Dans son tour d'horizon de cette semaine, CTI passe en revue les principales vulnérabilités recensées par Kaspersky au cours du premier trimestre de l'année 2024. CTI se penche ensuite sur le logiciel malveillant modulaire connu sous le nom de HijackLoader, qui n'a cessé d'évoluer depuis son apparition l'année dernière. Enfin, CTI conclut en présentant les principales conclusions du rapport « 2024 State of Pentesting » de Cobalt.
1. Kaspersky publie les principales tendances en matière d'exploits et de vulnérabilités en Q1 2024
Le dernier rapport de Kaspersky, intitulé « », passe en revue les principales vulnérabilités recensées entre 2023 et le premier trimestre de 2024.
Les chercheurs de Kaspersky ont analysé lesquelles de ces vulnérabilités étaient les plus fréquemment exploitées afin de mettre en évidence les tendances concernant les cibles habituelles des APT.
Vulnérabilités répertoriées
Selon Kaspersky, le nombre de vulnérabilités répertoriées sous le code CVE ne cesse d'augmenter chaque année.
- L'un des facteurs qui y contribuent est le développement des plateformes de prime aux bogues, qui ont permis d'identifier et de découvrir des vulnérabilités.
- Un autre facteur qui contribue à ce phénomène est la création constante d'applications et les mises à jour des applications existantes, qui comportent leurs propres vulnérabilités.
Outre l'augmentation annuelle du nombre de CVE, la proportion de vulnérabilités critiques est également en hausse.
Autres conclusions tirées du rapport de Kaspersky
Kaspersky a analysé des sources publiques, les CVE répertoriées et ses propres données télémétriques afin de tirer des conclusions et d'établir des statistiques concernant l'exploitation des vulnérabilités. Ils ont constaté que le nombre d'utilisateurs de Windows victimes d'exploits de vulnérabilités était resté stable, tandis que les utilisateurs de Linux avaient connu une augmentation du nombre d'exploits de vulnérabilités.
En examinant les vulnérabilités qui ont été exploitées, ils ont identifié plusieurs catégories présentant un intérêt particulier pour les auteurs de menaces. Il s'agit notamment des navigateurs, des systèmes d'exploitation, de Microsoft Exchange, de Microsoft SharePoint et de la suite Microsoft Office.
Si l'on se concentre spécifiquement sur les vulnérabilités critiques, celles qui ont été le plus exploitées concernaient les systèmes d'exploitation, représentant 50 %.
Exploitation des vulnérabilités dans les attaques APT
Kaspersky a constaté que de nombreuses attaques APT s'appuient sur l'exploitation de vulnérabilités dans le cadre de leurs attaques. Les vulnérabilités les plus exploitées au cours du premier trimestre de l'année 2024 comprenaient les vulnérabilités CVE-2023-38831 (WinRAR), CVE-2017-11882 (MS Office) et CVE-2017-0199 (MS Office).
Kaspersky a également constaté que les points d'entrée les plus courants comprennent les services d'accès à distance vulnérables, les fonctionnalités de contrôle d'accès vulnérables et les applications Office vulnérables.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'augmentation du nombre d'exploitations de vulnérabilités est constante et ne semble pas près de s'arrêter.
Le rapport de Kaspersky indique que les auteurs de menaces et les groupes APT cherchent fréquemment à exploiter les services d'accès à distance, les fonctionnalités de contrôle à distance et les applications Microsoft Office. Cette tendance souligne une fois de plus à quel point il est essentiel de bien connaître votre propre environnement et votre infrastructure pour pouvoir gérer efficacement un programme de gestion des vulnérabilités.
2. HijackLoader évolue en intégrant de nouvelles techniques de contournement
Selon Zscaler, le logiciel malveillant modulaire de type « », connu sous le nom de HijackLoader , n'a cessé d'évoluer depuis son apparition en 2023.
La dernière version de ce logiciel malveillant comprend des modules supplémentaires qui permettent d'exclure Windows Defender AV, de contourner le contrôle de compte d'utilisateur (UAC), d'échapper au hooking d'API en ligne et d'utiliser la technique de « process hollowing ».
Le logiciel malveillant est désormais diffusé via un fichier image PNG qui est déchiffré afin de lancer la phase suivante de l'attaque.
La première étape de HijackLoader
La première phase du logiciel malveillant est chargée de déchiffrer et de décompresser les différents modules de HijackLoader. Il déchiffrera et exécutera également la deuxième phase.
Au cours de la première étape, il effectuera une résolution dynamique des API et vérifiera la présence d'une connexion Internet. Une fois la connexion établie, il déchiffrera et exécutera un shellcode conçu pour remplir plusieurs fonctions. Ce shellcode appellera des API supplémentaires et vérifiera la présence de processus figurant sur la liste noire.
Deuxième étape de HijackLoader
Ensuite, le logiciel malveillant chargera une copie de lui-même en mémoire et lira son fichier de configuration. Cette deuxième étape est chargée de deux manières différentes : soit un fichier PNG est téléchargé et utilisé pour charger la deuxième étape, soit un fichier PNG est intégré et utilisé pour charger la deuxième étape.
La deuxième étape est chargée d'injecter le module principal, mais elle utilise également des modules supplémentaires destinés à contrecarrer l'analyse, notamment modCreateProcess ( modCreateProcess64), modUAC ( modUAC64), modWriteFile ( modWriteFile64) et WDDATA.
Logiciels malveillants diffusés
Zscaler a analysé 50 échantillons de HijackLoader dans le cadre de l'opération « mars 2024 », qui comportaient tous un fichier PNG intégré.
Ils ont analysé ces échantillons afin d'établir la liste des familles de logiciels malveillants diffusées par HijackLoader et ont confirmé que les logiciels malveillants suivants avaient été distribués : Amadey, Lumma Stealer, Racoon Stealer v2, Remcos RAT, Meta Stealer et Rhadamanthys.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que HijackLoader n'existe que depuis l'année dernière, il a déjà servi à diffuser certaines familles de logiciels malveillants très connues, telles que Racoon Stealer, Lumma Stealer, Amadey et Remcos RAT.
Sa dernière évolution renforce le niveau de menace que représente HijackLoader et le rend probablement encore plus attractif pour les cybercriminels, principalement en raison des techniques de contournement supplémentaires dont il dispose. Le recours à un fichier PNG intégré pour la diffusion est moins courant et a davantage de chances d'échapper à la détection.
3. Cobalt publie son rapport « 2024 State of Pentesting »
Cobalt a publié son rapport « 2024 : État des lieux des tests d'intrusion » ( ), qui analyse en détail les principales tendances de l'édition 2023. Ce rapport s'appuie sur les données issues de plus de 4 000 tests d'intrusion ainsi que sur les réponses à une enquête menée auprès de professionnels de la sécurité.
Outre la présentation de certaines observations clés, ce rapport examine également l'impact de l'adoption croissante de l'IA sur le secteur.
Applications d'IA : une nouvelle surface d'attaque
Cobalt a réalisé plusieurs tests d'intrusion sur des systèmes d'IA tout au long de l'année 2023, constatant une augmentation significative du nombre de clients sollicitant ce type de tests.
Pour réaliser ces tests, ils s'appuient sur le classement « OWASP Top 10 » dédié aux applications LLM, en recherchant les fuites d'informations et les failles liées au traitement des résultats. Au cours de l'un de ces tests, ils ont découvert un modèle de langage de grande envergure (LLM) capable, lorsqu'on le lui demandait, de donner accès à des informations sensibles auxquelles il n'aurait pas dû avoir accès.
Ils ont également identifié plusieurs chatbots censés empêcher toute utilisation abusive grâce à divers dispositifs de sécurité, mais ils ont réussi à contourner facilement ces dispositifs.
Cobalt a identifié trois types de vulnérabilités qui se sont produits le plus fréquemment, à savoir l'injection de l'invite « », le déni de service de modèle et la fuite de l'invite.
Augmentation des vulnérabilités
La plupart des rapports sur les tendances 2023 ont fait état d'une augmentation des vulnérabilités. De même, Cobalt a constaté une augmentation de 21 % du nombre de failles détectées par mission de test d'intrusion, en glissement annuel.
Cobalt a identifié plus de 39 000 vulnérabilités au cours de 4 068 tests d'intrusion, le type de vulnérabilité le plus fréquent étant les erreurs de configuration liées à la sécurité des serveurs.
Temps moyen de réparation (MTTR)
Cobalt a constaté une augmentation du MTTR par rapport aux années précédentes, le MTTR moyen de l' s'élevant à plus de 20 jours. La plupart d'entre elles ont été classées comme présentant un niveau de gravité moyen, un faible pourcentage d'entre elles atteignant un niveau de gravité critique.
Résultats de l'enquête
Cobalt a interrogé près de 1 000 professionnels de la sécurité afin de comprendre pourquoi les résultats des tests d'intrusion ne sont pas toujours pris en compte ou pourquoi leur traitement prend un certain temps. Les conclusions tirées des réponses à l'enquête, associées à leurs propres recherches, ont permis d'établir un lien étroit entre bon nombre de ces problèmes et le manque d'effectifs et la surcharge de travail des équipes de sécurité.
81 % des personnes interrogées dans le cadre de cette enquête ont constaté des « perturbations notables dans la gestion de leur charge de travail » en raison des licenciements, des remaniements et des démissions, et 44 % ont déclaré souffrir actuellement d'épuisement professionnel.
2024 données
À ce jour, dans le cadre de l'étude 2024, 62 % des organisations ont recours à des tests d'intrusion pour détecter des vulnérabilités spécifiques et 58 % d'entre elles effectuent ces tests dans le but précis de renforcer la sécurité du cloud.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cobalt a fourni des statistiques intéressantes sur le rôle joué par l'IA dans le paysage des menaces. Par exemple, leur enquête a révélé que 75 % des équipes de sécurité ont déjà adopté de nouveaux outils d'IA. Il est intéressant de noter que Cobalt a pu classer les vulnérabilités les plus courantes de ces outils d'IA en trois catégories : l'injection de prompts, le déni de service au niveau du modèle et la fuite de prompts. Cela fournit aux organisations des indications sur les critères à prendre en compte lors de l'évaluation d'outils d'IA potentiels.
Cobalt a également constaté que plus de la moitié des personnes interrogées estimaient que leur équipe de sécurité n'était pas en mesure de suivre l'évolution de ces outils et n'était pas équipée pour tester la sécurité des outils d'IA. Il s'agit là d'un défi qui ne fera que gagner en importance à mesure que l'IA continuera d'évoluer, et auquel les organisations devraient commencer à apporter des solutions.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
