Dans le tour d'horizon de cette semaine, CTI vous présente les points clés à retenir du rapport « Threat Horizons » de Google Cloud portant sur le troisième trimestre de 2023. Dans un prochain article, CTI se penchera sur l'acteur étatique nord-coréen BlueNoroff et sur son lien avec un logiciel malveillant pour macOS jusqu'alors inconnu, baptisé ObjCShellz. CTI présente également un aperçu de Predator AI, un nouvel outil de vol d'informations et de piratage basé sur Python qui cible les services cloud.
1. Google Cloud publie son rapport « Q3 Threat Horizons »
Le dernier rapport « Threat Horizons » de Google Cloud, intitulé « » (s'ouvre dans un nouvel onglet) et portant sur le troisième trimestre de 2023 , est désormais disponible. Il présente des analyses et des recommandations spécifiques au cloud, élaborées par les équipes de renseignement et de sécurité de l'entreprise.
Il convient de noter que le rapport met en garde contre plusieurs acteurs malveillants qui partagent un exploit de preuve de concept (PoC) public exploitant le service Google Agenda pour héberger une infrastructure C2 .
Les cybercriminels ciblent les données hébergées dans le cloud via des solutions SaaS
À mesure que les organisations continuent d'adopter des solutions SaaS hébergées dans le cloud, la surface d'attaque dont disposent les acteurs malveillants ne cesse de s'étendre. Au cours des derniers mois, Google a constaté que des acteurs malveillants recouraient à diverses tactiques pour accéder à des systèmes SaaS hébergés dans le cloud et en exfiltrer des données. Google constate également des attaques dans lesquelles les auteurs exploitent plusieurs systèmes à la fois.
Utiliser Google Agenda à des fins non prévues pour héberger l'infrastructure C2
Le rapport souligne également que les auteurs de menaces ont de plus en plus tendance à privilégier les services cloud légitimes pour héberger leurs infrastructures malveillantes. Cela s'explique en partie par le fait que les services de cloud public offrent une infrastructure économique et fiable à laquelle les entreprises font confiance. Les acteurs malveillants utilisent les services de cloud public pour se fondre dans d'importants volumes de trafic légitime et échapper à la détection.
For several years, threat actors have abused cloud-based storage to host campaign infrastructure, deliver malware, act as malware C2, and upload exfiltrated data. L'utilisation abusive de Google Agenda est la dernière tendance en date. Dans « juin 2023 », un développeur indépendant a publié sur GitHub un code de preuve de concept pour le « Google Calendar RAT ». Google n'a pas encore détecté ce RAT de Google Agenda en circulation, mais a constaté que plusieurs acteurs malveillants le partageaient sur des forums clandestins, ce qui témoigne clairement d'un certain intérêt.
Cet outil utilise les événements de Google Agenda à C2 fins différentes. Cela permet à un acteur malveillant d'insérer des commandes dans le champ de description des événements du calendrier. Le RAT Google Agenda interroge régulièrement la description des événements du calendrier à la recherche de nouvelles commandes, les exécute, puis met à jour la description de l'événement avec le résultat de la commande.
Le développeur de ce logiciel malveillant affirme qu'il communique exclusivement via l'infrastructure légitime de Google afin d'échapper à la détection.
Abus liés au « typosquatting » sur les plateformes de stockage dans le cloud
Les cybercriminels font évoluer leurs tactiques pour y inclure des attaques de « typosquatting » visant des plateformes de stockage dans le cloud telles que Google Cloud Storage, Amazon S3 et Azure Blob.
Les noms des espaces de stockage dans le cloud sont uniques au monde parmi tous les fournisseurs de services cloud, mais ne sont pas spécifiquement liés à une organisation. De ce fait, un cybercriminel peut usurper le nom d'une entreprise si le nom d'un « bucket » est disponible. De même, si l'orthographe exacte du nom d'une entreprise n'est pas connue, un cybercriminel peut recourir à une attaque de « typosquatting ». Dans le cadre d'une enquête, Google a constaté qu'environ 60 % des entreprises possédaient une ou plusieurs URL de stockage dans le cloud victimes de « typosquatting ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La découverte du PoC RAT de Google Agenda, bien qu'il n'ait pas encore été observé en conditions réelles, démontre clairement l'intérêt persistant pour l'utilisation abusive des services cloud afin de se fondre dans le trafic légitime.
Le rapport de Google aborde ensuite diverses techniques, tactiques et procédures (TTP) utilisées pour compromettre les environnements cloud. Ce qui est intéressant, c'est que leurs données indiquent que les victimes dans le cloud ne sont pas victimes d'attaques d'une complexité ou d'un niveau de sophistication exceptionnels, mais que ces attaques résultent souvent de TTP courantes et bien connues. Cela aide les responsables de la sécurité et les professionnels de la cybersécurité à déterminer où concentrer en priorité leurs efforts de détection.
2. BlueNoroff pirate des ordinateurs sous macOS à l'aide du logiciel malveillant ObjCshellz
Les chercheurs de Jamf Threat Labs attribuent l' e nord-coréenne BlueNoroff, un acteur étatique (s'ouvre dans un nouvel onglet) , à un logiciel malveillant macOS jusqu'alors inconnu, appelé ObjCShellz. Ce logiciel malveillant est utilisé dans le cadre de la campagne de logiciels malveillants « RustBucket », qui a été révélée pour la première fois dans l'article « avril 2023 ».
Découverte et contexte
Jamf a récemment identifié une nouvelle variante de logiciel malveillant appelée ObjCShellz (s'ouvre dans un nouvel onglet), qu'elle a attribuée au groupe APT BlueNoroff. BlueNoroff serait une branche du groupe Lazarus et aurait tendance à mener des attaques à des fins financières. L'acteur s'en prend régulièrement à des sociétés de capital-investissement, des banques et des plateformes d'échange de cryptomonnaies.
Jamf a découvert cette nouvelle variante de logiciel malveillant lors d'une opération de détection proactive des menaces. Dans ce cas précis, il a identifié un binaire universel Mach-O qui communiquait avec un domaine précédemment identifié comme malveillant. Lorsqu'il a été découvert pour la première fois, ce fichier exécutable n'a pas été identifié comme malveillant par VirusTotal.
Le fichier binaire « ProcessRequest » est signé de manière ad hoc et a été observé en train de communiquer avec swissborg[.]blog. Le logiciel malveillant divise l'URL C2 en deux chaînes distinctes qui sont ensuite reliées entre elles afin de contourner la détection statique. Ce domaine s'inscrit dans le prolongement d'autres activités précédemment associées à BlueNoroff — notamment la campagne « RustBucket » menée par l' , accessible via les liens suivants : (s'ouvre dans un nouvel onglet),et .
L'association « RustBucket » de BlueNoroff
Dans le cadre de l'opération « RustBucket », l'auteur de la menace prend contact avec une victime en feignant de s'intéresser à un partenariat avec elle ou en lui proposant quelque chose, tout en se faisant passer pour un investisseur ou un recruteur.
BlueNoroff crée ensuite un domaine qui semble appartenir à une entreprise légitime du secteur des cryptomonnaies afin de se fondre dans le trafic réseau de confiance. Le domaine « swissborg » s'inscrit dans le cadre de cette activité, car « swissborg » est utilisé par une plateforme d'échange de cryptomonnaies légitime.
Le domaine swissborg[.]blog a été créé en mai 2023 et a permis de mettre au jour plusieurs URL supplémentaires utilisées pour la communication du logiciel malveillant. Ce domaine pointe également vers une adresse IP qui avait déjà été associée à un logiciel malveillant utilisé par BlueNoroff.
Détails techniques
- Ce logiciel malveillant est écrit en Objective-C. Il s'agit d'un shell distant assez simple, destiné à exécuter les commandes shell envoyées depuis le serveur d'attaque.
- L'accès initial n'est pas confirmé pour l'instant, car ce logiciel malveillant est utilisé à un stade ultérieur pour exécuter manuellement des commandes une fois le système compromis.
- Ce logiciel malveillant se distingue des autres types de logiciels malveillants de la campagne RustBucket, mais semble néanmoins offrir une fonctionnalité de shell à distance de base.
- Une fois exécuté, le logiciel malveillant appellera une fonction intitulée « sendRequest » afin d'envoyer un message POST à une URL « swissborg » codée en dur. Il recueille ensuite des informations sur le processus du logiciel malveillant lui-même avant de déterminer la version de macOS.
- La fonction principale du programme consiste à initialiser une instance de la classe `ProcessRequest` avant de configurer une minuterie récurrente. Le minuteur déclenchera la méthode `sendRequest` à intervalles réguliers afin de garantir l'envoi périodique de requêtes réseau.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce logiciel malveillant semble avoir des fonctionnalités limitées : il offre un simple shell distant et exécute les commandes shell qu'il reçoit. En raison de sa simplicité et du manque de données disponibles concernant son accès initial, on estime qu’il est utilisé comme un logiciel malveillant de phase avancée sur un système déjà compromis.
Cela dit, il est important de bien comprendre les différentes TTP couramment utilisées par BlueNoroff. En vous familiarisant avec ses TTP, il est possible de détecter toute activité malveillante bien avant le déploiement d'ObjCShellz.
3. Un programme de vol d'informations basé sur ChatGPT cible les plateformes cloud
Des chercheurs ont découvert un programme de vol d'informations basé sur Python (s'ouvre dans un nouvel onglet) ainsi qu'un outil de piratage appelé Predator AI qui cible les services cloud.
Le développeur de Predator AI a intégré une classe basée sur ChatGPT dans le script Python afin de faciliter l'utilisation de l'outil et de créer une interface unique, pilotée par du texte, permettant d'accéder à l'ensemble des fonctionnalités. Ce logiciel de vol d'informations ne semble pas encore prêt à être utilisé en production, mais il illustre bien la manière dont les auteurs de menaces commencent à intégrer de manière concrète l'IA pour améliorer leurs processus de travail.
Qu'est-ce que Predator AI ?
L'IA « Predator » fait l'objet de publicités sur diverses chaînes Telegram consacrées au piratage informatique. Son objectif principal est de faciliter les attaques visant les applications web utilisant diverses technologies, telles que les systèmes de gestion de contenu et les services de messagerie dans le cloud, comme Amazon Simple Email Service (SES). Il s'agit d'un outil polyvalent qui fait encore l'objet d'un développement actif.
Informations techniques concernant Predator AI
- Predator est une application Python comptant plus de 11 000 lignes de code.
- Il s'exécute via une interface graphique basée sur Tkinter. Il n'existe pas de mode d'interface en ligne de commande autonome, ce qui le distingue de nombreux autres outils similaires.
- Le script comporte 13 classes globales définies qui regroupent différentes fonctionnalités. Cela comprend notamment le gonflement de la taille d'un fichier, la création de faux messages d'erreur, la compilation d'un programme de vol d'informations sous forme de fichier Windows PE, l'interrogation de l'API OpenAI, et bien d'autres choses encore.
- Les attaques de l'application web Predator ciblent les faiblesses courantes, les erreurs de configuration et les vulnérabilités. Il cible des technologies telles que Drupal, Joomla, Laravel, Magento, OpenCart, osCommerce, PrestaShop, vBulletin et WordPress.
La classe GPTj
La classe GPTj contient les fonctionnalités réelles de l'IA du Predator. Cette fonctionnalité est une interface de traitement de texte de type « chat » qui permet à l'utilisateur d'accéder aux fonctionnalités de Predator. Il recherche des solutions locales avant d'interroger l'API OpenAI afin de réduire la consommation de l'API.
La classe GPTj recherche, dans les données saisies par un utilisateur, des chaînes de caractères associées à un cas d'utilisation connu. Sentinel One a recensé plus de 100 cas dans lesquels Predator traitait les données soit en interne, soit par l'intermédiaire d'un service tiers gratuit. Cette classe contient également quelques utilitaires partiellement implémentés liés à la fois à AWS SES et à Twilio, ainsi que des utilitaires permettant de collecter des informations sur les adresses IP et les numéros de téléphone. Predator n'interrogera l'API ChatGPT que s'il n'existe aucun cas de test permettant de traiter l'entrée reçue.
Fonctionnalités d'AWS
Cet utilitaire essentiel est actuellement intégré au script. Toutefois, certaines fonctions non liées à AWS sont disponibles. Sentinel One estime que cela s'explique probablement par le fait que ces fonctionnalités sont encore en cours de développement.
Le script analysera les données d'entrée pour vérifier la présence du fichier aws.c et, le cas échéant, appellera les fonctions suivantes :
- Vérifiez tous les comptes de messagerie dans un environnement AWS SES.
- Vérifiez les quotas d'envoi.
- Créez un nouveau compte, attribuez-lui des droits d'administrateur et supprimez l'ancien compte.
À propos de la classe StealerBuilder
La classe StealerBuilder contient les variables de configuration nécessaires à la création d'un programme de vol d'informations. Le mois dernier, le développeur a publié une vidéo détaillant le processus de création de ce programme de vol de données. Le développeur a également confirmé que le fichier exécutable est totalement indétectable.
Le programme malveillant peut être configuré pour utiliser soit les webhooks de Discord, soit ceux de Telegram pour ses communications C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'émergence d'un projet tel que « Predator AI » n'a rien de surprenant, compte tenu de l'engouement actuel pour l'IA et les modèles de langage à grande échelle (LLM).
Bien que cet outil constitue une avancée vers une adoption accrue de l'IA par les acteurs malveillants, Predator AI n'est que partiellement opérationnel. Comme le souligne Sentinel One, à ce stade, cette intégration n'augmente pas de manière significative les capacités d'un attaquant.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
