et mouvement latéral
Après avoir utilisé Mimikatz, l’acteur malveillant est passé aux efforts de découverte. Ils ont utilisé AnyDesk pour télécharger l’utilitaire Advanced Port Scanner. Cet utilitaire a été utilisé pour vérifier les partages distants du contrôleur de domaine, obtenir le nom d’hôte d’une MV Hyper-V, tester et exécuter psexec.exe sur un contrôleur de domaine, tester et utiliser RDP, etc. Quelques jours plus tard, l’acteur malveillant a pu se déplacer latéralement vers deux autres machines du réseau. L’acteur malveillant a utilisé psexec pour ouvrir une nouvelle session à un contrôleur de domaine avec un mot de passe qui a été obtenu à partir de la décharge Mimikatz. En utilisant ce compte, ils ont pu passer à des machines supplémentaires.
Impact
Après avoir migré vers quelques machines supplémentaires, l’acteur malveillant a utilisé AnyDesk pour télécharger une charge utile de ransomware sous la forme red25.exe. La charge utile est une archive auto-extractible qui extrait et exécute la charge utile de ransomware finale. Le ransomware utilisé dans cette campagne est le ransomware Mimic. Le ransomware imitant utilise des applications légitimes pour interroger et localiser les fichiers à chiffrer.
Après avoir terminé son processus de chiffrement, le ransomware dépose l’avis de chiffrement/paiement à la victime. Le ransomware a finalement été exécuté manuellement par les acteurs malveillants sur le serveur MS SQL, puis un contrôleur de domaine, puis d’autres hôtes joints au domaine.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La pratique consistant à cibler des serveurs MS SQL mal sécurisés ne semble pas disparaître bientôt, en grande partie parce qu’elle continue d’être fructueuse pour les acteurs malveillants.
En outre, cet acteur malveillant s’appuie fortement sur l’utilisation d’AnyDesk pour plusieurs étapes de l’attaque. Cela souligne à quel point il est fréquent que les acteurs malveillants abusent d’outils légitimes dans leurs opérations, et donc à quel point il est important que les défenseurs surveillent.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
