Dans le résumé de cette semaine, CTI fournit les principaux enseignements du rapport Threat Horizons de Google Cloud du troisième trimestre 2023. La CTI suivante enquête sur l’acteur national BlueNoroff de Corée du Nord et sa connexion à un logiciel malveillant macOS précédemment non documenté appelé ObjCShellz. CTI fournit également un aperçu de Predator AI, un nouvel infostealer et outil de piratage basé sur Python qui cible les services cloud.
1. Google Cloud publie son rapport Q3 Threat Horizons
Le dernier rapport Threat Horizons de Google Cloud pour le troisième trimestre 2023 est désormais disponible, offrant des recherches et des recommandations spécifiques au cloud des équipes de renseignement et de sécurité de l’entreprise.
Il convient de noter que le rapport avertit de plusieurs acteurs malveillants partageant une exploitation publique de preuve de concept (PoC) qui exploite le service de calendrier Google pour héberger l’infrastructure C2 .
Les acteurs malveillants ciblent les données sur le SaaS hébergé dans le cloud
Alors que les organisations continuent d’adopter le SaaS hébergé dans le cloud, la surface d’attaque pour les acteurs malveillants continue de s’étendre. Au cours des derniers mois, Google a vu des acteurs malveillants tirer parti d’une gamme de tactiques pour accéder aux données des systèmes SaaS hébergés dans le cloud et les exfiltrer. Google observe également des attaques où les acteurs malveillants exploitent plusieurs systèmes à la fois.
Utilisation abusive de Google Calendar pour héberger l’infrastructure C2
Le rapport mentionne également comment les acteurs malveillants privilégient de plus en plus les services cloud légitimes pour héberger une infrastructure malveillante. Cela s’explique en partie par le fait que les services de cloud public offrent une infrastructure bon marché et fiable à laquelle les entreprises font confiance. Les acteurs malveillants utilisent des services de cloud public pour se fondre dans de grands volumes de trafic légitime et éviter la détection.
Depuis plusieurs années, les acteurs malveillants abusent du stockage basé sur le cloud pour héberger l’infrastructure de campagne, fournir des logiciels malveillants, agir comme des logiciels malveillants C2 et télécharger des données exfiltrées. L’utilisation abusive de Google Calendar est la dernière tendance émergente. En juin 2023, un développeur indépendant a publié un code de preuve de concept sur GitHub pour « Google Calendar RAT ». Google n’a pas encore vu ce RAT Google Calendar dans la nature, mais a noté plusieurs acteurs malveillants le partageant sur des forums souterrains, indiquant clairement un certain niveau d’intérêt.
Cet outil utilise les événements Google Calendar à des fins C2 . Il permet à un acteur malveillant de placer des commandes dans le champ de description des événements du calendrier. Le RAT du calendrier Google interroge périodiquement la description de l’événement du calendrier pour les nouvelles commandes, les exécute et met à jour la description de l’événement avec la sortie de commande.
Le développeur du logiciel malveillant affirme qu’il communique exclusivement via une infrastructure Google légitime pour échapper à la détection.
Typologie des abus sur les plateformes de stockage cloud
Les acteurs malveillants font évoluer leurs tactiques pour inclure des attaques de typosquattage sur des plateformes de stockage cloud telles que Google Cloud Storage, Amazon S3 et Azure Blob.
Les noms de stockage cloud sont uniques à l’échelle mondiale parmi les fournisseurs de cloud, mais ne sont pas liés spécifiquement à une organisation. Pour cette raison, un acteur malveillant peut falsifier le nom d’une entreprise si un nom de compartiment est disponible. De même, si l’orthographe exacte d’un nom d’entreprise n’est pas disponible, un acteur malveillant peut recourir à une attaque de typosquattage. Dans une enquête, Google a découvert qu’environ 60 % des organisations avaient une ou plusieurs URL de stockage cloud typosquattées.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La découverte du PoC RAT de Google Calendar, bien que non encore observé à l’état sauvage, démontre clairement un intérêt continu à utiliser les services cloud pour se fondre dans le trafic légitime.
Le rapport de Google continue en parlant de divers TTP pour compromettre les environnements cloud. Ce qui est intéressant, c’est que leurs données indiquent que les victimes dans le cloud ne sont pas compromises par des attaques complexes ou avancées révolutionnaires et sont souvent le résultat de PTT courants et bien connus. Cela aide les défenseurs et les professionnels de la sécurité à comprendre où hiérarchiser les efforts de détection.
2. BlueNoroff pirate les machines macOS avec le logiciel malveillant ObjCshellz
Les chercheurs de Jamf Threat Labs attribuent l’ acteur national BlueNoroff de Corée du Nord à un logiciel malveillant macOS précédemment non documenté appelé ObjCShellz. Le logiciel malveillant est utilisé dans le cadre de la campagne de logiciels malveillants RustBucket qui a été mise en lumière pour la première fois en avril 2023.
Découverte et arrière-plan
Jamf a récemment identifié une nouvelle variante de logiciel malveillant appelée ObjCShellz, qu’ils ont attribuée au groupe APT BlueNoroff. BlueNoroff est considéré comme un élément subordonné du groupe Lazarus et a tendance à mener des attaques motivées financièrement. L’acteur cible fréquemment les sociétés de capitaux, les banques et les bourses de cryptomonnaie.
Jamf a découvert la nouvelle variante du logiciel malveillant lors de la recherche de menaces de routine. Dans ce cas, elle a identifié un binaire universel Mach-O qui communiquait avec un domaine précédemment déterminé comme malveillant. L’exécutable n’a pas été détecté comme malveillant sur VirusTotal lorsqu’il a été découvert pour la première fois.
Le binaire, ProcessRequest, est signé ad hoc et a été observé en train de communiquer avec le blog swissborg[.]. Le logiciel malveillant divise l’URL C2 en deux chaînes distinctes qui sont liées ensemble pour échapper à la détection statique. Ce domaine s’aligne sur d’autres activités qui ont été précédemment associées à BlueNoroff, en particulier la campagne RustBucket.
Association RustBucket de BlueNoroff
Dans la campagne RustBucket, l’acteur malveillant contacte une victime qui prétend être intéressée par un partenariat avec elle ou par une offre tout en se faisant passer pour un investisseur ou un chasseur de têtes.
BlueNoroff crée ensuite un domaine qui semble appartenir à une entreprise de cryptomonnaie légitime pour se fondre avec une activité réseau fiable. Le domaine swissborg s’aligne sur cette activité, car swissborg est utilisé par un échange de cryptomonnaie légitime.
Le domaine de blog swissborg[.]a été créé en mai 2023 et a révélé plusieurs URL supplémentaires utilisées pour la communication du logiciel malveillant. Le domaine se résout également en une adresse IP qui a été précédemment associée à un logiciel malveillant utilisé par BlueNoroff.
Détails techniques
- Le logiciel malveillant est écrit dans Objective-C. Il s’agit d’un shell distant assez simple dans le but d’exécuter des commandes shell envoyées depuis le serveur d’attaque.
- L’accès initial n’est pas confirmé à ce stade, car le logiciel malveillant est utilisé ultérieurement pour exécuter manuellement des commandes après la compromission du système.
- Le logiciel malveillant diffère des autres types de la campagne RustBucket, mais semble toujours fournir une capacité de shell à distance de base.
- Une fois exécuté, le logiciel malveillant appellera une fonction intitulée sendRequest pour envoyer un message POST à une URL suisse codée en dur. Il obtient ensuite des informations sur le processus malveillant lui-même avant de déterminer la version de macOS.
- La fonction principale du programme est d’initialiser une instance de la classe ProcessRequest avant de configurer une minuterie répétitive. Le minuteur déclenchera la méthode sendRequest à intervalles réguliers pour s’assurer que les demandes réseau périodiques se produisent.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ce logiciel malveillant semble limité, offrant une shell à distance simple et exécutant des commandes shell qu’il reçoit. En raison de sa simplicité et du manque de données disponibles concernant l’accès initial, on pense qu’il est utilisé comme logiciel malveillant de stade ultérieur sur un système déjà compromis.
Cela dit, il est important de comprendre les différents TTP que BlueNoroff utilise généralement. En vous familiarisant avec ses TTP, il est possible de repérer les activités malveillantes bien avant le déploiement d’ObjCShellz.
3. L’infostealer alimenté par ChatGPT cible les plateformes cloud
Les chercheurs ont découvert un infostealer et un outil de piratage basés sur Python , appelé Predator AI, qui cible les services cloud.
Le développeur de Predator AI a mis en œuvre une classe axée sur ChatGPT dans le script Python pour rendre l’outil plus facile à utiliser et servir d’interface unique axée sur le texte entre les fonctionnalités. L’infostealer ne semble pas encore prêt pour la production, mais illustre comment les acteurs malveillants commencent à intégrer de manière réaliste l’IA pour améliorer leurs workflows.
Qu’est-ce que l’IA Predator ?
Predator AI fait l’objet d’une publicité sur divers canaux Telegram liés au piratage. Son objectif principal est de faciliter les attaques par les applications Web contre une gamme de technologies telles que les systèmes de gestion de contenu et les services de messagerie cloud tels qu’Amazon Simple Email Service (SES). Il s’agit d’un outil polyvalent qui est toujours en cours de développement actif.
Détails techniques sur Predator AI
- Predator est une application Python avec plus de 11 000 lignes de code.
- Il s’exécute via une interface graphique basée sur Tkinter. Il n’existe pas de mode d’interface de ligne de commande autonome, ce qui le distingue de nombreux autres outils similaires.
- Le script a 13 classes globales définies qui segmentent diverses fonctionnalités. Cela inclut le gonflage de la taille d’un fichier, la création de faux messages d’erreur, la création d’un infostealer en tant que PE Windows, l’interrogation de l’API OpenAI, etc.
- Les attaques des applications Web de Predator recherchent des faiblesses, des erreurs de configuration et des vulnérabilités courantes. Il cible des technologies telles que Drupal, Joomla, Laravel, Magento, OpenCart, osCommerce, PrestaShop, vBulletin et WordPress.
La classe GPTj
La classe GPTj contient les fonctionnalités réelles de Predator AI. Cette fonctionnalité est une interface de traitement de texte semblable à une discussion qui connecte l’utilisateur aux fonctionnalités de Predator. Il recherche des solutions locales avant d’interroger l’API OpenAI pour réduire la consommation d’API.
La classe GPTj recherche les chaînes associées à un cas d’utilisation connu dans l’entrée d’un utilisateur. Sentinel One a trouvé plus de 100 cas où Predator a traité les données en interne ou via un service tiers gratuit. La classe contient également certains utilitaires partiellement mis en œuvre liés à AWS SES et Twilio, ainsi que des utilitaires pour collecter des informations sur les adresses IP et les numéros de téléphone. Predator interrogera l’API ChatGPT uniquement s’il n’y a pas de cas de test pour gérer l’entrée reçue.
Fonctionnalités AWS
Cet utilitaire principal est actuellement présent dans le script. Cependant, aucune fonction liée à AWS n’est disponible. Sentinel One pense que cela est probable car les fonctionnalités sont toujours en cours de développement.
Le script analysera l’entrée pour la présence d’aws.c et appellera les fonctions suivantes, le cas échéant :
- Vérifiez tous les comptes de messagerie dans un environnement AWS SES.
- Vérifiez les quotas d’envoi.
- Créez un nouveau compte, attribuez des privilèges administratifs et supprimez l’ancien compte.
À propos de la classe StealerBuilder
La classe StealerBuilder contient les variables de configuration nécessaires pour créer un infostealer. Le mois dernier, le développeur a publié une vidéo détaillant ce processus de création de voleurs. Le développeur a également confirmé que l’exécutable est entièrement indétectable.
Le voleur peut être configuré pour utiliser des webhooks Discord ou Telegram pour sa communication C2 .
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’émergence de quelque chose comme l’IA Predator n’est rien de moins que prévu, étant donné le buzz autour de l’IA/LLM.
Bien que cet outil soit une étape vers une adoption accrue de l’IA par les acteurs malveillants, l’IA Predator n’est que quelque peu fonctionnelle. Comme le note Sentinel One, à ce stade, l’intégration n’augmente pas considérablement la capacité d’un attaquant.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
