Dans le récapitulatif de cette semaine, nous examinons comment la technique de hameçonnage par rappel téléphonique « BazarCall » est exploitée par au moins trois groupes malveillants distincts. Par ailleurs, le géant technologique Cisco a récemment confirmé avoir été victime d'une cyberattaque de type « mai 2022 ». De plus, CTI passe en revue la dernière analyse du rapport DFIR concernant une attaque impliquant le logiciel malveillant BumbleBee, qui est restée indétectée pendant 11 jours.
1. AdvIntel publie une alerte concernant BazarCall à la suite des attaques contre Twilio et Cloudflare
AdvIntel a publié un article de blog détaillant les dernières activités cybercriminelles exploitant BazarCall (également connu sous le nom de BazaCall), une technique de hameçonnage par rappel téléphonique à la fois dangereuse et efficace.
BazarCall est apparu pour la première fois sur 2020 (s'ouvre dans un nouvel onglet) dans le cadre de la boîte à outils de Ryuk, un groupe de ransomware tristement célèbre qui a ensuite été rebaptisé Conti. Les recherches d’AdvIntel indiquent que trois groupes malveillants distincts et sans lien entre eux ont depuis adopté et perfectionné leurs propres techniques de phishing de type « » , inspirées de cette méthodologie : Silent Ransom, Quantum et Roy/Zeon.
Plus récemment, Cloudflare (s'ouvre dans un nouvel onglet) et Twilio (s'ouvre dans un nouvel onglet) ont toutes deux été victimes d'attaques similaires impliquant du phishing, perpétrées par un acteur malveillant sophistiqué détenant les numéros de téléphone fixes des employés et de leurs familles.
Impact sur le paysage
BazarCall se distingue en renversant le schéma classique des opérations de hameçonnage, en s'appuyant plutôt sur une maîtrise avancée de l'ingénierie sociale et du hameçonnage ciblé (spear phishing) pour s'introduire dans les réseaux des victimes.
Le recours à l'ingénierie sociale par téléphone — par opposition aux opérations de piratage techniques complexes — est un phénomène qui a clairement pris de l'ampleur et qui a été adopté par des acteurs malveillants de tous horizons, mais surtout par les auteurs de ransomware et d'extorsion. Par exemple, nous avons vu le groupe Lapsus$, relativement peu sophistiqué, mettre à mal certains géants du secteur de la cybersécurité, et il semble que certains de leurs homologues tentent de faire de même, comme en témoignent les récentes attaques contre Cloudflare et Twilio évoquées plus haut.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Silent Ransom — qui, à l’instar des deux autres groupes mentionnés ci-dessus, est composé d’anciens membres haut placés de Conti — n’est manifestement plus le seul groupe malveillant à recourir aux opérations de hameçonnage hautement ciblées dont il a été le pionnier. » Ils ne sont pas non plus les seuls à recourir au hameçonnage vocal, ou « vishing », comme en témoignent les récentes attaques mentionnées dans le présent document. D'autres groupes malveillants, constatant le succès, l'efficacité et la précision de ciblage de ces tactiques, ont commencé à utiliser les campagnes de « reversed phishing » comme méthode de base et à développer ce vecteur d'infection pour en faire un mode d'attaque qui leur est propre.
Cette tendance devrait se poursuivre, et si tel est le cas, d'autres victimes devraient se manifester, à l'instar de Cloudflare et Twilio. D'une certaine manière, on dirait presque que les tactiques employées par les pirates informatiques ont bouclé la boucle. Les prémices du « piratage » tel que nous le connaissons aujourd’hui remontent à l’époque du « phone-phreaking » de Kevin Mitnick — le pirate informatique le plus célèbre au monde — et de ses pairs, qui ne disposaient alors que de leur intelligence, de leur vivacité d’esprit, de leur connaissance des systèmes ciblés et, surtout, de leur voix. « Les cybercriminels semblent avoir enfin pris conscience du potentiel des techniques avancées d’ingénierie sociale. Cela augure de mauvais présages pour nous tous, car les opérations de hameçonnage deviennent de plus en plus sophistiquées et difficiles à distinguer des communications légitimes. »
2. Cisco a été piraté par le groupe de ransomware Yanluowang
Cisco a récemment confirmé que le groupe de ransomware Yanluowang avait pénétré dans son réseau d'entreprise fin mai et que ce groupe avait tenté de lui extorquer de l'argent en menaçant de divulguer en ligne les fichiers volés. Selon Cisco, l'entreprise a immédiatement pris des mesures pour éliminer cette menace.
L'entreprise affirme que les pirates n'ont pu s'emparer que de données non sensibles provenant d'un dossier Box lié au compte d'un employé dont le compte a été piraté.
« Cisco n’a constaté aucune répercussion sur ses activités à la suite de cet incident ; cela inclut notamment l’absence de répercussion sur les produits ou services Cisco, les données sensibles des clients ou les informations sensibles relatives aux employés, la propriété intellectuelle de Cisco ou les opérations de la chaîne d’approvisionnement », a déclaré la société dans un communiqué (s’ouvre dans un nouvel onglet). « Sur 10 août, les cybercriminels ont publié sur le dark web une liste de fichiers issus de cet incident de sécurité. »
Cisco a été piraté par le groupe de ransomware Yanluowang ; 2,8GB appareils auraient été volés - @serghei bleepingcomputer.com/news/security/…
La réponse contient un lien vers une analyse détaillée de Cisco Talos intitulée « » ( ) (s'ouvre dans un nouvel onglet), qui fournit des informations sur cette attaque. Dans un élan de transparence louable, le rapport de Cisco Talos fournit des informations étonnamment détaillées sur les différentes phases de la chaîne d'attaque.
Points clés
La liste suivante ne constitue en aucun cas un recueil exhaustif de tous les aspects notables de cette attaque, mais présente plutôt quelques éléments intéressants qui permettent de mieux cerner cet incident :
- Des tentatives d'exfiltration d'informations ont été observées tout au long de l'attaque.
- L'attaquant a exploité à plusieurs reprises les lacunes en matière de rotation des mots de passe après les réinitialisations obligatoires imposées aux employés, en ciblant les utilisateurs dont il semblait penser qu'ils n'avaient modifié leur mot de passe précédent que d'un seul caractère.
- L'attaquant a eu recours à des services d'anonymisation du trafic tels que Tor.
- Après avoir été exclu de l'environnement, l'attaquant a tenté à plusieurs reprises de contacter les dirigeants par e-mail, sans toutefois proférer de menaces spécifiques ni formuler de demandes de rançon.
Tout au long de l'attaque, l'adversaire a également introduit une série de charges utiles dans les systèmes. Bon nombre d'entre eux font encore l'objet d'une analyse, mais au moins quelques-uns ont déjà été examinés et leur fonction a été identifiée. Parmi celles-ci figure une porte dérobée simple, conçue pour recevoir et exécuter – via le processeur de commandes Windows – des instructions provenant d'un serveur C2 et envoyées sous forme de blobs JSON.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il convient de saluer Cisco pour la transparence avec laquelle l'entreprise a décrit les événements liés à cette attaque. » Un partage d'informations aussi approfondi et détaillé pourrait contribuer à empêcher que des attaques similaires n'affectent d'autres organisations à l'avenir.
Le ransomware Yanluowang est apparu pour la première fois sur (s'ouvre dans un nouvel onglet) vers octobre 2021, lorsqu'il a été utilisé dans le cadre d'attaques ciblées contre des réseaux d'entreprise. Au cours de cette vague d'attaques, les pirates ont souvent été démasqués lorsque des analystes ont détecté des activités suspectes après l'utilisation d'outils légitimes, tels que l'outil de requête AdFind pour Active Directory. avril 2022 avait annoncé que Kaspersky avait découvert des failles dans l'algorithme de chiffrement du ransomware, permettant ainsi de récupérer les fichiers qu'il avait chiffrés. Kaspersky a publié peu après un décrypteur gratuit (s'ouvre dans un nouvel onglet) destiné aux victimes de Yanluowang.
Le fait qu'aucune charge utile de ransomware n'ait été découverte au cours de l'enquête menée par Cisco pourrait constituer un signe révélateur. Il en va de même pour le fait qu’une grande partie de l’attaque — voire la totalité — semblait avoir été menée par des personnes. Yanluowang pourrait bien n'être qu'un groupe de ransomware de plus à adopter un modèle d'extorsion sans chiffrement, similaire à celui de leurs acolytes de Lapsus$. « Si tel s'avère être le cas, Yanluowang devrait être considéré comme une menace tout aussi sérieuse. »
3. Une attaque du logiciel malveillant BumbleBee est restée indétectée pendant 11 jours
Le rapport DFIR propose une analyse technique approfondie du logiciel malveillant BumbleBee de (s'ouvre dans un nouvel onglet) ainsi que du rôle qu'il a joué dans une intrusion récente au cours de laquelle les auteurs de la menace ont opéré au sein du réseau cible pendant 11 jours sans être détectés.
« Au cours de cette intrusion, les auteurs de la menace ont obtenu l’accès à l’aide d’un fichier ISO et d’un fichier LNK, ont utilisé plusieurs techniques de déplacement latéral, ont extrait des identifiants de trois manières différentes, ont procédé à un « kerberoast » sur un compte d’administrateur de domaine et ont déployé puis exécuté un outil sur mesure destiné à identifier les voies d’escalade de privilèges », explique DFIR.
BumbleBee se fraye un chemin jusqu’au rôle d’administrateur de domaine ➡️Accès initial : BumbleBee (fichier ISO compressé avec LNK+DLL) ➡️Persistance : AnyDesk ➡️Recherche de vulnérabilités : VulnRecon, Seatbelt, AdFind, etc. ➡️Identifiants : Kerberoast, comsvcs.dll, ProcDump ➡️C2 : BumbleBee, CobaltStrike, AnyDesk thedfirreport.com/2022/08/08/bum…
Les chercheurs du DFIR n'ont constaté aucune exfiltration, aucun chiffrement ni aucune destruction de données au cours de cette intrusion. Toutefois, les TTP observées révèlent « les techniques couramment utilisées par les auteurs de cybercrimes, qui auraient pu déboucher sur une attaque par ransomware à l'échelle du domaine si ces auteurs avaient disposé de suffisamment de temps ».
CTI avait déjà fait état du malware BumbleBee, un chargeur de logiciels malveillants dont avait été le premier à signaler l’existence et à observer le fonctionnement (s’ouvre dans un nouvel onglet) dans mars 2022 par le Threat Analysis Group (TAG) de Google. Google attribue ce logiciel malveillant à un courtier en accès initial (IAB) dénommé Exotic Lily.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le rapport DFIR est réputé pour ses analyses d’une minutie exceptionnelle, et celui-ci ne fait pas exception. CTI vous recommande de consulter le rapport dans son intégralité pour obtenir davantage de détails techniques. »
Le malware BumbleBee semblait faire fureur lorsqu’il a été repéré pour la première fois en début d’année, les chercheurs le décrivant comme le successeur de BazarLoader (s’ouvre dans un nouvel onglet), tout en mettant largement en avant ses liens apparents avec des réseaux organisés composés de courtiers en accès initial (IAB).
L'activité liée à BumbleBee semblait avoir diminué depuis son apparition, mais ce logiciel malveillant a récemment refait surface et a retrouvé son statut d'outil de diffusion sérieux et efficace pour les ransomwares et autres charges utiles. Ce logiciel malveillant est de plus en plus utilisé par les cybercriminels, et on comprend aisément pourquoi. BumbleBee est un logiciel assez sophistiqué, qui met l’accent sur la capacité à échapper à la détection. En effet, BumbleBee est si efficace pour contourner les solutions de défense traditionnelles qu’il a permis aux auteurs de la menace à l’origine de l’intrusion analysée ci-dessus de passer inaperçus pendant 11 jours. Cela peut sembler peu, mais voyez les choses ainsi : aimeriez-vous qu’un cambrioleur rôde dans votre maison pendant 11 jours ? »
Suivant : Rendez-vous sur la communauté Tanium
Avez-vous des questions ou des réflexions concernant ces enjeux émergents ? Rendez-vous sur notre communauté d'utilisateurs « » (s'ouvre dans un nouvel onglet) pour participer aux forums de discussion et vous tenir au courant de nos dernières bonnes pratiques en matière de cybersécurité.
Nous vous invitons également à tester Tanium et à découvrir comment notre solution de gestion convergée des terminaux (XEM) peut protéger votre entreprise contre les menaces sophistiquées. Essayez la version d'essai gratuite (s'ouvre dans un nouvel onglet).
