Dans le tour d'horizon de cette semaine, CTI se penche sur un rapport de Mandiant révélant une recrudescence des attaques visant à diffuser des logiciels malveillants via des clés USB au cours du premier semestre de 2023 — dont deux nouvelles campagnes. CTI se penche ensuite sur un rapport prévoyant que l'activité des ransomwares est en passe de battre les records précédents cette année, les chercheurs ayant constaté une augmentation générale du nombre de paiements de rançons effectués. Enfin, le CTI mène une enquête sur une variante de ransomware connue sous le nom de « Big Head ».
1. Les attaques de logiciels malveillants via des clés USB ont connu une forte hausse au cours du premier semestre de 2023
Selon Mandiant, le nombre d'attaques visant à diffuser des logiciels malveillants via des clés USB a triplé au cours du premier semestre de 2023.
Le rapport de Mandiant met également en évidence deux nouvelles campagnes de logiciels malveillants diffusés via des clés USB qui ont contribué à cette forte hausse, notamment les logiciels malveillants SOGU et SNOWYDRIVE.
SOGU se propage via USB
Mandiant a découvert cette campagne pour la première fois alors qu’elle recherchait des événements suspects d’écriture de fichiers dans des répertoires que les auteurs de menaces utilisent couramment pour stocker des logiciels malveillants, des outils et des utilitaires.
Les chercheurs soulignent que la campagne SOGU constitue « l'attaque de cyberespionnage par clé USB la plus répandue, utilisant des clés USB, et l'une des campagnes de cyberespionnage les plus agressives visant à la fois des organisations des secteurs public et privé à l'échelle mondiale, tous secteurs d'activité confondus ».
Cette campagne utilise des clés USB pour installer le logiciel malveillant SOGU et voler des informations sur l'appareil de la victime. Mandiant attribue cette campagne à TEMP.hex, un acteur d'espionnage lié à la Chine, et estime que cette campagne a été menée dans le but de recueillir des informations au service de la sécurité nationale et des intérêts de la Chine.
D'après les recherches menées par Mandiant, ces attaques constituent une menace pour un large éventail de secteurs d'activité en Europe, en Asie et aux États-Unis.
- Infection initiale : Le vecteur d'infection initial est une clé USB infectée. Cette clé USB contient plusieurs logiciels malveillants conçus pour charger une charge utile malveillante en mémoire par le biais d'un détournement de DLL.
- Point d'ancrage établi : La chaîne d'infection se compose généralement de trois fichiers : un exécutable légitime, un chargeur DLL malveillant et une charge utile chiffrée.
Lorsque le fichier exécutable légitime s'exécute, il charge de manière non standard un fichier DLL malveillant, connu sous le nom de KORPLUG. Le logiciel malveillant KORPLUG charge ensuite un shellcode déchiffré et l'exécute en mémoire. Ce shellcode est une porte dérobée écrite en C et s'appelle SOGU.
- Reconnaissance et préparation des données : Un fichier batch est placé dans le dossier « recycle.bin » ; il exécute des commandes de reconnaissance de l'hôte et enregistre les résultats dans un fichier nommé « c3lzLmluZm8 ».
Le logiciel malveillant recherchera sur le lecteur C les fichiers portant certaines extensions et chiffrera une copie de chaque fichier, en modifiant le fichier d'origine avant de placer les fichiers chiffrés dans les répertoires suivants :
C:\Utilisateurs\\AppData\Roaming\Intel\\
:\RECYCLER.BIN\\
- Persistance : Le logiciel malveillant crée un répertoire se faisant passer pour un programme légitime et définit l'attribut de ce répertoire sur « caché ». Il copiera ensuite ses principaux composants dans ce répertoire nouvellement créé.
De plus, le logiciel malveillant créera une clé de registre « Run » portant le même nom que le répertoire qu'il a créé précédemment. Dans certaines variantes de SOGU, une tâche planifiée supplémentaire a été créée afin d'exécuter le logiciel malveillant toutes les 10 minutes, dans un but de persistance.
- Exfiltration : Le logiciel malveillant exfiltrera toutes les données qui ont été mises de côté au cours de la dernière phase de l'attaque. Le logiciel malveillant peut utiliser les protocoles HTTP, HTTPS, un protocole binaire personnalisé sur TCP ou UDP, ainsi que le protocole ICMP pour communiquer avec son serveur de commande et de contrôle (C2).
Il prend également en charge un large éventail de commandes, notamment le transfert de fichiers, l'exécution de fichiers, le bureau à distance, la capture d'écran, le shell inversé et l'enregistrement des frappes clavier. Enfin, ce logiciel malveillant est également capable de se copier sur de nouveaux périphériques amovibles branchés sur un appareil infecté, ce qui lui permet potentiellement de collecter des données provenant de systèmes isolés physiquement.
Une infection par le logiciel malveillant SNOWYDRIVE via une clé USB cible les entreprises du secteur pétrolier et gazier en Asie
Cette campagne utilise également des clés USB pour diffuser le logiciel malveillant SNOWYDRIVE. Une fois le logiciel malveillant chargé, il crée une porte dérobée sur le système et permet à l'auteur de la menace d'exécuter à distance des commandes système.
Il peut également se propager à d'autres clés USB et se répandre via le réseau. Mandiant a attribué cette campagne à « UNC4698 », un acteur malveillant qui avait déjà pris pour cible le secteur pétrolier et gazier asiatique.
Cet acteur malveillant exécutera des charges utiles via l'invite de commande Windows, utilisera des supports amovibles, créera des répertoires de transit locaux et modifiera le registre Windows.
- Infection initiale : Une fois encore, le vecteur d'infection initial de cette campagne est une clé USB infectée. Dans ce cas, le logiciel malveillant incite la victime à cliquer sur un fichier malveillant se faisant passer pour un fichier exécutable légitime. Lorsque la victime clique sur ce fichier, cela déclenche une série d'extensions malveillantes.
- Prise de pied : L'infection commence par un fichier exécutable qui sert de « dropper ». Ce « dropper » est chargé d'enregistrer des fichiers malveillants sur le disque, puis de les exécuter.
Les fichiers chiffrés contiennent des fichiers exécutables et des DLL qui sont extraits et enregistrés dans le répertoire C[:]\Users\Public\SymantecsThorvices\Bin. Ces fichiers peuvent être classés en quatre composantes principales, chacune se composant d'un exécutable légitime et d'une DLL malveillante.
- Commande et contrôle : La porte dérobée de type « shellcode », SNOWYDRIVE, génère un identifiant unique à partir du nom du système, du nom d'utilisateur et du numéro de série du volume. Ce code sert d'identifiant unique lors de la communication avec son serveur C2 ; il est généralement codé en dur dans le shellcode.
- Persistance : La campagne utilise la valeur de registre suivante pour assurer sa persistance :
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- Mouvement latéral : Le logiciel malveillant se copie ensuite sur les supports amovibles qui sont ensuite branchés sur l'appareil infecté. Il créera le dossier « \Kaspersky\Usb Drive\3,0” » sur le support amovible et y copiera les fichiers chiffrés contenant les composants malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La récente recrudescence des logiciels malveillants diffusés via des clés USB nous rappelle que, bien que ces attaques nécessitent un accès physique à l'appareil, elles présentent clairement des avantages qui leur permettent de rester d'actualité dans le contexte actuel. »
« Les recherches menées par Mandiant sur ces campagnes ont révélé que les imprimeries et les hôtels locaux semblent constituer des foyers d'infection par des logiciels malveillants diffusés via des clés USB, ce qui indique que ces attaques restent de nature plutôt opportuniste. »
2. Les paiements liés aux ransomwares connaissent une forte hausse en 2023
Selon un rapport récent de la société d'analyse de la blockchain Chainalysis, l'activité liée aux ransomwares est en passe de battre les records précédents, les chercheurs ayant constaté une augmentation générale du nombre de paiements de rançons effectués, qu'ils soient importants ou modestes.
Les ransomwares se démarquent
Le rapport révèle que les rançongiciels constituent la seule catégorie de crimes liés aux cryptomonnaies à connaître une hausse cette année, toutes les autres enregistrant une forte baisse — notamment les piratages, les escroqueries, les logiciels malveillants, la vente de contenus illicites, les boutiques frauduleuses et les recettes des marchés du darknet.
Extrait d'un article de BleepingComputer consacré à ce sujet :
« Les ransomwares constituent la forme de criminalité liée à la cryptomonnaie qui connaît la plus forte progression à ce jour en 2023 », indique le rapport de Chainalysis. « En effet, les auteurs d'attaques par ransomware sont en passe de réaliser leur deuxième meilleure année de tous les temps, puisqu'ils ont extorqué au moins 449,1 millions de dollars jusqu'au mois de juin. »
De plus, le chiffre d'affaires annuel cumulé généré par les ransomwares pour l'année 2023 a atteint 90 % du chiffre total de l'année 2022 au cours du premier semestre.
Perspectives
Selon ce rapport, si le rythme actuel de croissance des recettes se maintient, les auteurs de rançongiciels en tireront un peu moins de 900 millions de dollars auprès de leurs victimes en 2023, soit un chiffre légèrement inférieur au record de 940 millions de dollars enregistré en 2021.
Les chercheurs de Chainalysis affirment que le moteur de cette forte hausse du chiffre d'affaires est la « chasse aux gros poissons » : des groupes de cybercriminels spécialisés dans l'extorsion et des familles de ransomwares ciblent activement de grandes organisations de grande valeur, capables de verser des sommes d'argent record.
Les leaders du peloton
Selon Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat et Cl0p figurent en tête de la liste des principaux bénéficiaires de paiements de montants importants, le groupe Cl0p affichant un montant moyen de paiement de 1,7 millions de dollars et un montant médian de 1,9 millions de dollars.
Il convient notamment de noter que le groupe Cl0p est à l'origine de deux vagues massives d'attaques exploitant deux vulnérabilités « zero-day » découvertes dans des outils de transfert de fichiers : GoAnywhere de Fortra au premier trimestre de l'année, et MOVEit Transfer de Progress au deuxième trimestre.
Extrait de BleepingComputer :
En effet, la campagne « GoAnywhere » de Clop, qui a donné lieu à 129 attaques, a fait d’ mars 2023 un mois record, comme l’a rapporté le NCC Group à l’époque. La vague d'attaques MOVEit prend déjà de l'ampleur, avec 296 victims victimes recensées à ce jour, et de nouvelles victimes sont révélées chaque semaine sur le site d'extorsion de Clop.
Par ailleurs, comme l’explique Chainalysis, « la tendance à la hausse concernant le H1 2023 s’observe également à l’autre extrémité du spectre, avec de petits paiements de rançons versés à des opérations opportunistes de ransomware-as-a-service (RaaS) de type « spray-and-pray », telles que Dharma, Phobos et STOP/DJVU, qui font chanter leurs victimes pour quelques centaines de dollars américains. »
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il est probable que la baisse annuelle du nombre d'organisations disposées à céder au chantage ait contribué à inciter les cybercriminels à se tourner à nouveau vers les proies de grande envergure, ainsi qu'à pousser les auteurs de menaces à augmenter leurs demandes de rançon. »
« Cette dernière mesure constitue probablement une tentative stratégique de la part des groupes de racketteurs et des familles de ransomware visant à compenser l'augmentation des pertes financières subies par les entreprises qui refusent de payer. »
3. Le ransomware « Big Head » affiche une fausse alerte de mise à jour Windows
Trend Micro a récemment analysé en détail une variante de ransomware connue sous le nom de « Big Head ». Ce ransomware se propagerait, selon certaines informations, par le biais de publicités malveillantes faisant la promotion de fausses mises à jour de Windows et de faux programmes d'installation de Microsoft Word.
Le premier échantillon
Le premier échantillon de Big Head comprenait un fichier binaire compilé sous .NET. Le programme vérifie si le mutex portant le nom « “8bikfjjD4JpkkAqrz” » existe à l'aide de la fonction CreateMutex, et se termine s'il le trouve.
L'échantillon comportait également une liste de configurations contenant des informations relatives à son processus d'installation. Il précisait diverses actions, notamment la création d'une clé de registre, la vérification de l'existence de certains fichiers et leur remplacement si nécessaire, la définition des attributs des fichiers système, ainsi que la création d'une entrée de registre pour l'exécution automatique.
Les chercheurs ont constaté la présence de trois fichiers, à savoir 1.exe, archive.exe et Xarch.exe. Le fichier « 1.exe » créera une copie de lui-même afin de se propager. Archive.exe installe un bot Telegram chargé d'établir la communication avec l'identifiant du chatbot de l'acteur malveillant. De plus, Xarch.exe va installer un ransomware qui chiffrera les fichiers et affichera une fausse mise à jour Windows à la victime.
Fichiers binaires
- 1.exe : Ce fichier masquera la fenêtre de console et créera une clé de registre « autorun » afin qu'il s'exécute automatiquement au démarrage. Il créera également une copie de lui-même, qu'il enregistrera sous le nom discord.exe dans le dossier <%localappdata%>.
Le ransomware « Big Head » vérifiera ensuite l'identité de la victime. S'il existe, il en lira le contenu ; dans le cas contraire, il créera une chaîne de 40 caractères générée aléatoirement et l'enregistrera dans un fichier, servant de marqueur d'infection pour identifier ses victimes.
Les chercheurs ont également constaté que le rançongiciel supprimait ses copies fantômes et ses sauvegardes avant de déposer la note de rançon sur le bureau, dans les sous-répertoires et dans le dossier %appdata%. Le ransomware Big Head modifie également le fond d'écran de l'ordinateur. Enfin, le ransomware exécutera une commande pour ouvrir un navigateur et accéder au compte Telegram du développeur du logiciel malveillant.
- Teleratserver.exe : Il s'agit d'un fichier binaire 64 bits compilé en Python qui sert de canal de communication entre l'auteur de la menace et la victime via Telegram. Il prend en charge les commandes « start », « help », « screenshot » et « message ».
- BXluSsB.exe : Ce logiciel malveillant affiche une fausse interface utilisateur de Windows Update afin de faire croire à la victime que cette activité s'inscrit dans le cadre d'un processus légitime de mise à jour logicielle.
Le logiciel malveillant se désactivera automatiquement si la langue du système de l'utilisateur correspond aux codes de pays suivants : russe, biélorusse, ukrainien, kazakh, kirghize, arménien, géorgien, tatar et ouzbek. Cela désactivera également le Gestionnaire des tâches afin d'empêcher la victime de mettre fin au processus. Le logiciel malveillant place ensuite une copie de lui-même dans un dossier caché qu'il crée, puis ajoute une entrée dans la clé de registre « RunOnce ».
Le logiciel malveillant évitera de chiffrer les fichiers se trouvant dans des répertoires contenant une liste spécifiée de sous-chaînes et ne chiffrera que les fichiers portant certaines extensions. Le logiciel malveillant mettra également fin à une liste précise de processus.
Exemple n° 2
Le deuxième échantillon de Big Head présente à la fois des comportements de rançongiciel et de logiciel de vol de données. Le fichier principal dépose et exécute trois fichiers : runyes.crypter.bat, azz1.exe et server.exe.
Les activités liées au rançongiciel sont menées par les fichiers « runyes.cryper.batt » et « azz1.exe », tandis que le fichier « server.exe » est chargé de collecter les informations destinées à être volées. Tout comme le premier échantillon, celui-ci modifiera le fond d'écran de la victime.
Exemple n° 3
Cet échantillon contient un programme infectant les fichiers que Trend Micro a identifié comme étant « Neshta » au sein de sa chaîne. Neshta est conçu pour infecter des fichiers exécutables et y insérer son code malveillant.
L'intégration de Neshta dans le déploiement du rançongiciel peut également servir de technique de camouflage pour la charge utile finale du rançongiciel et, potentiellement, empêcher les analystes de détecter la véritable menace, à savoir le rançongiciel.
À propos de l'auteur de la menace
La demande de rançon indique que l'auteur du logiciel malveillant utilise les e-mails et Telegram pour communiquer avec ses victimes.
Après avoir examiné de près le nom d'utilisateur Telegram, les chercheurs ont pu identifier un compte YouTube associé. Ce compte est relativement récent, puisqu'il a été créé en avril de cette année, et compte au total 12 vidéos publiées. Ces vidéos présentent des démonstrations du logiciel malveillant repéré par Trend Micro.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien que Big Head ne soit pas une souche de ransomware très sophistiquée, les nombreuses variantes en circulation indiquent que ses créateurs s'emploient activement à la développer et à l'améliorer. »
« Trend Micro a examiné l'historique du portefeuille Bitcoin associé et a découvert des transactions remontant à 2022. » À l'heure actuelle, on ne dispose d'aucune autre information concernant la nature de ces transactions ni celle des attaques qui y sont associées. Cela laisse toutefois supposer que cet acteur malveillant pourrait avoir une certaine expérience. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
