Dans le rapport de cette semaine, CTI enquête sur un rapport tactique d’informations concernant la découverte d’un sous-groupe de APT41 non documenté précédemment, appelé Earth Longzhi. Voici un aperçu de la proposition du gouvernement australien de mettre potentiellement en œuvre une interdiction des paiements par rançongiciel et extorsion, en tenant compte de ce que cela pourrait signifier pour les cybercriminels, les professionnels de la sécurité, les forces de l’ordre, les cyberassureurs, etc. Vous trouverez également un résumé de certains développements récents chez Twitter, et de la manière dont les professionnels de la sécurité pensent que les changements de leadership de l’entreprise peuvent avoir un impact sur la posture de sécurité de la plateforme de réseaux sociaux.
1. Earth Longzhi : un nouveau sous-groupe APT41 utilisant un chargeur Symatic Cobalt Strike personnalisé
Trend Micro a récemment révélé l’existence d’un sous -groupe précédemment non documenté du groupe chinois de piratage soutenu par l’État, APT41, appelé Earth Longzhi. Le sous-groupe est actif depuis 2020 et utilise des versions personnalisées des chargeurs Cobalt Strike pour planter des portes dérobées persistantes sur les systèmes cibles.
Trend Micro a enquêté sur un incident au début de l’année 2022 dans lequel une entreprise à Taïwan a été compromise. Le logiciel malveillant exploité dans l’incident était un chargeur Cobalt Strike personnalisé qui a conduit les chercheurs à d’autres incidents, datant de 2020, dans lequel un chargeur similaire a été déployé. Trend Micro a baptisé ce groupe Earth Longzhi et a observé deux grandes campagnes menées par l’opération.
La première campagne de logiciels malveillants Earth Longzhi
La première campagne Earth Longzhi a eu lieu entre mai 2020 et février 2021 et les secteurs ciblés des gouvernements, des infrastructures, de l’enseignement et de la santé à Taïwan, ainsi que le secteur bancaire en Chine.
Cette campagne s’est appuyée sur les e-mails de spear-phishing comme vecteur d’entrée principal pour fournir ses logiciels malveillants et a exploité un chargeur personnalisé Cobalt Strike, un chargeur Symatic, en plus d’autres outils de piratage personnalisés.
Earth Longzhi prépare et exploite un outil de piratage tout-en-un pour ses activités post-exploitation. Cet outil tout-en-un combine tous les utilitaires nécessaires en un seul package et inclut de nombreux utilitaires qui sont disponibles publiquement ou qui ont été déployés lors d’attaques précédentes. Il permet à l’acteur malveillant d’effectuer plusieurs opérations tout en utilisant un exécutable unique. Certaines de ses fonctions comprennent le lancement d’un processus avec des privilèges plus élevés, la collecte d’informations sur les lecteurs locaux ou distants, la modification de l’horodatage d’un fichier, la désactivation de la protection des fichiers Windows, etc.
La deuxième campagne
La deuxième campagne a eu lieu de août 2021 à juin 2022 et a ciblé des victimes de premier plan dans les secteurs de la défense, de l’aviation, de l’assurance et du développement urbain à Taïwan, en Chine, en Thaïlande, en Malaisie, en Indonésie, au Pakistan et en Ukraine.
Comme c’était le cas avec la première campagne, cette campagne s’est principalement appuyée sur les e-mails de spear phishing comme entrée initiale. Earth Longzhi a déployé divers types de chargeurs personnalisés Cobalt Strike dans cette campagne, que Trend Micro a baptisée CroxLoader, BigpipeLoader, OutLoader et MultipipeLoader.
Trend Micro a également collecté plusieurs outils de piratage lors de l’enquête sur la deuxième campagne. Les outils collectés étaient destinés à l’escalade des privilèges (PrintNightmare et PrintSpoofer), au dumping des informations d’identification (Mimikatz) et à l’évasion de la défense (désactivation des produits de sécurité). Plutôt que d’utiliser des outils publics, Earth Longzhi réimplémente ou développe ses propres outils sur la base de certains projets open source.
Attribution de Earth Longzhi
Trend Micro a attribué cette activité à APT41’s sous-groupes Earth Longzhi en fonction des facteurs suivants :
- Victimologie : les régions et secteurs ciblés affectés sont des pays d’intérêt situés en Asie de l’Est et du Sud-Est, qui sont proches de la victimologie d’un autre sous-groupe APT 41 , Earth Baku.
- Métadonnées Cobalt Strike partagées : les chercheurs ont découvert que la plupart des charges utiles Cobalt Strike partageaient le même filigrane et la même clé publique. Cette combinaison filigrane/clé publique est également utilisée par d’autres APT41 sous-groupes et indique qu’ Earth Longzhi partage le même serveur d’équipe Cobalt Strike avec d’autres APT41 sous-groupes.
- Similitudes de code : les chercheurs ont découvert que les algorithmes de décryptage dans Symatic Loader et CroxLoader sont très similaires à ceux identifiés avec GroupCC, un autre sous-groupe de APT41 .
- Chevauchement des TTP : Earth Longzhi a adopté le CDN Python Fastly exploité par GroupCC pour masquer l’adresse réelle du serveur de commande et de contrôle (C2). Les chercheurs pensent qu’il s’agit de la preuve d’une relation entre les deux sous-groupes.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
“APT41 est incroyablement sophistiqué, et tous les sous-groupes potentiels (tels que Earth Longzhi) doivent être traités avec le même degré de prudence que celui généralement accordé à leur groupe parapluie. Les deux campagnes Earth Longzhi observées par Trend Micro ont duré plusieurs mois, preuve supplémentaire de la sophistication et de l’engagement du groupe envers la sécurité opérationnelle (OPSEC), car l’activité est restée non attribuée pendant plus de deux ans. »
2. L’Australie envisage d’interdire les paiements par ransomware
L’Australie envisage actuellement d’interdire les paiements par rançongiciels dans le but de saper l’aspect basé sur l’extorsion du modèle commercial cybercriminel.
Clare O’Neil, ministre des affaires domestiques et de la cybersécurité, a confirmé que le gouvernement envisage non seulement d’interdire les paiements par rançongiciels, mais également de criminaliser les paiements par extorsion dans le cadre de la cyberstratégie globale du gouvernement.
Pourquoi l’Australie peut interdire les paiements par ransomware
L’Australie a connu de nombreux incidents de cybersécurité de grande envergure à ce jour. L’une des violations les plus notables est l’ incident Medibank qui s’est produit plus tôt ce mois-ci. Medibank, l’un des plus grands assureurs de santé privés d’Australie, a récemment révélé que les pirates informatiques ont réussi à accéder aux données personnelles de ses clients. L’organisation a déclaré qu’elle n’ effectuerait pas de paiement de rançon aux acteurs malveillants, une décision qui serait basée sur les conseils reçus des experts en cybercriminalité.
L’incident Medibank s’est produit quelques semaines seulement après que la deuxième plus grande société de télécommunications d’Australie, Optus, a subi une cyberattaque. Ces attaques ont finalement motivé les délibérations actuelles du gouvernement australien concernant une interdiction possible des paiements par rançongiciel.
Que fait l’Australie d’autre ?
La contemplation par l’Australie de l’ interdiction totale des paiements de rançon a commencé juste un jour après que le ministre a annoncé une nouvelle opération permanente conjointe entre la Police fédérale australienne (AFP) et l’Australian Signals Directorate (ASD), les principales agences de police et de cyberveille et de renseignement sur les signaux du pays, respectivement , pour lutter contre la cybercriminalité.
Cette nouvelle initiative vise à « perturber les syndicats cybercriminels avec une priorité sur les groupes de menaces de rançongiciels » et « collectera des informations et identifiera les leaders, les réseaux et l’infrastructure afin de perturber et d’arrêter leurs opérations, où qu’ils se trouvent ».
Le plan australien contre les rançongiciels fonctionnera-t-il ?
L’interdiction des paiements par rançongiciel est une proposition chargée et susceptible d’obtenir des réponses variables en fonction de la personne que vous demandez.
Une grande partie de la logique derrière l’ interdiction potentielle des paiements de rançongiciels est due au fait souvent répété que ceux qui reçoivent une attaque de rançongiciel sont obligés de traiter avec des criminels. Cela suppose la question évidente : comment est-on censé faire confiance à un criminel, en particulier pendant une négociation ? Bien qu’un acteur malveillant puisse prétendre que le paiement de la rançon garantit que les données exfiltrées ne seront pas publiées et que tous les fichiers cryptés seront restaurés, il n’y a simplement aucune garantie à la fin de la journée.
La seule chose sûre est que le paiement de la rançon ne récompense que l’acteur malveillant, fournissant un renforcement positif en prouvant que ses efforts sont efficaces et fructueux. De plus, le paiement de rançons pourrait faire des organisations victimes et de leurs secteurs respectifs une cible plus importante. Une fois que les acteurs malveillants se rendent compte qu’une certaine entreprise/secteur/pays est prêt à payer une rançon, cette cible devient encore plus attrayante.
En revanche, la criminalisation des paiements par rançongiciels pourrait avoir l’opposé de son impact prévu. Comme l’indique The Record, cela pourrait « pousser la visibilité des attaques plus en profondeur en forçant les entreprises à garder le silence sur les incidents pour éviter l’examen réglementaire ».
Forcer le paiement de rançons souterrain cache ces crimes et rend la réponse des forces de l’ordre encore plus difficile qu’elle ne l’est déjà.
Qu’est-ce que cela signifie pour les cybercriminels ?
Les cybercriminels pourraient réagir de plusieurs manières si l’Australie décide d’aller de l’avant en interdisant les paiements par ransomware.
D’une part, les acteurs malveillants peuvent ne plus considérer l’Australie comme une menace lucrative pour les opérations de ransomware. Pourquoi faire face aux problèmes et aux efforts liés à la conduite d’opérations de rançongiciels s’il est illégal pour la victime de payer la rançon ? Qu’est-ce qu’il y a à gagner ? Bien sûr, ce résultat dépend totalement du prétexte que chaque organisation australienne s’engage à suivre la lettre de la loi, indépendamment de ce que cela peut leur coûter en termes d’arrêts, de pannes et de dommages à la réputation.
Les acteurs malveillants pourraient également relever ce défi. Après tout, les entreprises touchées par des rançongiciels peuvent essayer de cacher le fait qu’elles ont payé une rançon si elle est pénalisée. Si cela devait se produire, un acteur malveillant pourrait revenir demander un paiement de rançon supplémentaire pour garder le premier silencieux, une autre forme de chantage que les acteurs de ransomware peuvent ajouter à leur arsenal d’extorsions.
Les acteurs malveillants peuvent également passer d’un ransomware à d’autres méthodes de génération de revenus. Il n’est pas clair si les acteurs malveillants décident de recentrer leurs efforts en dehors de l’Australie et vers d’autres pays ou de tirer parti du potentiel de paiements de rançon supplémentaires.
Comment cela affecte la cyber-assurance
La cyber-assurance varie pour chaque entreprise en fonction du moment de la police, mais nombre d’entre elles peuvent couvrir les paiements de rançon ainsi que d’autres pertes financières associées aux cyberattaques. Les cyberassureurs et ceux disposant d’une cyber-assurance devront probablement revoir et apporter des modifications aux polices existantes si les paiements de rançon sont criminalisés.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’examen par l’Australie de l’interdiction des paiements de rançon pourrait faire de graves vagues sur le marché des ransomwares. Après tout, l’interdiction des paiements de rançon ne mettra pas fin à la cybercriminalité et encouragera probablement les acteurs malveillants à modifier leurs tactiques. »
« La possibilité d’une interdiction totale rappelle l’ère de l’interdiction américaine, lorsque la loi Volstead a interdit l’alcool. Plutôt que d’empêcher les gens de consommer de l’alcool, l’action a simplement augmenté la violence des gangs et généré de nouveaux marchés souterrains. Cette dernière circonstance se produirait probablement suite à l’interdiction totale des paiements de rançon. »
« D’autres questions abondent maintenant. Les acteurs malveillants passeront-ils du ransomware à d’autres moyens de génération de revenus dans les pays qui interdisent les paiements de rançon ? Et les acteurs malveillants vont-ils s’éloigner de ces pays ensemble ? CTI continuera de suivre les évolutions concernant la décision de l’Australie d’interdire les paiements de rançon et prendra note de tout impact résultant d’un tel choix. »
3. Le problème de sécurité croissant de Twitter
Twitter est actuellement confronté à divers risques de sécurité alors que l’entreprise continue de subir des changements de direction et de personnel.
Par exemple, le laiton de sécurité le plus élevé de l’entreprise a récemment démissionné suite à l’acquisition par Elon Musk.
De Politico : « Les principaux responsables de la sécurité de Twitter , y compris son directeur de la sécurité de l’information, son directeur de la confidentialité, son directeur de la conformité et son responsable de la confiance et de la sécurité, ont tous démissionné jeudi, citant le risque de mettre en œuvre certaines des nouvelles saisies de revenus de Musk (comme la nouvelle politique de coche) dans le cadre d’une enquête continue de la Federal Trade Commission. »
Un exode massif d’officiers responsables de la mise en œuvre des politiques de sécurité de Twitter n’est pas bon pour la capacité de l’entreprise à se défendre contre les pirates informatiques. La posture de cybersécurité de Twitter était déjà une préoccupation pour beaucoup et a suscité une plainte de dénonciation déposée par l’ancien responsable de la sécurité Peiter Zatko plus tôt cette année. Maintenant, la situation semble se détériorer davantage.
Réduction spectaculaire du personnel
En exacerbant la situation déjà tendue, de nombreux rapports affirment que Twitter a licencié plus de 4 000 des 5 500 employés contractuels de l’entreprise.
On dit que les rôles affectés incluent ceux qui comprennent les « services d’infrastructure de base » de Twitter, ainsi que les postes dans la modération de contenu et le marketing. Divers tweets directs de ceux affectés par les réductions semblent suggérer que de nombreux employés impliqués dans les équipes de confiance et de sécurité de Twitter ont également été affectés.
La plateforme a pris beaucoup de retard pour sa gestion des tirs, qui a été largement décrite par les anciens employés de Twitter comme étant effectuée de manière hautement impersonnelle. De nombreux employés ont appris leur sort par e-mail, tandis que d’autres ont simplement été laissés pour comprendre les choses par eux-mêmes lorsque l’accès à leur système a été soudainement révoqué.
Principaux problèmes de sécurité
L’une des principales préoccupations de sécurité chez Twitter est liée à la grande quantité de données que l’entreprise stocke, au-delà des simples adresses e-mail et mots de passe. L’entreprise stocke également des données dans des boîtes de réception de messages directs , mais n’utilise pas de chiffrement de bout en bout.
Twitter rencontre également des difficultés avec les retombées de comptes de hoax étendus suite à la tentative de révision de son système de coche bleue, qui a été initialement conçu pour accroître la confiance dans la fiabilité des informations sur la plateforme.
Début novembre, Twitter a lancé le service d’abonnement Blue de 7,99 USD dans son application iPhone. Le service a permis aux utilisateurs d’acheter la coche bleue convoitée, un identifiant qui était auparavant un symbole de la véracité et de l’authenticité d’un compte. Plus récemment, la possibilité pour les utilisateurs de s’inscrire à Twitter Blue a disparu de l’application.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le résultat le plus immédiat et le plus visible de ces événements récents est la baisse des cours des actions, ainsi que le nombre croissant d’annonceurs qui ont interrompu les dépenses avec Twitter. »
« Il y a également des raisons de s’inquiéter du coût humain de l’exode de sécurité de Twitter. De toutes les apparences, l’ensemble de l’appareil de sécurité de Twitter (qui était, selon certains comptes, une petite entreprise) peut avoir reçu des documents de présentation. »
« Bien sûr, Twitter était déjà en proie à la désinformation, aux canulars et aux escroqueries. Les développements décrits ci-dessus augmenteront probablement de manière exponentielle la fréquence à laquelle votre utilisateur Twitter moyen rencontre de telles choses. »
« La CTI exhorte à la prudence lorsqu’elle s’engage dans des interactions sur une plateforme de réseaux sociaux. Tout remettre en question. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
