Tout d’abord, dans le résumé de cette semaine, un conseil commun révolutionnaire en cybersécurité sur les logiciels malveillants Snake, décrit comme l’outil de cyberespionnage le plus sophistiqué jamais conçu à sortir du Centre 16 du Federal Security Service (FSB) russe. Ensuite, CTI décompose un rapport Meta révélant une augmentation des logiciels malveillants se faisant passer pour ChatGPT sur l’ensemble de ses plateformes. Enfin, la CTI enquête sur un conseil sur les menaces Cisco Talos détaillant une nouvelle plateforme de phishing en tant que service (PhaaS) appelée Greatness ciblant les organisations utilisant Microsoft 365.
1. La CISA publie un conseil conjoint en cybersécurité détaillant le fonctionnement des logiciels malveillants de Snake
La Cybersecurity and Infrastructure Security Agency (CISA) a publié un rapport conjoint sur la cybersécurité co-écrit par le DoJ, le FBI, la NSA, la Cyber National Mission Force (CNMF) de l’USCYBERCOM, le National Cyber Security Centre (NCSC) du Royaume-Uni, l’Australian Cyber Security Centre (ACSC) de l’Australie, le Canadian Centre for Cyber Security et le National Cyber Security Centre de la Nouvelle-Zélande.
Le rapport fournit des informations contextuelles importantes sur les logiciels malveillants Snake, décrits comme « l’outil de cyberespionnage le plus sophistiqué conçu et utilisé par le Centre 16 du Federal Security Service (FSB) de Russie. »
Les communiqués de presse ultérieurs de la NSA et du DoJ décrivent les efforts interagences des organisations énumérées ci-dessus pour identifier et perturber l’infrastructure opérationnelle de Snake.
Qu’est-ce qu’un logiciel malveillant Snake ?
Selon BleepingComputer, Snake a été initialement suivi sous le nom d’ Uroburos, son développement commençant apparemment dès la fin du 2003 et les premières versions finalisées de l’implant se sont finalisées au début de l’année suivante. Les attaques d’espionnage qui comportaient le logiciel malveillant, attribuées aux pirates informatiques soutenus par l’État russe, ont suivi rapidement.
La CISA attribue la sophistication de Snake à trois aspects principaux.
- Snake atteint un niveau rare de discrétion dans ses composants hôtes et ses communications réseau.
- L’architecture technique interne de Snake permet d’intégrer facilement des composants nouveaux ou de remplacement. Cela facilite également le développement et l’interopérabilité des instances Snake exécutées sur différents systèmes d’exploitation hôtes. Les auteurs ont observé des implants Snake interopérables conçus pour cibler les systèmes d’exploitation Windows, MacOS et Linux.
- Snake fait preuve d’une conception et d’une mise en œuvre minutieuses en matière d’ingénierie logicielle. L’implant contient très peu de bugs.
En plus de l’efficacité considérable de l’implant, la capacité de ses développeurs FSB à mettre rapidement en œuvre de nouvelles fonctionnalités et techniques en réponse aux rapports open source sur les tactiques, techniques et procédures (TTP) de Snake.
Les auteurs de l’avis conjoint citent les modifications continues de Snake comme un obstacle récurrent à l’identification et à la collecte de Snake et de ses artefacts connexes, mettant finalement un frein sur tous les efforts sérieux pour créer des détections fiables à exploiter avec des outils défensifs basés sur l’hôte et le réseau.
Créer un implant de cyberespionnage aussi efficace et étonnamment durable que Snake dépend principalement de sa capacité à maintenir la discrétion à long terme. Les logiciels malveillants de ce calibre sont conçus pour des campagnes d’espionnage qui impliquent de rester sur la cible, non détectés pendant des mois, voire des années, afin de fournir un accès cohérent à des informations précieuses et de faciliter leur collecte/exfiltration.
Compte tenu de cela, Snake est le résultat « exceptionnellement sophistiqué » d’une initiative FSB déterminée, engagée à permettre un accès caché à des cibles de grande valeur pendant des périodes indéfinies à l’appui des exigences de renseignement (IR).
Qui est responsable des logiciels malveillants Snake ?
Les co-auteurs du conseil commun attribuent les opérations de Snake à « une unité connue au sein du Centre 16 du FSB ».
Outre Snake, cette unité aurait accès à divers autres éléments de l’ensemble d’outils censés appartenir au célèbre groupe de menaces soutenu par la Russie, Turla. Snake a été régulièrement présenté dans son jeu d’outils, démontrant l’impact considérable de l’implant sur plusieurs aspects des cyberopérations contemporaines de FSB.
L’avis affirme que Snake a représenté une composante essentielle des opérations du Centre 16’s pendant presque aussi longtemps que l’unité a fonctionné sous les auspices du FSB.
victimologie des logiciels malveillants Snake
Au cours de l’enquête, l’infrastructure liée à l’opération a été découverte dans plus de 50 pays d’Amérique du Nord, d’Amérique du Sud, d’Afrique, d’Europe, d’Asie et d’Australie, y compris les États-Unis et la Russie.
Les organisations basées aux États-Unis dans plusieurs secteurs verticaux ont été touchées, notamment l’éducation, les entreprises privées, les médias et les secteurs désignés comme infrastructures critiques, tels que les installations gouvernementales, les services financiers, la fabrication et les communications.
À partir de l’avis conjoint :
Bien que Snake exploite l’infrastructure dans tous les secteurs, son ciblage est déterminé et tactique par nature. Par exemple, si un système infecté ne répondait pas aux communications de Snake, les acteurs du FSB le réinfecteraient stratégiquement en quelques jours. À l’échelle mondiale, le FSB a utilisé Snake pour collecter des informations sensibles auprès de cibles hautement prioritaires, telles que les réseaux gouvernementaux, les installations de recherche et les journalistes.
Méthodologie Snake
Une déclaration sous serment et un mandat de perquisition révèlent que les agences gouvernementales américaines surveillent les programmes malveillants et les opérations liés à Snake et à Snake depuis une bonne partie des 20 dernières années, un effort qui comprenait de surveiller étroitement les pirates informatiques de Turla lorsqu’ils ont déployé Snake depuis une installation FSB en Russie.
Ces initiatives conjointes et d’autres ont fourni un aperçu significatif de l’architecture de Snake, ainsi que d’autres outils et TTP employés pendant les opérations avec l’implant.
À partir de l’avis conjoint :
Le FSB déploie généralement Snake sur des nœuds d’infrastructure externes sur un réseau, et à partir de là utilise d’autres outils et TTP sur le réseau interne pour effectuer des opérations d’exploitation supplémentaires. Après avoir obtenu et cimenté l’entrée dans un réseau cible, le FSB énumère généralement le réseau et s’efforce d’obtenir des informations d’identification d’administrateur et d’accéder aux contrôleurs de domaine. Un large éventail de mécanismes a été utilisé pour collecter les informations d’identification des utilisateurs et des administrateurs afin de s’étendre latéralement sur le réseau, pour inclure des enregistreurs de frappe, des renifleurs réseau et des outils open source.
Les opérations sont activées par les pirates informatiques FSB qui effectuent une reconnaissance réseau préalable, cartographiant les réseaux et obtenant les informations d’identification nécessaires pour les domaines des cibles.
Snake est si efficace en tant qu’outil de collecte d’informations qu’il était rare que ses opérateurs utilisent des implants « lourds » supplémentaires. Au lieu de cela, ils s’appuyaient principalement sur des outils d’accès à distance internes légers et la petite coque inversée distante occasionnelle pour faciliter les fonctions interactives de Snake.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Si rien d’autre, les révélations contenues dans les conseils conjoints et les divers communiqués de presse couvrant la destruction de l’infrastructure mondiale des logiciels malveillants de Snake aux mains d’une équipe multinationale d’agences de cybersécurité et d’application de la loi servent de rappel flagrant de deux choses :
- Tout d’abord, les pirates informatiques et les développeurs de logiciels malveillants parrainés par l’État russe opèrent à un niveau rivalisant avec de nombreux grands fabricants de logiciels opérant aujourd’hui. Cela est évident dans la complexité, la longévité et l’efficacité suprême de Snake.
- Deuxièmement, il est clair que la communauté du renseignement américaine adopte une position plus agressive envers les cybercriminels (soutenus par l’État ou autrement) opérant à partir d’un sol étranger. »
2. Les pirates informatiques utilisent les appâts ChatGPT pour propager des logiciels malveillants sur Facebook
La société mère de Facebook, Meta, observe une augmentation des logiciels malveillants se faisant passer pour ChatGPT sur l’ensemble de ses plateformes.
Depuis mars 2023, l’équipe de sécurité de Meta a découvert 10 familles de logiciels malveillants utilisant ChatGPT et d’autres thèmes liés à l’IA pour fournir des logiciels malveillants. Ces familles de logiciels malveillants comprennent Ducktail et
NodeStealer et les victimes cibles via des extensions de navigateur malveillantes, des publicités et diverses plateformes de réseaux sociaux.
Voici quelques points clés à retenir :
- Au cours des derniers mois, Meta a mené une enquête et a pris des mesures contre plusieurs souches de logiciels malveillants qui tiraient parti de l’intérêt de la population pour ChatGPT et les fonctionnalités liées à l’IA. Les dernières tentatives observées par Meta ciblaient plus que Facebook et comprenaient des services de partage de fichiers tels que Dropbox, Google Drive, Mega, MediaFire, Discord, Atlassian’s Trello, OneDrive et iCloud pour héberger des logiciels malveillants.
- Dans un cas observé par Meta, l’acteur malveillant a créé des extensions de navigateur malveillantes qui ont été mises à disposition dans des boutiques en ligne officielles qui prétendaient offrir des outils basés sur ChatGPT. Ces extensions de navigateur ont ensuite été promues sur les sites de réseaux sociaux et via des résultats de recherche sponsorisés pour inciter les victimes à télécharger des logiciels malveillants.
- Dans certains cas, les extensions comprenaient une fonctionnalité ChatGPT légitime avec le logiciel malveillant. En réponse à cela, Meta a bloqué le partage de plus de 1 000 URL malveillantes uniques sur le thème de ChatGPT sur leurs plateformes.
Qu’est-ce qu’un logiciel malveillant Ducktail ?
Les logiciels malveillants Ducktail existent depuis un certain temps et sont conçus pour voler les cookies de navigateur et tirer parti des sessions Facebook non authentifiées. Il cible également LinkedIn pour élaborer socialement les victimes afin de télécharger des logiciels malveillants et tire parti des services d’hébergement de fichiers pour héberger ses logiciels malveillants.
Meta a suivi et bloqué diverses itérations de Ducktail au fil des ans. Dans la dernière itération, les opérateurs de Ducktail ont commencé à accorder automatiquement des permissions d’administration commerciale aux demandes d’actions liées à la publicité envoyées par les attaquants afin d’accélérer leurs opérations.
Quelle est la souche de logiciels malveillants de NodeStealer ?
Meta a récemment découvert et perturbé une nouvelle souche de logiciels malveillants connue sous le nom de NodeStealer. En janvier 2023, son équipe de sécurité a observé le logiciel malveillant ciblant les navigateurs Internet sur les appareils Windows, l’objectif étant de voler des cookies et des noms d’utilisateur/mots de passe enregistrés. NodeStealer est un logiciel malveillant JavaScript personnalisé qui est considéré comme d’origine vietnamienne.
Meta a pris des mesures pour perturber NodeStealer, prétendument dans les deux semaines suivant son déploiement. Ils ont soumis plusieurs demandes de retrait à des registraires tiers, des fournisseurs d’hébergement et des services d’application qui ont été ciblés par ces acteurs malveillants. Selon Meta, ces actions ont entraîné la perturbation réussie du logiciel malveillant.
NodeStealer est généralement fourni sous forme de fichier PDF ou Excel déguisé avec l’icône et le nom de fichier légitimes appropriés pour inciter les personnes à ouvrir le fichier malveillant.
Son objectif est de voler les mots de passe stockés et les informations de session de cookies des navigateurs basés sur Chromium. Le logiciel malveillant cible les navigateurs Chrome, Opera, Microsoft Edge et Brave pour ces informations.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’intérêt du public pour ChatGPT et les technologies liées à l’IA continue de croître, ce qui ne fait qu’admettre que les acteurs malveillants travaillent dur pour tirer parti de cet intérêt croissant. »
« Meta prétend avoir perturbé la famille des logiciels malveillants NodeStealer, et, bien que ce soit certainement positif, ce n’est qu’une question de temps jusqu’à la prochaine cyberactivité liée à ChatGPT. »
3. Le nouvel outil de phishing en tant que service apparaît de manière générique
Cisco Talos a publié un avis sur les menaces détaillant une nouvelle plateforme de phishing en tant que service (PhaaS) appelée Greatness.
Cette plateforme a été observée ciblant les organisations utilisant Microsoft 365, avec de nombreuses victimes situées aux États-Unis. Le service comprend des fonctionnalités qui préremplissent l’adresse e-mail de la victime et affichent automatiquement le logo de l’entreprise approprié et l’image d’arrière-plan qui est extraite de la véritable page de connexion Microsoft 365 de l’organisation.
Le kit d’hameçonnage fonctionne avec l’API Greatness pour demander des informations à la victime et tente de se connecter à la page Microsoft 365 légitime en temps réel.
Qu’est-ce que la plateforme PhaaS Greatness ?
Une grandeur a été observée dans plusieurs campagnes d’hameçonnage différentes depuis au moins mi-2022, avec des pics observés dans décembre 2022 et mars 2023. Il intègre des fonctionnalités similaires à celles observées dans certaines des offres PhaaS les plus avancées, y compris le bypass d’ authentification multifacteur (MFA), le filtrage IP et l’intégration aux robots Telegram.
À l’heure actuelle, l’outil est axé sur les pages Microsoft 365 et fournit à ses affiliés un générateur de pièces jointes et de liens pour créer des pages de connexion hautement convaincantes. Comme indiqué précédemment, elle est capable de pré-remplir l’adresse e-mail de la victime et d’afficher automatiquement le logo de l’entreprise et l’image d’arrière-plan appropriés, qu’elle a extraits de la page de connexion légitime. Cela rend Greatness attrayant pour les acteurs malveillants qui cherchent à hameçonnage des utilisateurs professionnels.
Les affiliés qui utilisent Greatness doivent déployer et configurer un kit d’hameçonnage fourni avec une clé API, ce qui permet même aux acteurs malveillants non qualifiés de tirer parti du service. Le kit d’hameçonnage et l’API fonctionnent comme un proxy au système d’authentification Microsoft 365 , effectuant une attaque de l’homme du milieu pour voler les informations d’identification d’authentification ou les cookies de la victime.
Le PhaaS Greatness se compose de trois composants, dont un kit d’hameçonnage contenant le panneau d’administration, l’API de service et un robot Telegram ou une adresse e-mail.
Activité et victimologie
- La grandeur semble avoir fait ses débuts mi-2022 avec des pics dans décembre 2022 et mars 2023, en fonction du nombre d’échantillons de pièces jointes disponibles sur VirusTotal.
- Chaque campagne observée a une orientation géographique légèrement différente. Cependant, plus de 50 % de toutes les cibles étaient basées aux États-Unis.
- Greatness est conçu pour compromettre les utilisateurs de Microsoft 365 , ce qui rend son pool de victimes potentielles très important. D’après les recherches effectuées par Cisco Talos, les secteurs de la fabrication, de la santé et de la technologie ont été les plus ciblés par Greatness.
Un aperçu du flux d’attaque Greatness
Le flux d’attaque d’une campagne impliquant Greatness commence lorsqu’une victime reçoit un e-mail malveillant. Ces e-mails contiennent généralement un fichier HTML en pièce jointe et incitent la victime à l’ouvrir.
Lorsque la victime ouvre le fichier HTML, le navigateur Web exécute un court morceau de code JavaScript masqué pour établir une connexion au serveur de l’attaquant. Cette connexion permet à Greatness d’obtenir le code HTML de la page d’hameçonnage et de l’afficher à l’utilisateur dans la même fenêtre de navigateur. Le code contient une image floue et une roue tournante, donnant l’impression que le document est en cours de chargement. La page redirigera la victime vers une page de connexion Microsoft 365 qui est pré-remplie avec l’adresse e-mail de la victime et l’arrière-plan/logo personnalisé correspondant utilisé par son entreprise.
Une fois que la victime a soumis son mot de passe, Greatness tente de se connecter à Microsoft 365 avec les informations d’identification de la victime. Si la victime a activé la MFA, le service invitera la victime à s’authentifier.
Lorsque le service reçoit la demande d’AMF, il continue d’usurper l’identité de la victime en coulisses, en terminant le processus de connexion et en collectant les cookies de session authentifiés. Cela est ensuite fourni à la filiale de service sur son canal Telegram ou directement via le panneau Web.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce qui est le plus intéressant dans le PhaaS Greatness, c’est qu’il ne se termine pas par le vol d’informations d’identification comme le phishing traditionnel. Greatness soumet les informations d’identification volées à la page de connexion Microsoft légitime en temps réel, donnant à l’acteur malveillant un accès immédiat au compte de la victime. »
« Il n’y a pas encore trop d’informations disponibles sur ce à quoi ressemble l’e-mail Greatness, mais CTI fournira des mises à jour au fur et à mesure que de plus amples informations seront révélées. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
