Up first this week is a look at the most notable cybercrime trends from the first half of 2022, which includes a rise in business email compromise (BEC) attacks that rely heavily on human targeting and manipulation. Ensuite, nous analysons la dernière évolution du chargeur de logiciels malveillants Bumblebee et de son botnet associé. Enfin, nous terminons par un rapport sur l’émergence des référentiels d’escroquerie GitHub dans lesquels les cybercriminels tentent de monétiser le buzz à l’échelle de l’industrie généré par la découverte et l’exploitation signalée des zero-days ProxyNotShell par des menaces persistantes avancées soutenues par l’État.
1. Augmentation des attaques BEC indiquant une tendance croissante à l’extorsion sans attaques de chiffrement
Arctic Wolf a récemment publié son rapport « 1H 2022 Incident Response Insights ». Voici quelques-uns des principaux points à retenir :
- La demande médiane en ransomwares des groupes d’acteurs malveillants était de 450 000 USD, les secteurs de la technologie et de l’expédition/logistique connaissant des demandes plus du double de la médiane mondiale.
- Bien que l’élément humain soit un vecteur d’attaque commun que les acteurs malveillants peuvent exploiter, plus de 80 % des incidents sont motivés par l’exploitation de vulnérabilités non corrigées ou d’outils d’accès à distance.
- Les incidents liés aux vulnérabilités ProxyShell et Log4J bien médiatisées continuent d’être deux fois plus coûteux pour les organisations à réagir qu’un incident médian.
Augmentation du BEC et relation avec le manque d’AMF
Les données d’Arctic Wolf suggèrent un passage aux rançongiciels parmi les cybercriminels alors que les pirates informatiques se tournent vers des schémas de « chiffrement sans extorsion » de plus en plus fréquents. L’un des changements les plus significatifs dans le paysage des menaces est le nombre réussi d’attaques BEC observées au cours du deuxième trimestre 2022.
Selon Arctic Wolf, les cas BEC, lorsqu’ils sont considérés comme des contributeurs à tous les cas de réponse aux incidents examinés, ont plus que doublé au deuxième trimestre de l’année, représentant 34 % de tous les cas contre seulement 17 % au premier trimestre de 2022. Les services aux entreprises, le service juridique/gouvernemental et le service financier/assurance ont connu une augmentation significative du nombre d’organisations souffrant de ce type d’attaque. Curieusement, un fil commun flagrant est apparu à partir des données : 80 % des organisations affectées n’avaient pas d’ authentification multifacteur (AMF).
Pourquoi les attaques BEC sont en plein essor
Les attaques d’ingénierie sociale qui se concentrent sur la tromperie des personnes sont souvent capables de contourner les e-mails et d’autres solutions de sécurité défensives. Dans certains cas, ils sont plus efficaces que les attaques qui tentent de tirer parti des faiblesses matérielles ou logicielles.
Cela ne signifie pas que les vulnérabilités externes ne jouent pas un rôle significatif. En fait, abnormal Security a constaté dans son rapport sur les menaces plus tôt cette année que la grande majorité de tous les incidents de cybercriminalité (81 %) impliquaient des vulnérabilités externes dans quelques produits hautement ciblés, à savoir le serveur Exchange de Microsoft et le logiciel de bureau virtuel Horizon de VMware, ainsi que des services distants mal configurés, tels que le protocole RDP (Remote Desktop Protocol) de Microsoft.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« En plus de signaler quelques détails notables liés aux rançongiciels, le rapport « 1H 2022 Incident Response Insights » d’Arctic Wolf évite largement de prêter sa voix à la cacophonie des tendances conflictuelles des rançongiciels provenant des entreprises de renseignement. »
« Bien que certaines statistiques étayent une tendance impliquant plus d’incidents que jamais, d’autres indiquent une baisse significative des attaques de ransomware signalées. »
« Compte tenu des dernières conclusions d’Arctic Wolf, il est impossible de surestimer l’importance d’un programme complet de sensibilisation et de formation à l’hameçonnage et à l’ingénierie sociale. Il est également judicieux d’imiter les dernières cyberattaques dans lesquelles les humains représentent le point d’entrée le plus probable pendant les exercices, de la manière la plus réaliste possible. »
« En dehors de cela, des rapports tels que ceux mentionnés ci-dessus devraient servir d’autre appel d’éveil selon lequel ce ne sont pas toujours les logiciels malveillants ou les TTP les plus sophistiqués qui mettent à genoux des organisations de haut niveau, que ce soit financièrement ou sur le plan de la réputation. »
2. Mise à jour des logiciels malveillants : le chargeur populaire de logiciels malveillants Bumblebee implémente de nouvelles fonctionnalités, fait progresser les TTP
Le très populaire chargeur de logiciels malveillants Bumblebee a fait la une des journaux, cette fois sous la forme de la nouvelle analyse de Check Point sur les logiciels malveillants en constante évolution.
À propos du chargeur de programmes malveillants Bumblebee
Bumblebee a remplacé BazarLoader comme l’une des principales souches de logiciels malveillants « précurseurs » utilisées par les acteurs malveillants pour initier des infections par rançongiciels, prenant sa place légitime parmi des noms de foyers tels que QBot, Emotet et TrickBot.
Le temps qu’il a fallu à Bumblebee pour grimper sur cette échelle est tout simplement remarquable. Comme nous l’avons indiqué précédemment, le succès de Bumblebee est largement dû à la sophistication des e -mails de spear phishing via lesquels ils sont généralement livrés , une théorie qui peut être liée au lien du logiciel malveillant avec un courtier d’accès initial bien connu.
Une mise à jour sur le chargeur de logiciels malveillants Bumblebee
Selon la dernière étude de Check Point, le printemps 2022 a connu une augmentation significative de l’activité avec le chargeur de logiciels malveillants Bumblebee.
Le chargeur de logiciels malveillants Bumblebee avait déjà fait l’objet d’un examen approfondi de la part de la communauté de la sécurité de l’information, en raison de ses liens apparents avec plusieurs familles de logiciels malveillants bien connues.
Check Point présente quelques points clés à retenir :
- Bumblebee est en évolution constante, ce qui est mieux démontré par le fait que le système de chargement a subi un changement radical deux fois dans la plage de quelques jours, d’abord de l’utilisation de fichiers au format ISO aux fichiers au format VHD contenant un script PowerShell, puis de retour.
- Les changements dans le comportement des serveurs de Bumblebee qui se sont produits autour juin 2022 indiquent que les attaquants peuvent avoir détourné leur attention de tests approfondis de leurs logiciels malveillants pour atteindre le plus de victimes possible.
- Bien que la menace contienne un champ appelé group_name, il peut ne pas s’agir d’un bon indicateur pour l’activité liée au clustering : des échantillons avec des valeurs group_name différentes ont montré un comportement similaire, ce qui peut indiquer qu’un seul acteur exploitant plusieurs group_names. Il en va de même pour les clés de chiffrement : différentes clés de chiffrement impliquent généralement un comportement différent, comme prévu.
- Les charges utiles de Bumblebee varient considérablement en fonction du type de victime. Les ordinateurs autonomes infectés seront probablement touchés par des chevaux de Troie bancaires ou des voleurs d’informations, tandis que les réseaux organisationnels peuvent s’attendre à être touchés par des outils post-exploitation plus avancés tels que CobaltStrike.
Le rapport de Check Point indique que certaines caractéristiques inhabituelles de l’activité Bumblebee récemment observée (comme C2 serveurs arrêtant la communication avec tout hôte infecté générant des soumissions client_id à partir de l’IP externe d’une organisation après avoir reçu le premier client_id de ce réseau) ont conduit ses chercheurs à conclure que « si plusieurs ordinateurs dans une organisation, accédant à Internet avec la même IP publique étaient infectés, le serveur C2 n’acceptera que le premier infecté ».
Il est intéressant de noter que cette fonctionnalité a été soudainement désactivée il y a quelques semaines, augmentant considérablement le nombre de connexions établies aux hôtes infectés. Ce que la fonctionnalité était censée accomplir reste la devinette de tout le monde, bien qu’il semble probable qu’elle ait été activée pendant une période de tests intensifs.
Ce comportement étrange a incité Check Point Research à surveiller le comportement de Bumblebee dans une variété d’environnements dans lesquels il avait été exécuté. Tout semble pointer vers ces adresses IP soudainement connectées agissant en fait comme fronts pour un serveur C2 principal, via lequel toutes les connexions Bumblebee sont relayées (c.-à-d., comportement typique du botnet).
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’analyse approfondie effectuée par les chercheurs de Check Point dresse une image claire d’une menace que nous savions déjà axée sur la mise à jour continue de ses capacités, tout en ajoutant à notre base de connaissances Bumblebee en expliquant les changements dans sa chaîne d’infection et l’activité du botnet conçue pour augmenter considérablement le nombre de victimes actives et le volume global de C2 trafic. »
« Bumblebee reste une menace unique et crédible, se distinguant des autres emballeurs tiers et outils d’évasion en utilisant son propre emballeur non seulement pour lui-même, mais également pour les échantillons de logiciels malveillants qu’il déploie sur un grand nombre d’appareils victimes. Il s’agit d’une caractéristique que Bumblebee a peut-être récupérée auprès d’autres familles de logiciels malveillants précurseurs de premier plan, mais qui donne un effet beaucoup plus important et avec un degré beaucoup plus de flexibilité lorsqu’il s’agit de modifier son comportement et de s’adapter à de nouveaux environnements. »
3. Faux Microsoft Exchange ProxyNotShell exploite pour la vente sur GitHub
Selon un 3 octobre article publié sur le blog sur la cybersécurité BleepingComputer, les acteurs de la menace tirent parti du buzz entourant la paire très médiatisée de vulnérabilités zero-day de Microsoft appelée ProxyNotShell en usurpant l’identité des chercheurs en sécurité pour vendre de fausses preuves de concept ProxyNotShell.
Faux Microsoft Exchange ProxyNotShell exploite pour la vente sur GitHub - @LawrenceAbramshttps://t.co/N5E15T43nO
— BleepingComputer (@BleepinComputer) 3 octobre 2022
Qu’est-ce que ProxyNotShell ?
ProxyNotShell désigne ce que Microsoft décrit comme « deux vulnérabilités zero-day signalées affectant Microsoft Exchange Server 2013, Exchange Server 2016 et Exchange Server 2019. Le premier, identifié comme CVE-2022-41040, est une vulnérabilité de falsification de demande côté serveur (SSRF), tandis que le second, identifié comme CVE-2022-41082, permet l’exécution de code à distance (RCE) lorsque Exchange PowerShell est accessible à l’attaquant. »
La paire de failles de sécurité aurait été découverte pour la première fois par des chercheurs en sécurité de la GTSC vietnamienne de la tenue de cybersécurité, et résumée admirablement dans un 29 septembre article écrit par Kevin Beaumont, une source de confiance de la CTI de longue date, un chercheur en sécurité de premier plan.
Groupe APT affilié à l’État suspecté dans les attaques ProxyNotShell
Le Threat Intelligence Center (MSTIC) de Microsoft, qui prétend avoir observé des attaques ciblant les failles de ProxyNotShell dans moins de 10 organisations à travers le monde, a évalué avec une confiance moyenne que l’activité est probablement le travail d’un groupe APT affilié à l’État.
Bien que personne n’ait pu sortir et spécifiquement attribuer l’activité à un acteur ou à un État-nation, les attaquants ont été observés enchaînant la paire de zero-days dans des cycles d’attaque qui entraînent le déploiement de la web shell China Chopper sur des serveurs compromis pour plus de persistance, faciliter le vol de données et permettre un mouvement latéral.
Les chercheurs ont identifié les référentiels GitHub comme des sites d’activité d’exploitation frauduleuse
Comme nous l’avons souvent observé, chaque fois qu’une histoire comme celle-ci attire l’attention de l’ensemble de la communauté des infosec, les cybercriminels de toutes les bandes tentent rapidement de monétiser le buzz entourant l’incident et ses développements ultérieurs. Cela se manifeste souvent par des campagnes d’hameçonnage présentant des attentats liés au problème en question. Avec ProxyNotShell, nous voyons quelque chose d’un peu différent.
John Hammond, chercheur chez Huntress Labs, a gardé un œil sur l’activité d’un escroc particulier, qui a été occupé à créer divers référentiels GitHub dans lesquels ils tentent d’enfermer de faux exploits POC pour les vulnérabilités Exchange CVE-2022-41040 et CVE-2022-41082 , en offrant même plusieurs copies dans ce qui est probablement une tentative fictive d’augmenter l’apparence de la légitimité des POC.
Il semble y en avoir plusieurs, un autre avec un lien SatoshiDisk différent et « ne vendre que CINQ copies ».... escroquez-moipense. Plusieurs fichiers pour paraître plus légitimes ? J’ai signalé le compte et le référentiel à GitHub. https[ :]//github[.]com/TimWallbey/CVE-2022-41082-RCE https://t.co/BVvi0gtZqN pic.twitter.com/jrprZLYmct
— John Hammond (@_JohnHammond) 30 septembre 2022
Dans un autre exemple, un compte d’escroquerie trouvé par Paulo Pacheco a usurpé l’identité de Kevin Beaumont de CTI. Il s’agit sans aucun doute d’un effort pour monétiser la réputation de ce chercheur en sécurité bien connu, qui a documenté sans relâche et sans relâche les nouvelles vulnérabilités d’Exchange et les mesures d’atténuation disponibles.
Que contient ces référentiels GitHub ?
Depuis BleepingComputer :
« Les référentiels eux-mêmes ne contiennent rien d’important, mais le site README.md décrit ce qui est actuellement connu sur les nouvelles vulnérabilités, suivi d’un argumentaire sur la manière dont ils vendent une copie d’un exploit de PoC pour les zéro jours. »
« Cela signifie qu’il peut passer inaperçu par l’utilisateur et potentiellement par l’équipe de sécurité également. Un outil aussi puissant ne doit pas être entièrement public, il n’y a qu’une seule copie disponible afin qu’un véritable chercheur puisse l’utiliser : hxxps ://satoshidisk[.]com/pay/xxx », lit le texte dans le référentiel des escroqueries. »
L’exploitation POC frauduleuse est actuellement en vente au prix bas et bas de 0,01825265 Bitcoin, d’une valeur d’environ 420,00 USD (beaucoup moins qu’un véritable POC ne vaut, et beaucoup moins que d’autres organisations ne s’attaquent à ceux qui sont capables de produire des zero-days RCE Microsoft Exchange.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Aussi difficile à trouver que soient les détails techniques entourant les défauts de ProxyNotShell, ce n’est qu’une question de temps avant qu’un POC légitime ne se déclare. En fait, diverses sources mettent le temps moyen entre la divulgation d’une vulnérabilité et l’émergence d’exploitations POC actives à un endroit environ 10-14 jours. Pour cette raison, CTI prend la mesure proactive de créer et de maintenir des recherches actives pour l’émergence d’exploitations POC conçues pour cibler des zero-days de haut niveau tels que celui-ci dès que nous en apprenons davantage. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
