Pour commencer cette semaine, nous allons passer en revue les principales tendances en matière de cybercriminalité observées au cours du premier semestre de l'année 2022, parmi lesquelles figure une augmentation des attaques de type « Business Email Compromise » (BEC) (s'ouvre dans un nouvel onglet) , qui reposent largement sur le ciblage et la manipulation des personnes. Nous allons ensuite analyser les dernières évolutions du chargeur du logiciel malveillant Bumblebee et du botnet qui y est associé. Pour finir, nous terminons par un rapport sur l'apparition de dépôts GitHub frauduleux, dans lesquels des cybercriminels tentent de tirer profit de l'engouement généré à l'échelle du secteur par la découverte et l'exploitation signalée des vulnérabilités « zero-day » ProxyNotShell par des groupes APT soupçonnés d'être soutenus par des États.
1. La recrudescence des attaques de type BEC témoigne d'une tendance à la hausse des attaques par extorsion sans chiffrement
Arctic Wolf a récemment publié son rapport intitulé «1H 2022 Incident Response Insights (s'ouvre dans un nouvel onglet) ». Voici quelques-uns des principaux points à retenir :
- Le montant médian des rançons exigées par les groupes cybercriminels s'élevait à 450 000 dollars ; les secteurs de la technologie et du transport/de la logistique ont quant à eux été confrontés à des demandes plus de deux fois supérieures à la médiane mondiale.
- Bien que le facteur humain constitue un vecteur d'attaque courant que les acteurs malveillants peuvent exploiter, plus de 80 % des incidents sont dus à l'exploitation de vulnérabilités non corrigées ou d'outils d'accès à distance.
- Les incidents liés aux vulnérabilités très médiatisées « ProxyShell » et « Log4J » continuent de coûter deux fois plus cher aux organisations que la réponse à un incident type.
Recrudescence des attaques de type BEC et lien avec l'absence d'authentification à deux facteurs (MFA)
Les données d'Arctic Wolf indiquent que les cybercriminels s'éloignent progressivement des ransomwares, les pirates informatiques se tournant de plus en plus souvent vers des stratagèmes d'« extorsion sans chiffrement ». L'une des évolutions les plus marquantes du paysage des menaces réside dans le nombre d'attaques de type BEC qui ont abouti au cours du deuxième trimestre de 2022.
Selon Arctic Wolf, les cas de BEC, considérés comme contribuant à l'ensemble des cas d'intervention en cas d'incident examinés, ont plus que doublé au cours du deuxième trimestre de l'année, représentant 34 % de l'ensemble des cas, contre seulement 17 % au premier trimestre de 2022. Les secteurs des services aux entreprises, du droit et de l'administration publique, ainsi que de la finance et de l'assurance ont enregistré une augmentation significative du nombre d'organisations victimes de ce type d'attaque. Il est inquiétant de constater qu'un point commun flagrant se dégage des données : 80 % des organisations touchées ne disposaient pas d'une solution d'authentification multifactorielle (MFA) .
Pourquoi les attaques de type BEC sont en forte augmentation
Les attaques d'ingénierie sociale (s'ouvre dans un nouvel onglet) , qui visent à tromper les utilisateurs, parviennent souvent à contourner les solutions de sécurité des messageries électroniques et autres dispositifs de protection. Dans certains cas, elles s'avèrent plus efficaces que les attaques qui tentent d'exploiter les failles matérielles ou logicielles.
Cela ne veut pas dire pour autant que les vulnérabilités externes ne jouent pas un rôle important. En effet, Abnormal Security a constaté, dans son rapport sur les menaces intitulé « » (s'ouvre dans un nouvel onglet) publié en début d’année, que la grande majorité des incidents de cybercriminalité (81 %) impliquaient des vulnérabilités externes dans quelques produits très ciblés — à savoir le serveur Exchange de Microsoft et le logiciel de bureau virtuel Horizon de VMware — ainsi que des services à distance mal configurés, tels que le protocole RDP (Remote Desktop Protocol) de Microsoft.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Outre la présentation de quelques détails notables concernant les ransomwares, le rapport « 1H 2022 Incident Response Insights » d’ Arctic Wolf (s’ouvre dans un nouvel onglet) s’abstient largement de se joindre au concert de tendances contradictoires sur les ransomwares émises par les cabinets de veille. »
« Alors que certaines statistiques semblent confirmer une tendance à une augmentation sans précédent du nombre d'incidents, d'autres indiqueraient, selon certaines sources, une baisse significative du nombre d'attaques par ransomware signalées. »
« Au vu des dernières conclusions d’Arctic Wolf, on ne saurait trop insister sur l’importance d’un programme complet de sensibilisation et de formation au phishing et à l’ingénierie sociale. » « Il est également judicieux de reproduire, de la manière la plus réaliste possible, les dernières cyberattaques dans lesquelles les êtres humains constituent le point d'entrée le plus probable lors des exercices. »
« Par ailleurs, des rapports tels que ceux mentionnés ci-dessus devraient constituer un nouveau signal d’alarme, rappelant que ce ne sont pas toujours les logiciels malveillants ou les TTP les plus sophistiqués qui mettent à genoux des organisations de premier plan, que ce soit sur le plan financier ou en termes de réputation. »
2. Actualité sur les logiciels malveillants : le chargeur de logiciels malveillants « Bumblebee », très répandu, intègre de nouvelles fonctionnalités et perfectionne ses TTP
Le chargeur de logiciels malveillants Bumblebee, toujours très répandu, fait à nouveau la une de l'actualité, cette fois sous la forme d' . La nouvelle analyse de Check Point (s'ouvre dans un nouvel onglet) consacrée à ce logiciel malveillant en constante évolution.
À propos du chargeur de logiciels malveillants Bumblebee
Bumblebee a remplacé BazarLoader parmi les principales souches de logiciels malveillants « précurseurs » utilisées par les cybercriminels pour déclencher des infections par ransomware — prenant ainsi la place qui lui revient aux côtés de noms bien connus tels que QBot, Emotet et TrickBot.
Le temps qu'il a fallu à Bumblebee pour gravir cette échelle est tout simplement remarquable. Comme nous l’avons déjà signalé, le succès de Bumblebee tient en grande partie au caractère sophistiqué des e-mails de spear-phishing de type « » (s’ouvre dans un nouvel onglet) par lesquels il est généralement diffusé — une hypothèse qui pourrait être liée au fait que ce logiciel malveillant est associé à un courtier d’accès initial bien connu.
Le point sur le chargeur de logiciels malveillants « Bumblebee »
D'après la dernière étude de Check Point, le printemps 2022 a été marqué par une augmentation significative de l'activité liée au chargeur de malware Bumblebee.
Le chargeur de logiciels malveillants « Bumblebee » faisait déjà l'objet d'une attention particulière de la part de la communauté de la sécurité informatique, en raison de ses liens apparents avec plusieurs familles de logiciels malveillants bien connues. (s'ouvre dans un nouvel onglet)
Check Point met en avant quelques points clés à retenir :
- Bumblebee est en constante évolution, comme en témoigne particulièrement bien le fait que le système de chargement ait subi deux changements radicaux en l'espace de quelques jours : il est d'abord passé de l'utilisation de fichiers au format ISO à celle de fichiers au format VHD contenant un script PowerShell, puis est revenu au format initial.
- Les changements observés dans le comportement des serveurs de Bumblebee vers le juin 2022 laissent penser que les pirates auraient pu réorienter leurs efforts, passant de tests à grande échelle de leur logiciel malveillant à la recherche d'un maximum de victimes.
- Bien que la menace contienne un champ intitulé « group_name », celui-ci ne constitue pas nécessairement un bon indicateur d’activité liée au clustering : des échantillons présentant des valeurs différentes pour « group_name » ont en effet montré un comportement similaire, ce qui pourrait indiquer qu’un seul acteur exploite plusieurs « group_names ». Il n’en va pas de même pour les clés de chiffrement : des clés de chiffrement différentes impliquent généralement des comportements différents, comme on peut s’y attendre.
- Les charges utiles de Bumblebee varient considérablement en fonction du type de victime. Les ordinateurs autonomes infectés seront probablement victimes de chevaux de Troie bancaires ou de logiciels de vol d'informations, tandis que les réseaux d'entreprise peuvent s'attendre à être la cible d'outils de post-exploitation plus sophistiqués, tels que CobaltStrike.
Le rapport de Check Point précise ensuite que certaines caractéristiques inhabituelles de l’activité du virus Bumblebee récemment observée (telles que le fait que C2 serveurs cessent toute communication avec les hôtes infectés générant des envois de client_id à partir de l’adresse IP externe d’une organisation après avoir reçu le premier client_id provenant de ce réseau) ont conduit ses chercheurs à conclure que « si plusieurs ordinateurs d’une organisation, accédant à Internet via la même adresse IP publique, étaient infectés, le serveur C2 n’accepterait que le premier d’entre eux à avoir été infecté. »
Il est intéressant de noter que cette fonctionnalité a été soudainement désactivée il y a quelques semaines, ce qui a entraîné une augmentation spectaculaire du nombre de connexions établies vers des hôtes infectés. On ne sait toujours pas à quoi cette fonctionnalité était destinée, même s'il semble probable qu'elle ait été activée au cours d'une phase de tests intensifs.
Ce comportement inhabituel a incité Check Point Research à surveiller le comportement de Bumblebee dans divers environnements où il avait été exécuté. Tout semble indiquer que ces adresses IP soudainement connectées servent en réalité de façade à un serveur principal C2 , par l'intermédiaire duquel toutes les connexions Bumblebee sont relayées (c'est-à-dire un comportement typique d'un botnet).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L’analyse approfondie menée par les chercheurs de Check Point dresse un tableau clair d’une menace dont nous savions déjà qu’elle s’attachait à mettre à jour en permanence ses capacités, tout en enrichissant notre base de connaissances sur Bumblebee en expliquant les changements intervenus dans sa chaîne d’infection et l’activité du botnet visant à multiplier considérablement le nombre de victimes actives et à accroître le volume global du trafic C2 . »
« Bumblebee reste une menace unique et crédible, qui se distingue des autres outils de compression et de contournement tiers en utilisant son propre outil de compression non seulement pour lui-même, mais aussi pour les échantillons de logiciels malveillants qu’il déploie sur un très grand nombre d’appareils de victimes. » « Il s’agit là d’une caractéristique que Bumblebee a peut-être empruntée à d’autres familles de logiciels malveillants précurseurs de premier plan, mais qui s’avère bien plus efficace et offre une bien plus grande souplesse lorsqu’il s’agit de modifier son comportement et de s’adapter à de nouveaux environnements. »
3. De fausses failles « ProxyNotShell » ciblant Microsoft Exchange sont en vente sur GitHub
Selon un article d’ 3 octobre publié sur le blog consacré à la cybersécurité BleepingComputer, des acteurs malveillants tirent parti de l’engouement suscité par les deux vulnérabilités « zero-day » très médiatisées de Microsoft, « » (s’ouvre dans un nouvel onglet) , baptisées « ProxyNotShell », en se faisant passer pour des chercheurs en sécurité afin de vendre de faux exploits de preuve de concept liés à ProxyNotShell.
De fausses failles « ProxyNotShell » ciblant Microsoft Exchange en vente sur GitHub - @LawrenceAbrams bleepingcomputer.com/news/security/…
Qu'est-ce que ProxyNotShell ?
ProxyNotShell fait référence à ce que Microsoft décrit sur (s'ouvre dans un nouvel onglet) comme « deux vulnérabilités de type « zero-day » signalées affectant Microsoft Exchange Server 2013, Exchange Server 2016 et Exchange Server 2019 ». La première, référencée sous le numéro CVE-2022-41040, est une vulnérabilité de type « falsification de requête côté serveur » (SSRF), tandis que la seconde, référencée sous le numéro CVE-2022-41082, permet l'exécution de code à distance (RCE) lorsque l'attaquant a accès à Exchange PowerShell. »
Ces deux failles de sécurité auraient été découvertes pour la première fois par des chercheurs en sécurité de la société vietnamienne de cybersécurité GTSC, et en a fait un excellent résumé (s'ouvre dans un nouvel onglet)dans un article publié sur 29 septembre et rédigé par Kevin Beaumont (s'ouvre dans un nouvel onglet), une source de confiance de longue date du CTI et éminent chercheur en sécurité.
Un groupe APT lié à un État serait à l'origine des attaques « ProxyNotShell »
Le Centre de renseignement sur les menaces de Microsoft (MSTIC), qui affirme avoir observé des attaques ciblant les failles « ProxyNotShell » dans moins de 10 organisations à travers le monde, a estimé, avec un niveau de confiance moyen, que ces activités étaient probablement le fait d’un groupe APT lié à un État.
Bien que personne n'ait explicitement attribué cette activité à un acteur ou à un État, on a observé que les attaquants enchaînaient ces deux vulnérabilités « zero-day » dans des cycles d'attaque qui aboutissent au déploiement du shell web « China Chopper » sur les serveurs compromis, afin d'assurer la persistance, de faciliter le vol de données et de permettre des mouvements latéraux.
Des chercheurs ont identifié des dépôts GitHub comme des lieux d'activité frauduleuse visant à exploiter des failles de sécurité
Comme nous l'avons souvent constaté, dès qu'une affaire comme celle-ci retient l'attention de l'ensemble de la communauté de la sécurité de l'information, les cybercriminels de tous bords s'empressent de tenter de tirer profit du buzz suscité par l'incident et ses développements ultérieurs. Cela se traduit souvent par des campagnes de hameç es , utilisant des appâts liés au sujet en question. Avec ProxyNotShell, la situation est quelque peu différente.
John Hammond, chercheur chez Huntress Labs, a suivi de près les agissements d’un escroc en particulier, qui s’est employé à créer divers dépôts GitHub dans lesquels il tente de refiler de faux exploits de type « proof-of-concept » (POC) ciblant les vulnérabilités Exchange CVE-2022-41040 et CVE-2022-41082 – allant même jusqu’à proposer plusieurs copies, dans ce qui semble être une tentative maladroite de renforcer l’apparence de légitimité de ces POC.
Il semble y en avoir plusieurs de ce genre ; il y en a une autre avec un lien SatoshiDisk différent et qui « ne vend que CINQ exemplaires »… Je pense qu'il s'agit d'une arnaque. Plusieurs fichiers pour donner une apparence plus crédible ? J'ai signalé le compte et le dépôt à GitHub. https[:]//github[.]com/TimWallbey/CVE-2022-41082-RCE
Dans un autre exemple, un compte frauduleux , découvert par Paulo Pacheco (s'ouvre dans un nouvel onglet), se faisait passer pour Kevin Beaumont, de CTI. Il s'agit sans aucun doute d'une tentative visant à tirer profit de la réputation de ce chercheur en sécurité de renom, qui n'a cessé de recenser, avec abnégation, les nouvelles vulnérabilités d'Exchange ainsi que les mesures d'atténuation disponibles.
Que contiennent ces dépôts GitHub ?
Extrait de BleepingComputer :
« Les dépôts eux-mêmes ne contiennent rien d'important, mais le fichier README.md décrit ce que l'on sait actuellement sur ces nouvelles vulnérabilités, suivi d'un argumentaire expliquant comment ils commercialisent un exemplaire d'un exploit de type PoC pour ces vulnérabilités « zero-day ». »
« Cela signifie que cela peut passer inaperçu aux yeux de l'utilisateur, et potentiellement aussi aux yeux de l'équipe de sécurité. » « Un outil aussi puissant ne devrait pas être accessible au grand public ; il n’existe qu’un seul exemplaire, afin qu’un VRAI chercheur puisse l’utiliser : hxxps://satoshidisk[.]com/pay/xxx », peut-on lire dans le texte figurant dans le dépôt frauduleux. »
L'exploit de preuve de concept (POC) frauduleux est actuellement en vente au prix très, très bas de 0,01825265 bitcoins, soit environ 420,00 dollars (bien moins que ce que vaudrait un véritable POC, et nettement moins que ce que d'autres organisations versent à ceux qui sont capables de produire des failles « zero-day » permettant l'exécution de code (RCE) sur Microsoft Exchange).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même si les détails techniques relatifs aux failles de ProxyNotShell sont difficiles à trouver, ce n’est qu’une question de temps avant qu’une preuve de concept (POC) valable ne fasse surface. » En effet, selon diverses sources, le délai moyen entre la divulgation d'une vulnérabilité et l'apparition d'exploits POC fonctionnels serait d'environ 10-14 jours. C'est pourquoi CTI prend l'initiative de mettre en place et de maintenir des recherches actives visant à détecter l'apparition d'exploits POC conçus pour cibler des failles « zero-day » très médiatisées telles que celle-ci, dès que nous en avons connaissance. »
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
