Dans le résumé de cette semaine, CTI enquête sur un rapport Mandiant révélant une augmentation des attaques délivrant des logiciels malveillants via des clés USB au cours du premier semestre 2023 , y compris deux nouvelles campagnes. Ensuite, la CTI examine un rapport prédisant que l’activité des rançongiciels est sur la bonne voie pour battre les records précédents cette année, les chercheurs observant une augmentation globale du nombre de paiements de rançon réussis. Enfin, CTI enquête sur une souche de ransomware appelée Big Head.
1. Les attaques de logiciels malveillants sur clé USB augmentent au premier semestre de 2023
Selon Mandiant, il y a eu une multiplication par trois du nombre d’attaques délivrant des logiciels malveillants via des clés USB au cours du premier semestre 2023.
Le rapport de Mandiant met également en évidence deux nouvelles campagnes de logiciels malveillants fournies par USB qui ont contribué à la pointe, notamment les logiciels malveillants SOGU et SNOWYDRIVE.
Le SOGU se propage via USB
Mandiant a d’abord découvert cette campagne en recherchant des événements d’écriture de fichiers suspects dans des répertoires que les acteurs malveillants utilisent généralement pour stocker des logiciels malveillants, des outils et des utilitaires.
Les chercheurs notent que la campagne SOGU est « l’attaque de cyberespionnage basée sur USB la plus répandue à l’aide de clés USB et l’une des campagnes de cyberespionnage les plus agressives ciblant à la fois les organisations du secteur public et privé à l’échelle mondiale dans tous les secteurs verticaux du secteur ».
Cette campagne utilise des clés USB pour charger des logiciels malveillants SOGU et voler des informations sur l’appareil victime. Mandiant attribue cette campagne à TEMP.hex, un acteur d’espionnage lié à la Chine, et estime que la campagne a été menée pour recueillir des informations en faveur de la sécurité nationale/des intérêts chinois.
Selon une étude de Mandiant, ces attaques présentent un risque pour un large éventail de secteurs en Europe, en Asie et aux États-Unis.
- Infection initiale : le vecteur d’infection initial est une clé USB infectée. Cette clé USB contient plusieurs logiciels malveillants conçus pour charger une charge utile malveillante en mémoire via le détournement de DLL.
- Fondement établi : la chaîne d’infection se compose généralement de trois fichiers, y compris un exécutable légitime, un chargeur DLL malveillant et une charge utile cryptée.
Lorsque l’exécutable légitime s’exécute, il chargera latéralement un fichier DLL malveillant, connu sous le nom de KORPLUG. Le malware KORPLUG charge ensuite un shellcode décrypté et l’exécute en mémoire. Ce shellcode est une porte dérobée écrite en C et s’appelle SOGU.
- Reconnaissance et stockage des données : un fichier batch est déposé dans le bain de fichiers recycle.bin qui exécutera des commandes de reconnaissance d’hôte et sortira les résultats vers un fichier nommé c3lzLmluZm8.
Le logiciel malveillant recherchera les fichiers avec certaines extensions sur le lecteur C et chiffrera une copie de chaque fichier, en codant l’original avant de déposer les fichiers cryptés dans les répertoires suivants :
C :\Users\\AppData\Roaming\Intel\\
:\RECYCLER.BIN\\
- Persistance : le logiciel malveillant crée un répertoire se masquant comme un programme légitime et définit l’attribut du répertoire sur masqué. Il copiera ensuite ses composants principaux dans ce répertoire nouvellement créé.
En outre, le logiciel malveillant créera une clé de registre Exécuter avec le même nom que le répertoire qu’il a créé précédemment. Dans certaines variantes SOGU, une tâche planifiée supplémentaire a été créée pour exécuter le logiciel malveillant toutes les 10 minutes pour la persistance.
- Exfiltration : le logiciel malveillant exfiltrera toutes les données qui ont été mises en scène pendant la dernière étape de l’attaque. Le logiciel malveillant peut inclure HTTP, HTTPS, un protocole binaire personnalisé sur TCP ou UDP, et ICMP pour communiquer avec son serveur de commande et de contrôle (C2).
Il prend également en charge un large éventail de commandes, notamment le transfert de fichiers, l’exécution de fichiers, le bureau distant, la capture d’écran, l’interface inversée et l’enregistrement de clés. Enfin, ce logiciel malveillant est également capable de se copier sur de nouveaux appareils amovibles connectés à un appareil infecté, ce qui lui permet de collecter potentiellement des données à partir de systèmes isolés.
L’infection par un logiciel malveillant SNOWYDRIVE via USB cible les organisations pétrolières et gazières en Asie
Cette campagne utilise également des clés USB pour fournir le logiciel malveillant SNOWYDRIVE. Une fois le logiciel malveillant chargé, il crée une porte dérobée sur le système et donne à l’acteur malveillant l’accès pour émettre à distance des commandes système.
Il peut également se propager à d’autres USB et se propager via le réseau. Mandiant a attribué cette campagne à UNC4698, un acteur malveillant qui a précédemment ciblé l’industrie pétrolière et gazière asiatique.
Cet acteur malveillant exécutera des charges utiles via l’invite de commande Windows, utilisera des appareils multimédias amovibles, créera des répertoires de préproduction locaux et modifiera le registre Windows.
- Infection initiale : encore une fois, le vecteur d’infection initial pour cette campagne est un appareil USB infecté. Dans ce cas, le logiciel malveillant incite la victime à cliquer sur un fichier malveillant se faisant passer pour un exécutable légitime. Lorsque la victime clique sur ce fichier, elle déclenche une chaîne d’extensions malveillantes.
- Établir une présence : l’infection commence par un exécutable qui sert de compte-gouttes. Ce compte-gouttes est responsable de l’écriture des fichiers malveillants sur le disque, puis de leur lancement.
Les fichiers cryptés contiennent des exécutables et des DLL qui sont extraits et écrits dans le répertoire C[ :]\Users\Public\SymantecsThorvices\Bin. Les fichiers peuvent être divisés en quatre composants clés qui consistent chacun en un exécutable légitime et une DLL malveillante.
- Commande et contrôle : le backdoor basé sur shellcode, SNOWYDRIVE, générera un identifiant unique basé sur le nom du système, le nom d’utilisateur et le numéro de série du volume. Cela sert d’ID unique lors de la communication avec son serveur C2 , qui est généralement trouvé en dur dans le shellcode.
- Persistance : la campagne utilise la valeur de registre suivante pour la persistance :
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- Mouvement latéral : le logiciel malveillant se copie ensuite sur des disques amovibles qui sont ensuite branchés sur l’appareil infecté. Il créera le dossier « \Kaspersky\Usb Drive\3,0” sur le lecteur amovible et copiera les fichiers cryptés qui contiennent les composants malveillants.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le récent pic de logiciels malveillants fournis par USB nous rappelle que, bien que ces attaques nécessitent un accès physique à l’appareil, elles présentent clairement des avantages qui les rendent pertinents dans le paysage actuel. »
« Les recherches de Mandiant sur ces campagnes ont révélé que les magasins d’impression et les hôtels locaux semblent servir de points sensibles pour les infections par des logiciels malveillants USB, ce qui indique que ces attaques sont toujours de nature plutôt opportuniste. »
2. Hausse des paiements par rançongiciel en 2023
Selon un rapport récent de la société d’analyse de la blockchain Chainalysis, l’activité des rançongiciels est sur la bonne voie pour battre les records précédents, les chercheurs observant une augmentation globale du nombre de paiements de rançon réussis, petits et grands.
Les rançongiciels se démarquent
Le rapport révèle que les ransomwares sont la seule catégorie de criminalité liée aux crypto-monnaies à voir une augmentation cette année, tous les autres enregistrant une forte baisse, y compris les piratages, les escroqueries, les logiciels malveillants, les ventes de matériel d’abus, les boutiques de fraude et les revenus du marché darknet.
À partir d’un article BleepingComputer sur le sujet :
« Le ransomware est la forme unique de crime basé sur les cryptomonnaies qui est en hausse jusqu’à présent en 2023 », lit le rapport Chainalysis. « En fait, les attaquants par ransomware sont en bonne voie pour leur deuxième plus grande année, ayant extorqué au moins 449,1 millions USD jusqu’en juin. »
De plus, le chiffre d’affaires annuel cumulé des rançongiciels pour 2023 a atteint 90 % du chiffre total des 2022 au cours du premier semestre de l’année.
Outlook
Le rapport affirme que si le rythme actuel de croissance des revenus se poursuit, les acteurs de rançongiciel gagneront un peu moins de 900 millions USD auprès des victimes en 2023, juste en dessous du chiffre record de 2021 de 940 millions USD.
Les chercheurs de Chainalysis affirment que la force motrice de cette forte augmentation des revenus est la « chasse au gros jeu », les gangs d’extorsionnistes et les familles de ransomware ciblant activement les grandes organisations de grande valeur qui peuvent payer des sommes d’argent record.
Leaders du pack
Selon Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat et Cl0p figurent en tête de la liste des principaux destinataires des paiements de grande somme, Cl0p présentant une taille de paiement moyenne de 1,7 millions USD et un chiffre de paiement médian de 1,9 millions USD.
En particulier, Cl0p est responsable de deux vagues massives d’attaques exploitant deux vulnérabilités zero-day découvertes dans les outils de transfert de fichiers : GoAnywhere de Fortra au premier trimestre de l’année, et MOVEit Transfer de Progress au second trimestre.
Depuis BleepingComputer :
En fait, la campagne GoAnywhere de Clop, qui impliquait 129 attaques, a connu mars 2023 un mois record, comme indiqué par le groupe NCC à l’époque. La vague d’attaque MOVEit est déjà plus importante, comptant 296 victims jusqu’à présent, avec plus de divulgations sur le site d’extorsion de Clop chaque semaine.
De plus, comme l’explique Chainalysis, « la tendance de croissance pour H1 2023 peut également être observée à l’autre extrémité du spectre, de petits paiements de ransomware étant effectués pour des opérations opportunistes de ransomware en tant que service (RaaS) « spray-and-pray » telles que Dharma, Phobos et STOP/DJVU, qui font du chantage aux victimes pour quelques centaines de dollars américains. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il est probable que la diminution annuelle du nombre d’organisations prêtes à céder à l’extorsion soit devenue un facteur contributif chez les cybercriminels qui retournent à la chasse au gros jeu, ainsi que chez les acteurs malveillants qui augmentent leurs demandes de rançon. »
« Cette dernière est probablement une tentative stratégique de la part de groupes d’extorsionnistes et de familles de ransomwares pour compenser la hausse des pertes monétaires des entreprises qui refusent de payer. »
3. Le ransomware Big Head affiche une fausse alerte de mise à jour Windows
Trend Micro a récemment disséqué une souche de ransomware connue sous le nom de Big Head. Le rançongiciel se propagerait via une mauvaise publicité qui promeut de fausses mises à jour Windows et des programmes d’installation Microsoft Word.
Le premier échantillon
Le premier échantillon de Big Head comprenait un fichier binaire compilé par .NET. Le binaire vérifie le nom mutex “8bikfjjD4JpkkAqrz” à l’aide de CreateMutex, et se terminera s’il est trouvé.
L’échantillon comportait également une liste de configurations contenant des détails liés à son processus d’installation. Il a spécifié diverses actions, notamment la création d’une clé de registre, la vérification de l’existence de certains fichiers et leur écrasement si nécessaire, la définition des attributs du fichier système et la création d’une entrée de registre d’exécution automatique.
Les chercheurs ont noté l’existence de trois ressources, dont 1.exe, archive.exe et Xarch.exe. 1.exe déposera une copie de lui-même pour la propagation. Archive.exe supprimera un robot Telegram chargé d’établir la communication avec l’ID du chatbot de l’acteur malveillant. Et Xarch.exe déposera un ransomware qui chiffrera les fichiers et affichera une fausse mise à jour Windows à la victime.
Binaires
- 1.exe : ce fichier masquera la fenêtre de la console et créera une clé de registre d’exécution automatique afin qu’elle s’exécute automatiquement au démarrage. Il fera également une copie de lui-même, qu’il enregistrera en tant que discord.exe dans le dossier < %localappdata %>.
Le ransomware Big Head vérifiera ensuite l’ID de la victime. S’il existe, il lira le contenu, sinon, il créera une chaîne de 40 caractères générée de manière aléatoire et l’écrira dans un fichier en tant que type de marqueur d’infection pour identifier ses victimes.
Des chercheurs ont également observé le ransomware supprimer ses copies fantômes et sauvegardes avant de déposer la note de rançon sur le bureau, les sous-répertoires et le dossier %appdata %. Le ransomware Big Head modifiera également le fond d’écran de la machine. Enfin, le ransomware exécutera une commande pour ouvrir un navigateur et accéder au télégramme du développeur de logiciels malveillants.
- Teleratserver.exe : il s’agit d’un binaire compilé par Python 64 bits qui sert de canal de communication entre l’acteur malveillant et la victime via Telegram. Il peut accepter les commandes « démarrer », « aider », « capture d’écran » et « message ».
- BXluSsB.exe : ce logiciel malveillant affiche la fausse interface utilisateur Windows Update pour inciter la victime à croire que l’activité fait partie d’un processus légitime de mise à jour logicielle.
Le logiciel malveillant se terminera lui-même si la langue du système de l’utilisateur correspond aux codes de pays russe, biélorusse, ukrainien, kazakh, kirghize, arménien, géorgien, tatar et ouzbek. Il désactivera également le gestionnaire de tâches pour empêcher la victime de mettre fin au processus. Le logiciel malveillant dépose ensuite une copie de lui-même dans un dossier masqué qu’il crée et configure une entrée dans la clé de registre RunOnce.
Le logiciel malveillant évitera de chiffrer les fichiers dans les répertoires qui contiennent une liste spécifiée de sous-chaînes et chiffrera uniquement les fichiers avec certaines extensions. Le logiciel malveillant mettra également fin à une liste spécifiée de processus.
Échantillon deux
Le second échantillon de Big Head montre à la fois des comportements de ransomware et de voleur. Le fichier principal supprime et exécute trois fichiers : runyes.crypter.bat, azz1.exe et server.exe.
Les activités de rançongiciel sont effectuées par runyes.cryper.batt et azz1.exe, tandis que server.exe est responsable de la collecte d’informations pour le vol. Comme le premier échantillon, cet échantillon modifiera le fond d’écran du bureau de la victime.
Échantillon trois
Cet échantillon inclut un infecteur de fichiers que Trend Micro a identifié comme Neshta dans sa chaîne. Neshta est conçu pour infecter et insérer son code malveillant dans des fichiers exécutables.
L’intégration de Neshta dans le déploiement des rançongiciels peut également servir de technique de camouflage pour la charge utile finale des rançongiciels, et potentiellement empêcher les analystes de détecter la véritable menace qu’est le rançongiciel.
À propos de l’acteur malveillant
La note de rançon indique que le développeur de logiciels malveillants utilise l’e-mail et Telegram pour communiquer avec les victimes.
Après avoir examiné le nom d’utilisateur Telegram, les chercheurs ont pu trouver un compte YouTube associé. Le compte est relativement nouveau, a rejoint en avril de cette année, et a un total de 12 vidéos publiées. Les vidéos présentent des démonstrations de l’élément malveillant Trend Micro observé.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que Big Head ne soit pas une souche de ransomware très sophistiquée, les multiples variantes dans la nature indiquent que ses créateurs travaillent activement pour la développer et l’affiner. »
« Trend Micro a examiné l’historique du portefeuille Bitcoin associé et a trouvé des transactions datant de 2022. Il n’y a actuellement pas de détails supplémentaires sur ces transactions ou sur les attaques associées. Cependant, cela implique que cet acteur malveillant peut avoir une certaine expérience antérieure. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
