Dans le résumé de cette semaine, nous explorons comment la technique d’hameçonnage par rappel BazarCall est exploitée par au moins trois groupes de menaces distincts. Ensuite, le géant technologique Cisco a récemment confirmé qu’il a subi une mai 2022 cyberattaque. De plus, CTI examine la dernière analyse du rapport DFIR d’une attaque impliquant un logiciel malveillant BumbleBee, qui n’a pas été détecté pendant 11 jours.
1. AdvIntel émet un avis BazarCall suite à des attaques contre Twilio et Cloudflare
AdvIntel a publié un article de blog détaillant l’activité cybercriminelle la plus récente pour tirer parti de BazarCall (appelé BazaCall), un système de phishing de rappel dangereux et efficace.
BazarCall est apparu pour la première fois en 2020 dans le cadre de la boîte à outils de Ryuk, un célèbre gang de ransomwares qui a ensuite été rebaptisé Conti. Les recherches d’AdvIntel affirment que trois groupes de menaces distincts et non liés ont depuis adopté et affiné leurs propres tactiques d’hameçonnage dérivées de la méthodologie : Silent Ransom, Quantum et Roy/Zeon.
Plus récemment, Cloudflare et Twilio ont tous deux subi des attaques similaires impliquant l’hameçonnage par un acteur de menaces avancées en possession des numéros de téléphone domestiques des employés et de leurs familles.
Impact sur le paysage
BazarCall est remarquable pour inverser le script sur l’opération d’hameçonnage typique en tirant plutôt parti d’une connaissance avancée de l’ingénierie sociale et du phishing ciblé (spear phishing) pour pénétrer dans les réseaux des victimes.
L’utilisation de l’ingénierie sociale par téléphone, par opposition aux opérations de piratage technique complexes, est un phénomène qui a clairement gagné en popularité et a été adopté par des acteurs malveillants de toutes les bandes, mais par rien de plus que les acteurs de ransomware et d’extorsion. Par exemple, nous avons vu le groupe relativement peu sophistiqué Lapsus$ éliminer certains géants du cyberindustrie, et il semble que certains de leurs pairs tentent de faire de même, comme en témoignent les récentes attaques contre Cloudflare et Twilio mentionnées ci-dessus.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le rançon silencieux, qui, comme les deux autres groupes spécifiés ci-dessus, est composé d’anciens membres de haut rang de Conti, n’est clairement plus le seul groupe de menaces utilisant les opérations d’hameçonnage hautement spécifiées qu’ils ont été les premiers à lancer. Il ne s’agit pas non plus du seul groupe à tirer parti de l’utilisation du hameçonnage vocal ou du « hameçonnage vocal », comme en témoignent les attaques récentes mentionnées dans les présentes. D’autres groupes de menaces, qui voient le succès, l’efficacité et les capacités de ciblage de ces tactiques ont commencé à utiliser des campagnes d’hameçonnage inversées comme méthodologie de base et à développer le vecteur d’infection en un style d’attaque propre.
Cette tendance est susceptible de se poursuivre, et si c’est le cas, davantage de victimes sont susceptibles de se manifester dans le veine de Cloudflare et de Twilio. D’une manière étrange, c’est presque comme si les tactiques employées par les pirates informatiques étaient devenues un cercle complet. Les bases du « piratage » comme nous le savons ont été plantées pendant les jours où Kevin Mitnick, le pirate le plus connu au monde, et ses pairs, où ils n’avaient que leur esprit, leur réflexion rapide, une connaissance des systèmes cibles et, surtout, leur voix sur laquelle ils peuvent compter. Les acteurs malveillants semblent avoir finalement réalisé le potentiel de tactiques d’ingénierie sociale avancées. Cela nous pose des problèmes à tous, car les opérations d’hameçonnage deviennent plus élaborées et difficiles à différencier des communications légitimes. »
2. Cisco piraté par le gang de ransomwares Yanluowang
Cisco a récemment confirmé que le groupe de rançongiciels Yanluowang a violé son réseau d’entreprise fin mai et que l’acteur a essayé de les extorquer sous la menace de fuite de fichiers volés en ligne. Selon Cisco, l’entreprise a immédiatement pris des mesures pour éliminer la menace.
La société affirme que les pirates n’ont pu compenser qu’avec des données non sensibles provenant d’un dossier Box lié au compte d’un employé compromis.
« Cisco n’a pas identifié d’impact sur notre activité suite à cet incident, y compris aucun impact sur les produits ou services Cisco, les données sensibles des clients ou les informations sensibles des employés, la propriété intellectuelle Cisco ou les opérations de la chaîne d’approvisionnement », a déclaré l’entreprise dans une déclaration. « Le 10 août, les acteurs malveillants ont publié une liste de fichiers de cet incident de sécurité sur le dark web. »
Cisco piraté par le gang de ransomware Yanluowang, 2,8GB prétendument volés - @sergheihttps://t.co/mvLvHV5Csk
— BleepingComputer (@BleepinComputer) 10 août 2022
La réponse fournit un lien vers une analyse détaillée de Cisco Talos, qui fournit des informations relatives à l’attaque. Dans un affichage de transparence louable, le rapport de Cisco Talos passe à un niveau de détail surprenant concernant les différentes phases de la chaîne d’attaque.
Points clés à retenir
La liste suivante n’est en aucun cas une compilation exhaustive de tous les aspects notables de cette attaque, mais plutôt quelques éléments d’intérêt qui aident à caractériser l’incident :
- Des tentatives d’exfiltration d’informations ont été observées tout au long de l’attaque.
- L’attaquant a ciblé à plusieurs reprises une faible hygiène de rotation des mots de passe après les réinitialisations de mot de passe obligatoires des employés, ciblant les utilisateurs dont il pensait qu’ils avaient modifié un seul caractère pour un mot de passe précédent.
- L’attaquant a tiré parti de services d’anonymisation du trafic tels que Tor.
- Après avoir été expulsé de l’environnement, l’attaquant a tenté à plusieurs reprises de communiquer par e-mail avec les dirigeants, mais n’a pas fait de menaces spécifiques ou de demandes d’extorsion.
Tout au long de l’attaque, l’adversaire a également abandonné une série de charges utiles sur les systèmes. Nombre d’entre eux sont toujours en cours d’analyse, mais au moins quelques-uns ont été examinés et leurs objectifs identifiés. Parmi eux, une porte dérobée simple conçue pour recevoir et exécuter, via le processeur de commande Windows, des instructions d’un serveur C2 envoyées sous forme de blobs JSON.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cisco doit être félicité pour la transparence avec laquelle l’entreprise a décrit les événements de l’attaque. Le partage d’informations de cette profondeur et de ces détails peut aider à empêcher des attaques similaires d’avoir un impact sur d’autres organisations à l’avenir.
Le ransomware Yanluowang est apparu pour la première fois autour de octobre 2021, lorsqu’il a été déployé dans des attaques ciblées sur les réseaux d’entreprise. Dans cette vague d’attaques, les attaquants ont souvent été découverts lorsque les analystes ont détecté une activité suspecte suite à l’utilisation d’outils légitimes, tels que l’outil de requête AdFind Active Directory. En avril 2022, Kaspersky avait annoncé avoir découvert des vulnérabilités dans l’algorithme de chiffrement du ransomware, ce qui lui avait permis de récupérer les fichiers qu’il avait chiffrés. Kaspersky a publié un décrypteur gratuit pour les victimes de Yanluowang peu de temps après.
Il peut s’agir d’un signe révélateur qu’aucune charge utile de ransomware n’a été découverte pendant l’enquête de Cisco. Il en est de même du fait qu’une grande partie de l’attaque, voire toutes, semblait être opérée par l’homme. Yanluowang est peut-être un autre gang de ransomwares à passer à un modèle d’extorsion sans chiffrement, similaire par nature à leurs amis Lapsus$. Si cela s’avère être le cas, Yanluowang ne doit pas être considéré comme une menace moindre. »
3. L’attaque par logiciel malveillant BumbleBee n’est pas détectée pendant 11 jours
Le rapport DFIR offre une analyse technique approfondie des logiciels malveillants BumbleBee et du rôle qu’il a joué dans une intrusion récente dans laquelle les acteurs malveillants ont fonctionné au sein d’un réseau cible pendant 11 jours sans détection.
« Pendant cette intrusion, les acteurs malveillants ont obtenu l’accès à l’aide d’un fichier ISO et LNK, ont utilisé plusieurs techniques de mouvement latéral, ont supprimé des informations d’identification de trois manières différentes, ont torréfié un compte d’administrateur de domaine et ont abandonné/exécuté un outil sur mesure pour découvrir les chemins d’escalade des privilèges », explique DFIR.
BumbleBee se lance dans l’accès ➡️initial à l’administrateur de domaine : BumbleBee (ISO/w LNK+DLL compressé)
➡️Persistance : AnyDesk
➡️Discovery : VulnRecon, Seatbelt, AdFind, etc.
➡️Informations d’identification : Kerberoast, comsvcs.dll, ProcDump
➡️C2 : BumbleBee, CobaltStrike, AnyDeskhttps://t.co/zDF16kr4lU
— Le rapport DFIR (@TheDFIRReport) 8 août 2022
Les chercheurs du DFIR n’ont observé aucune exfiltration, chiffrement des données ou destruction pendant cette intrusion. Cependant, les TTP observés montrent que « les métiers des acteurs courants de la cybercriminalité ont pu conduire à des ransomwares à l’échelle du domaine si les acteurs de la menace avaient eu suffisamment de temps ».
CTI a précédemment signalé un malware BumbleBee, qui est un chargeur de malwares initialement signalé et observé dans mars 2022 par le groupe d’analyse des menaces (TAG) de Google. Google attribue ce logiciel malveillant à un courtier d’accès initial (IAB) appelé Exotic Lily.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le rapport DFIR est connu pour son analyse incroyablement approfondie, et cette instance ne fait pas exception. CTI recommande d’examiner le rapport complet pour obtenir des détails techniques supplémentaires.
Les logiciels malveillants BumbleBee semblaient être la rage lorsqu’ils ont été vus pour la première fois plus tôt cette année, les chercheurs le décrivant comme le prochain BazarLoader, tout en établissant une grande partie de ses associations apparentes avec des syndicats organisés composés de courtiers d’accès initial (IAB).
L’activité liée à BumbleBee semblait se détacher depuis son émergence, mais le logiciel malveillant a récemment réémergé et pris son ancien titre comme un moyen sérieux et réussi de fournir des ransomwares et d’autres charges utiles. Le logiciel malveillant est de plus en plus adopté par les acteurs malveillants et il est facile de comprendre pourquoi. BumbleBee est assez sophistiqué, avec une attention particulière portée à l’évasion par la détection. En fait, BumbleBee est tellement apte à échapper aux solutions de défense traditionnelles qu’elle a permis aux acteurs malveillants derrière l’intrusion analysée ci-dessus de rester indétectés pendant 11 jours. Cela peut ne pas sembler long, mais pensez-y de cette manière : voudriez-vous qu’un cambrioleur se prélasse dans votre maison pendant 11 jours ? »
Suivant : visitez la communauté Tanium
Avez-vous des questions ou des idées sur ces problèmes émergents ? Rendez-vous sur notre communauté d’utilisateurs pour participer à des forums de discussion et vous tenir au courant de nos dernières meilleures pratiques en matière de cybersécurité.
Vous pouvez également prendre Tanium pour un test et découvrir comment notre solution Converged Endpoint Management (XEM) peut protéger votre entreprise contre les menaces sophistiquées. Essayez une version d'essai gratuite.
