Dans le rapport de cette semaine, le CTI examine un rapport de renseignement tactique concernant la découverte d'un sous-groupe du APT41, jusqu'alors inconnu, appelé « Earth Longzhi ». Vous trouverez ci-après un aperçu de la proposition du gouvernement australien visant à mettre en place, éventuellement, une interdiction des ransomwares et des paiements versés à des fins d'extorsion — en tenant compte des implications que cela pourrait avoir pour les cybercriminels, les professionnels de la sécurité, les forces de l'ordre, les assureurs spécialisés dans la cybercriminalité, et bien d'autres encore. Vous trouverez également un résumé de certaines évolutions récentes chez Twitter, ainsi que l'analyse des professionnels de la sécurité quant à l'impact que les changements à la tête de l'entreprise pourraient avoir sur le niveau de sécurité de cette plateforme de réseaux sociaux.
1. Earth Longzhi : un nouveau sous-groupe APT41 utilisant un chargeur Symatic Cobalt Strike personnalisé
Trend Micro (s'ouvre dans un nouvel onglet) a récemment révélé l'existence d'un sous-groupe jusqu'alors inconnu du groupe de pirates informatiques chinois soutenu par l'État « », APT41 (s'ouvre dans un nouvel onglet), baptisé « Earth Longzhi ». Ce sous-groupe est actif depuis 2020 et utilise des versions personnalisées des chargeurs Cobalt Strike pour implanter des portes dérobées persistantes sur les systèmes cibles.
Trend Micro a enquêté sur un incident survenu au début de l'année 2022 , au cours duquel une entreprise taïwanaise a été victime d'une intrusion. Le logiciel malveillant utilisé lors de cet incident était un chargeur Cobalt Strike personnalisé qui a permis aux chercheurs de mettre au jour d'autres incidents, dont le plus ancien remonte à 2020, au cours desquels un chargeur similaire avait été déployé. Trend Micro a baptisé ce groupe « Earth Longzhi » et a observé deux campagnes de grande envergure menées par ce groupe.
La première campagne de maliciels « Earth Longzhi »
La première campagne « Earth Longzhi » s'est déroulée entre le mai 2020 et le février 2021 et visait les secteurs de l'administration, des infrastructures, de l'enseignement supérieur et de la santé à Taïwan, ainsi que le secteur bancaire en Chine.
Cette campagne a utilisé des e-mails de phishing de type « spear-» comme principal vecteur d'intrusion pour diffuser son logiciel malveillant, et a eu recours à un chargeur Cobalt Strike personnalisé, le « Symatic loader », ainsi qu'à d'autres outils de piratage personnalisés.
Earth Longzhi met au point et utilise un outil de piratage tout-en-un pour ses activités post-exploitation. Cet outil « tout-en-un » regroupe tous les utilitaires nécessaires au sein d'un seul et même ensemble et comprend de nombreux utilitaires disponibles au grand public ou ayant été utilisés lors d'attaques antérieures. Cela permet à l'acteur malveillant d'effectuer plusieurs opérations à l'aide d'un seul fichier exécutable. Parmi ses fonctionnalités, on peut citer notamment le lancement d'un processus avec des privilèges plus élevés, la collecte d'informations sur les disques locaux ou distants, la modification de l'horodatage d'un fichier, la désactivation de la protection des fichiers Windows, etc.
La deuxième campagne
La deuxième campagne s'est déroulée du août 2021 au juin 2022 et visait des victimes de premier plan dans les secteurs de la défense, de l'aéronautique, de l'assurance et du développement urbain à Taïwan, en Chine, en Thaïlande, en Malaisie, en Indonésie, au Pakistan et en Ukraine.
Comme lors de la première campagne, celle-ci a principalement utilisé des e-mails de spear-phishing comme point d’entrée initial. Earth Longzhi a déployé, dans le cadre de cette campagne, différents types de chargeurs Cobalt Strike personnalisés, que Trend Micro a baptisés CroxLoader, BigpipeLoader, OutLoader et MultipipeLoader.
Trend Micro a également recueilli plusieurs outils de piratage au cours de son enquête sur cette deuxième campagne. Les outils recueillis étaient destinés à l'escalade de privilèges (PrintNightmare et PrintSpoofer), à l'extraction d'identifiants (Mimikatz) et au contournement des mesures de sécurité (désactivation des produits de sécurité). Plutôt que d'utiliser des outils publics, Earth Longzhi réimplémente ou développe ses propres outils en s'appuyant sur certains projets open source.
Attribution : Earth Longzhi
Trend Micro a attribué cette activité au sous-groupe APT41’s « Earth Longzhi » en se fondant sur les facteurs suivants :
- en matière de victimologie : les régions touchées et les secteurs ciblés sont des pays d’intérêt situés en Asie de l’Est et du Sud-Est, ce qui correspond à la victimologie d’un autre sous-groupe d’APT 41 , Earth Baku (s’ouvre dans un nouvel onglet).
- des métadonnées partagées de Cobalt Strike : Des chercheurs ont découvert que la plupart des charges utiles de Cobalt Strike partageaient le même filigrane et la même clé publique. Cette combinaison de filigrane et de clé publique est également utilisée par APT41 autres sous-groupes et indique que « Earth Longzhi » partage le même serveur de l'équipe Cobalt Strike que APT41 autres sous-groupes.
- Similitudes au niveau du code : Des chercheurs ont découvert que les algorithmes de déchiffrement utilisés dans Symatic Loader et CroxLoader sont très similaires à celui identifié chez le groupe , également connu sous le nom de GroupCC (s'ouvre dans un nouvel onglet), un autre sous-groupe du APT41 .
- des TTP qui se recoupent : Earth Longzhi a adopté le CDN Python Fastly utilisé par GroupCC afin de masquer l'adresse réelle du serveur de commande et de contrôle (C2). Les chercheurs estiment que cela constitue la preuve d'un lien entre ces deux sous-groupes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe “APT41 est d'une sophistication incroyable, et tout sous-groupe potentiel (tel que Earth Longzhi) devrait faire l'objet du même degré de prudence que celui généralement accordé à son organisation mère. Les deux campagnes « Earth Longzhi » observées par Trend Micro se sont étalées sur plusieurs mois — ce qui constitue une preuve supplémentaire du niveau de sophistication du groupe et de son engagement en matière de sécurité opérationnelle (OPSEC), puisque ces activités sont restées non attribuées pendant plus de deux ans. »
2. L'Australie envisage d'interdire le paiement des rançons aux auteurs de logiciels de rançon
L'Australie envisage actuellement d'interdire le paiement des rançons afin de s'attaquer à la dimension d'extorsion du modèle économique des cybercriminels.
Clare O’Neil, ministre de l’Intérieur et de la Cybersécurité, a confirmé que le gouvernement envisageait non seulement d’interdire le paiement des rançons, mais également de criminaliser les paiements versés à des fins d’extorsion, dans le cadre de sa stratégie globale en matière de cybersécurité.
Pourquoi l'Australie pourrait interdire le paiement des rançons
L'Australie a récemment connu de nombreux incidents de cybersécurité très médiatisés. L'une des fuites de données les plus marquantes est l'incident concernant Medibank, survenu au (s'ouvre dans un nouvel onglet), qui s'est produit au début de ce mois. Medibank, l'un des plus grands assureurs santé privés d'Australie, a récemment révélé que des pirates informatiques avaient réussi à accéder aux données personnelles de ses clients. L'organisation a déclaré qu'elle ne verserait pas de rançon aux auteurs de la cyberattaque, une décision qui aurait été prise sur la base des conseils reçus d'experts en cybercriminalité.
L'incident chez Medibank s'est produit quelques semaines seulement après que la deuxième plus grande entreprise de télécommunications d'Australie, Optus, , a été victime d'une cyberattaque (s'ouvre dans un nouvel onglet). Ces attaques ont finalement conduit le gouvernement australien à mener les réflexions actuelles concernant une éventuelle interdiction des paiements de rançon.
Quelles autres mesures l'Australie prend-elle ?
L'Australie a commencé à envisager d'interdire totalement le paiement de rançons à peine un jour après que le ministre eut annoncé la mise en place d'une nouvelle opération conjointe permanente entre la Police fédérale australienne (AFP) et la Direction australienne des transmissions (ASD) — respectivement les principales agences du pays chargées de l'application de la loi et du renseignement cybernétique et des transmissions — afin de lutter contre la cybercriminalité.
Cette nouvelle initiative vise à « démanteler les réseaux de cybercriminels, en mettant l’accent sur les groupes spécialisés dans les ransomwares », et permettra de « recueillir des renseignements et d’identifier les meneurs, les réseaux et les infrastructures afin de perturber et de mettre fin à leurs activités, où qu’ils se trouvent ».
Le plan de lutte contre les ransomwares de l'Australie sera-t-il efficace ?
L'interdiction du paiement des rançons est une question délicate, susceptible de susciter des réactions variées selon les personnes interrogées.
Une grande partie de l'argumentation en faveur d'une éventuelle interdiction du paiement des rançons repose sur le fait, maintes fois répété, que les victimes d'une attaque par rançongiciel sont contraintes de traiter avec des criminels. Cela soulève une question évidente : comment peut-on faire confiance à un criminel, en particulier lors d'une négociation ? Même si un cybercriminel peut prétendre que le paiement de la rançon garantit que les données exfiltrées ne seront pas divulguées et que tous les fichiers chiffrés seront restaurés, il n’y a tout simplement aucune garantie en fin de compte.
La seule certitude, c’est que le paiement de la rançon ne fait que récompenser l’auteur de la menace, en lui apportant un renforcement positif qui lui prouve que ses efforts sont efficaces et fructueux. De plus, le paiement de rançons pourrait faire des organisations victimes et de leurs secteurs d’activité respectifs des cibles encore plus prisées. Dès lors que les auteurs de ces attaques se rendent compte qu’une entreprise, un secteur ou un pays donné est prêt à payer une rançon, cette cible devient encore plus attrayante.
D'un autre côté, la criminalisation des paiements versés aux auteurs de rançongiciels pourrait avoir l'effet inverse de celui escompté. Comme le souligne *The Record*, cela pourrait « pousser la visibilité des attaques encore plus dans la clandestinité en contraignant les entreprises à passer sous silence les incidents afin d'échapper au contrôle des autorités de régulation ».
Le fait d'imposer le paiement de rançons dans la clandestinité masque ces crimes et rend l'intervention des forces de l'ordre encore plus difficile qu'elle ne l'est déjà.
Quelles en sont les conséquences pour les cybercriminels ?
Si l'Australie décidait effectivement d'interdire le paiement des rançons, les cybercriminels pourraient réagir de plusieurs façons.
D'une part, les cybercriminels pourraient ne plus considérer l'Australie comme une cible lucrative pour leurs opérations de rançongiciel. Pourquoi se donner tant de mal et déployer tant d'efforts pour mener des opérations de rançongiciel si le paiement de la rançon par la victime est illégal ? Qu'y a-t-il à y gagner ? Bien sûr, ce résultat repose entièrement sur l'hypothèse selon laquelle chaque organisation australienne s'engage à respecter la lettre de la loi, quel qu'en soit le coût en termes de temps d'arrêt, de pannes et d'atteinte à sa réputation.
Les cybercriminels pourraient également y voir un défi à relever. Après tout, les entreprises victimes d'un rançongiciel pourraient tenter de dissimuler le fait qu'elles ont versé une rançon si cette pratique venait à être érigée en infraction pénale. Si cela venait à se produire, un cybercriminel pourrait revenir exiger le paiement d’une rançon supplémentaire afin de garder le silence sur la première — une nouvelle forme de chantage que les auteurs de ransomware pourraient ajouter à leur arsenal d’extorsion.
Les cybercriminels peuvent également passer des logiciels de rançon à d'autres méthodes permettant de générer des revenus. On ignore encore si les cybercriminels décideront de réorienter leurs efforts vers d'autres pays plutôt que vers l'Australie, ou s'ils tireront parti de la possibilité d'obtenir des rançons supplémentaires.
Quelles sont les répercussions sur l'assurance cyber ?
Les garanties offertes par les assurances cyber varient d'une compagnie à l'autre en fonction des conditions du contrat, mais bon nombre d'entre elles peuvent couvrir le paiement des rançons ainsi que d'autres pertes financières liées aux cyberattaques. Les assureurs spécialisés dans la cybercriminalité et les assurés dans ce domaine devraient probablement revoir et modifier leurs contrats existants si le paiement de rançons venait à être érigé en infraction pénale.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L’intention de l’Australie d’interdire le paiement des rançons pourrait provoquer de sérieuses remous sur le marché des ransomwares. » « Après tout, l'interdiction du paiement des rançons ne mettra pas fin à la cybercriminalité et incitera probablement les auteurs de ces attaques à changer de tactique. »
« La perspective d'une interdiction totale rappelle l'époque de la prohibition aux États-Unis, lorsque la loi Volstead a interdit l'alcool. » Loin d'empêcher les gens de consommer de l'alcool, cette mesure n'a fait qu'accroître la violence des gangs et faire naître de nouveaux marchés clandestins. « Cette dernière situation se produirait probablement à la suite d'une interdiction pure et simple du paiement des rançons. »
« D’autres questions se posent désormais en abondance. » Les cybercriminels vont-ils délaisser les rançongiciels au profit d'autres moyens de générer des revenus dans les pays qui interdisent le paiement de rançons ? Et les acteurs malveillants vont-ils cesser complètement de cibler ces pays ? « CTI continuera à suivre l'évolution de la situation concernant la décision de l'Australie d'interdire le paiement de rançons et prendra note de toute conséquence découlant de ce choix. »
3. Le problème de sécurité croissant de Twitter
Twitter est actuellement confronté à divers risques liés à la sécurité, alors que l'entreprise continue de connaître des changements au niveau de sa direction et de son personnel.
Par exemple, les hauts responsables de la sécurité de l'entreprise ont récemment démissionné à la suite du rachat de celle-ci par Elon Musk.
Extrait de Politico : «Les principaux responsables de la sécurité de Twitter (s'ouvre dans un nouvel onglet) — notamment son directeur de la sécurité de l'information, son responsable de la protection de la vie privée, son responsable de la conformité et son responsable de la confiance et de la sécurité — ont tous démissionné jeudi, invoquant le risque lié à la mise en œuvre de certaines des nouvelles mesures de Musk visant à générer des revenus (comme la nouvelle politique relative aux coches de vérification) dans le cadre d'une enquête en cours menée par la Commission fédérale du commerce. »
Un exode massif des responsables chargés de la mise en œuvre des politiques de sécurité de Twitter n'augure rien de bon quant à la capacité de l'entreprise à se défendre contre les pirates informatiques. La politique de cybersécurité de Twitter suscitait déjà des inquiétudes chez de nombreuses personnes et a donné lieu à une plainte déposée au titre de la loi « » (s'ouvre dans un nouvel onglet) par l'ancien responsable de la sécurité, Peiter Zatko, au début de cette année. Or, la situation semble continuer à se détériorer.
Réduction drastique des effectifs
De nombreux articles affirmant que Twitter aurait licencié plus de 4 000 des 5 500 salariés sous contrat de l'entreprise viennent aggraver une situation déjà tendue.
Les postes concernés comprendraient notamment ceux qui relèvent des « services d'infrastructure essentiels » de Twitter, ainsi que des postes dans les domaines de la modération des contenus et du marketing. Divers tweets publiés par les personnes directement concernées par ces suppressions d'emplois semblent indiquer qu'un grand nombre d'employés des équipes « confiance et sécurité » de Twitter ont également été touchés.
La plateforme a essuyé de nombreuses critiques concernant sa gestion des licenciements, (s'ouvre dans un nouvel onglet) , qui a été largement décrite par d'anciens employés de Twitter comme ayant été menée de manière très impersonnelle. De nombreux employés ont appris leur sort par e-mail, tandis que d'autres ont simplement dû se débrouiller seuls lorsque leur accès au système leur a été soudainement retiré.
Principales préoccupations en matière de sécurité
L'une des principales préoccupations en matière de sécurité chez Twitter concerne la quantité considérable de données que l'entreprise stocke, qui va bien au-delà des simples adresses e-mail et mots de passe. L'entreprise stocke également des données dans les boîtes de réception des messages privés d' : (s'ouvre dans un nouvel onglet) , mais n'utilise pas de chiffrement de bout en bout.
Twitter est également confronté aux conséquences de la prolifération de faux comptes suite à la tentative de refonte de son système de vérification par le badge bleu, initialement conçu pour renforcer la confiance dans la fiabilité des informations diffusées sur la plateforme.
Début novembre, Twitter a lancé le service d'abonnement « Blue », au prix de 7,99 dollars, dans son application pour iPhone. Ce service permettait aux utilisateurs d'acheter la fameuse coche bleue, un indicateur qui était auparavant le symbole de la véracité et de l'authenticité d'un compte. Plus récemment, la possibilité pour les utilisateurs de s'abonner à Twitter Blue a disparu de l'application.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les conséquences les plus immédiates et les plus visibles de ces événements récents sont la chute des cours boursiers, ainsi que le nombre croissant d’annonceurs qui ont suspendu leurs dépenses (s’ouvre dans un nouvel onglet) sur Twitter. »
« Il y a également lieu de s’inquiéter du coût humain de l’exode des équipes de sécurité de Twitter. » À première vue, l'ensemble du dispositif de sécurité de Twitter (qui, selon certaines sources, n'en était qu'à ses débuts) aurait pu être licencié. »
« Bien sûr, Twitter regorgeait déjà de fausses informations, de canulars et d’arnaques. » « Les évolutions décrites ci-dessus devraient entraîner une augmentation exponentielle de la fréquence à laquelle l'utilisateur lambda de Twitter sera confronté à ce genre de choses. »
« Le CTI vous invite à faire preuve de prudence lorsque vous interagissez sur une plateforme de réseaux sociaux. » « Remettez tout en question. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
