Cette semaine, CTI enquête sur une nouvelle campagne qui, d'après nos observations, diffuse le logiciel malveillant AsyncRAT. CTI explique ensuite comment un acteur malveillant connu sous le nom de « Water Curupira » diffuse activement le logiciel malveillant de chargement PikaBot par le biais de campagnes de spam. CTI conclut en se penchant sur une campagne à motivation financière baptisée « RE#TURGENCE », qui cible les serveurs Microsoft SQL non sécurisés à travers le monde.
1. AsyncRAT fait son apparition dans une nouvelle campagne
AT&T Alien Labs a découvert une nouvelle campagne qui diffuse le logiciel malveillant « AsyncRAT » (s'ouvre dans un nouvel onglet) auprès des victimes. Depuis 11 mois, l'auteur de cette campagne diffuse le logiciel malveillant via un fichier JavaScript initial intégré à une page de hameçonnage. Les chercheurs ont mis au jour plus de 300 échantillons et plus de 100 domaines qui témoignent de la persévérance de cet acteur.
Qu'est-ce qu'AsyncRAT ?
AsyncRAT existe depuis au moins 2019 , année où il a été lancé en tant qu'outil d'accès à distance open source. Cet outil est toujours disponible aujourd'hui sur GitHub, ce qui en fait un RAT très couramment utilisé par les cybercriminels. Il est connu pour ses techniques d'enregistrement de frappe, d'exfiltration de données et de mise en place d'un accès initial en vue de la diffusion de la charge utile finale.
Dans l'article « septembre 2023 », AT&T a constaté une recrudescence des e-mails de hameçonnage de type « » visant un groupe de personnes. Les e-mails de hameçonnage contenaient une pièce jointe au format GIF qui redirigeait vers un fichier SVG. Ce fichier SVG a ensuite entraîné le téléchargement d'un fichier JavaScript fortement obscurci, suivi de scripts PowerShell obscurcis, puis de l'exécution finale d'un client AsyncRAT.
En s'appuyant sur des schémas récurrents dans le code, les chercheurs d'AT&T ont pu identifier d'autres échantillons liés à cette campagne, dont certains remontaient à février 2023. L'enregistrement des noms de domaine et la détection d'échantillons d'AsyncRAT se poursuivent.
Analyse technique
- Le chargeur d'AsyncRAT comporte plusieurs étapes qui sont encore davantage dissimulées par un serveur C2 chargé de vérifier si le logiciel malveillant s'exécute dans un environnement de sandbox avant de déployer la charge utile principale d'AsyncRAT.
- Tout au long de la campagne, des fichiers JavaScript sont transmis à la victime par le biais de pages Web de hameçonnage malveillantes. Ces fichiers contiennent de longues chaînes de caractères mises en commentaire et composées de textes formés de mots disposés de manière aléatoire, tels que « Melville », « church », « chapter » et « scottish ».
- Le script lui-même est fortement obscurci et comporte plusieurs fonctions permettant de déplacer les commandes et chaînes de caractères détectables. Le logiciel malveillant modifie le code C2 et l'URL de temps à autre, ce qui rend sa détection plus difficile. De plus, l'auteur de la menace semble s'efforcer de créer une nouvelle version du chargeur pour chaque victime. Les nouveaux fichiers portent de nouveaux noms de variables générés de manière aléatoire, ce qui rend une fois de plus leur détection difficile.
- Si le C2 reçoit une réponse non valide et que le logiciel malveillant fonctionne dans un environnement sandbox, il redirigera la requête vers Google ou renverra un script qui se connecte à une charge utile hébergée sur temp[.]sh. Ce domaine héberge les fichiers pendant environ trois jours et génère un nouveau chemin d'accès aléatoire pour chaque nouveau fichier mis en ligne. À première vue, ce fichier semble être un client AsyncRAT, d'après certaines détections des antivirus. Cependant, une fois décompilé, ce RAT sert en réalité à détourner l'attention de ceux qui pourraient enquêter sur cette campagne. L'échantillon est un fichier leurre conçu pour ressembler à un RAT, mais il ne contient pas de serveur C2 et comporte des chaînes de caractères telles que « LOL ».
- Si le serveur C2 reçoit une réponse valide et que le logiciel malveillant ne s'exécute pas dans un environnement sandbox, il servira un script dans lequel le domaine et l'URL suivants auront été obscurcis, script qui téléchargera ensuite AsyncRAT.
Infrastructure réseau
Le code utilisé dans cette campagne évolue constamment et est fortement obscurci, ce qui peut compliquer sa détection. En ce qui concerne l'infrastructure réseau, les échantillons observés ont accédé à toute une série de domaines, la liste étant mise à jour fréquemment.
Même si les noms de domaine changeaient souvent, ils présentaient néanmoins des caractéristiques communes, telles qu'un TLD « .top » et huit caractères alphanumériques choisis au hasard. Parmi les autres caractéristiques communes, on peut citer le fait que le registraire soit Nicenic[.]net, Inc, que le code pays soit celui de l'Afrique du Sud et que les noms de domaine aient toujours été créés quelques jours seulement avant leur utilisation.
Un script a permis aux chercheurs de découvrir un nouvel ensemble de domaines qui, contrairement à l'échantillon observé précédemment, ne comportait pas de domaine codé en dur sous la couche d'obfuscation. Au contraire, ces échantillons comportaient un script permettant de calculer le nom de domaine en fonction de la date du jour, ce qui leur permettait de modifier automatiquement le nom de domaine « C2 » au fil du temps.
L'algorithme de génération de domaines (DGA) a généré une valeur de départ à partir du jour de l'année et y a apporté quelques modifications afin de garantir la création d'un nouveau domaine tous les sept jours. Cette valeur de départ sert ensuite à sélectionner 15 lettres, de « a » à « n », afin de générer le nom de domaine. Ces modèles permettent aux chercheurs d'identifier des échantillons historiques, mais aussi de mettre au point des systèmes de détection afin d'identifier les infrastructures futures.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne illustre parfaitement à quel point les auteurs de menaces peuvent se montrer déterminés, et à quel point il leur est facile de passer inaperçus.
Dans de nombreux cas, les développeurs programment le logiciel malveillant pour qu’il s’arrête complètement et se ferme s’il détecte qu’il se trouve dans un bac à sable, afin d’empêcher toute analyse ultérieure. Il est intéressant de noter que le développeur de cette campagne a consacré davantage de temps et d’efforts à la création d’un RAT leurre, conçu essentiellement pour faire perdre du temps à l’analyste avant que celui-ci ne se rende compte qu’on ne lui avait pas fourni le véritable logiciel malveillant.
Il s'agit là d'un cas intéressant où un créateur de logiciel malveillant a consacré du temps supplémentaire à une fonctionnalité qui ne rend pas le logiciel plus discret ni plus complexe, mais qui vise simplement à agacer les analystes.
2. Water Curupira diffuse le logiciel malveillant de type « loader » PikaBot
Un acteur malveillant connu sous le nom de « Water Curupira » diffuse activement le logiciel malveillant « PikaBot Loader » ( ) (s'ouvre dans un nouvel onglet) par le biais de campagnes de spam.
Cet acteur mène généralement des campagnes visant à implanter des portes dérobées, ce qui débouche souvent sur des attaques par ransomware (principalement Black Basta).
Le chargeur PikaBot de l' , (s'ouvre dans un nouvel onglet) , présente bon nombre des mêmes comportements que le tristement célèbre QBot de , et sa montée en popularité semble coïncider avec le démantèlement de QBot.
Accès initial
L'attaque commence par un e-mail malveillant transmis par le biais d'un détournement de fil de discussion. L'e-mail contient une pièce jointe qui est soit un fichier ZIP d'archivage protégé par un mot de passe contenant un fichier IMG, soit un fichier PDF. Si nécessaire, l'acteur indiquera le mot de passe du fichier dans l'e-mail.
Première étape
La pièce jointe à l'e-mail contient un code JavaScript fortement obscurci, dont la taille dépasse 100 Ko. Une fois exécuté, le script commencera à lancer une série de commandes. Le script tente de s'exécuter via cmd. Si cette opération échoue, le programme affichera une chaîne de caractères prédéfinie sur la console et tentera d'effectuer un ping vers une cible spécifiée en utilisant cette même chaîne. Si cela échoue, il utilisera Curl.exe pour télécharger la charge utile de PikaBot depuis un serveur externe.
Une autre chaîne d'attaque a également été observée, dans laquelle l'auteur de la menace n'a pas utilisé de script malveillant, mais s'est plutôt servi d'un fichier IMG issu de la pièce jointe au format PDF de l'e-mail, qui contenait deux fichiers supplémentaires. Ces fichiers supplémentaires constituaient la charge utile de PikaBot. Cette dernière approche a vu le jour vers la fin de l'année 2023.
Charge utile du PikaBot
Trend Micro a analysé un fichier DLL extrait de l'archive lors de la première étape et a constaté qu'il s'agissait d'un échantillon de fichier DLL 32 bits comportant 1515 exportations. La DLL finit par déchiffrer et exécuter un shellcode, qui déchiffrera à son tour un autre fichier DLL. Ce fichier DLL est chargé en mémoire et finit par être exécuté. Le fichier DLL déchiffré exécute une routine anti-analyse qui charge des bibliothèques erronées et d'autres éléments non pertinents afin de détecter les environnements de test (sandboxes).
Après avoir effectué une anti-analyse, le logiciel malveillant chargera un ensemble d'images PNG contenant une partie chiffrée du module central. Une fois ces fichiers déchiffrés, l'injecteur PikaBot crée un processus suspendu et y injecte le module principal, tout en utilisant des appels système indirects pour dissimuler cette injection.
PikaBot utilise deux fonctions pour obtenir les adresses des trois API nécessaires. Il s'agit notamment de GetProcAddress, LoadLibraryA et HeapFree. Le module principal vérifiera la langue du système et interrompra l'exécution s'il s'avère que la langue est le russe ou l'ukrainien.
Après s'être assuré qu'une seule instance de lui-même est actuellement en cours d'exécution, il recueillera des informations sur le système afin de les transmettre au C2. Le logiciel malveillant créera un canal nommé et l'utilisera pour stocker temporairement les informations supplémentaires qu'il recueille. Une fois que le logiciel malveillant aura recueilli toutes les informations qu'il juge nécessaires, il les enverra à une adresse IP à laquelle est ajoutée une URL spécifique.
Impact
Water Curupira mène souvent des campagnes qui aboutissent à l'installation du ransomware Black Basta. C'est ce qui rend les campagnes PikaBot si dangereuses.
Trend Micro a identifié plusieurs groupes distincts de balises « » de Cobalt Strike, comprenant plus de 70 C2 domaines menant vers , Black Basta , et qui auraient pu être déployés dans le cadre de campagnes menées par cet acteur malveillant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les infections par PikaBot entraînent généralement le déploiement du ransomware Black Basta. Par conséquent, PikaBot ne doit pas être pris à la légère.
Par ailleurs, de nombreux chercheurs ont mis en évidence des recoupements et des liens potentiels entre PikaBot et QBot. Le fait que QBot ait été mis hors service à peu près au moment où PikaBot a gagné en popularité est pour le moins étrange.
Même si nous ne savons pas avec certitude si PikaBot est le nouveau QBot, ses liens potentiels avec le ransomware Black Basta et sa nature sophistiquée en plusieurs étapes en font une menace dont il faut se méfier.
3. Des pirates informatiques turcs exploitent des serveurs MS SQL à l'échelle mondiale
Une campagne à motivation financière, désormais désignée sous les noms de code « », « », « RE#TURGENCE », «» et « », cible les serveurs Microsoft SQL non sécurisés à travers le monde en recourant à des attaques par force brute afin d'obtenir un accès initial. La campagne peut se terminer de deux façons : soit en vendant l'accès obtenu, soit en déployant un rançongiciel.
L'acteur malveillant commence par s'introduire par force brute dans un serveur MS SQL mal sécurisé, en utilisant la procédure qui permet d'exécuter des commandes au niveau du système d'exploitation depuis SQL Server afin d'exécuter des commandes sur l'hôte. Après avoir exécuté du code, ils ont commencé à lancer des commandes supplémentaires à partir du processus sqlservr.exe.
- La première commande lance le fichier exécutable, ce qui entraîne le téléchargement d'un fichier, 189jt, depuis le serveur distant de l'attaquant, puis exécute le code qu'il contient à l'aide d'une expression d'appel PowerShell de type « ». Le script PowerShell va télécharger et exécuter la prochaine étape de l'attaque.
- Le script PowerShell suivant contient une charge utile Cobalt Strike obscurcie qui se charge dans le processus en cours d'exécution. L'obfuscation porte principalement sur les importations de DLL et sur la charge utile de Cobalt Strike, qui s'est avérée contenir des centaines de lignes composées de variables et de blocs de commentaires superflus. Le Cobalt Strike Beacon a été configuré pour s'injecter dans le processus natif de Windows, SndVol.exe. L'acteur malveillant a ensuite téléchargé les fichiers binaires d'AnyDesk à partir d'un partage réseau monté.
Accès aux identifiants
On a constaté que l'auteur de la menace téléchargeait Mimikatz sur le système à l'aide d'AnyDesk, ainsi qu'un autre script batch servant à automatiser certaines commandes de Mimikatz.
Le script a pour rôle d'exécuter plusieurs fonctions. Il utilise tout d'abord une modification connue du registre pour activer l'affichage des identifiants en clair. Il effectue ensuite quelques vérifications avant d'exécuter Mimikatz à partir du sous-répertoire approprié. Les résultats de l'extraction Mimikatz sont enregistrés dans un fichier nommé Mimikatz_dump.txt.
Découverte et déplacement latéral
Après avoir utilisé Mimikatz, l'auteur de la menace s'est tourné vers des activités de reconnaissance. Ils ont utilisé AnyDesk pour télécharger l'utilitaire Advanced Port Scanner. Cet utilitaire a été utilisé pour vérifier les partages distants d'un contrôleur de domaine, obtenir le nom d'hôte d'une machine virtuelle Hyper-V, tester et exécuter psexec.exe sur un contrôleur de domaine, tester et utiliser RDP, et bien plus encore. Quelques jours plus tard, l'auteur de la menace a réussi à se déplacer latéralement vers deux autres machines du réseau. L'auteur de la menace a utilisé psexec pour ouvrir une nouvelle session sur un contrôleur de domaine à l'aide d'un mot de passe extrait du dump Mimikatz. Grâce à ce compte, ils ont pu étendre leur utilisation à d'autres machines.
Impact
Après s'être introduit sur plusieurs autres machines, l'auteur de la menace a utilisé AnyDesk pour télécharger une charge utile de rançongiciel sous le nom de red25.exe. La charge utile est une archive auto-extractible qui extrait et exécute la charge utile finale du ransomware. Le ransomware utilisé dans le cadre de cette campagne est Mimic. Le ransomware Mimic utilise des applications légitimes pour rechercher et localiser les fichiers à chiffrer.
Une fois le processus de chiffrement terminé, le rançongiciel affiche un message d'avertissement concernant le chiffrement et le paiement à l'attention de la victime. Le ransomware a finalement été exécuté manuellement par les auteurs de la menace, d'abord sur le serveur MS SQL, puis sur un contrôleur de domaine, et enfin sur d'autres hôtes membres du domaine.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La pratique consistant à cibler des serveurs MS SQL mal sécurisés ne semble pas près de disparaître, principalement parce qu'elle continue d'être lucrative pour les acteurs malveillants.
Cela dit, cet acteur malveillant s'appuie largement sur l'utilisation d'AnyDesk à plusieurs étapes de l'attaque. Cela souligne à quel point il est de plus en plus courant que les auteurs de menaces détournent des outils légitimes dans le cadre de leurs opérations, et donc à quel point il est important que les défenseurs exercent une surveillance.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos derniers résumés d' sur les cybermenaces.
