Pour la première fois dans la synthèse de cette semaine, CTI enquête sur AlphaLock, un groupe russe qui forme les pirates informatiques et monétise leurs services via un programme d’affiliation dédié. La CTI suivante explore un récent conseil conjoint sur Rhysida, un ransomware émergent qui menace désormais plusieurs secteurs. CTI conclut avec une vue d’ensemble d’une nouvelle campagne ciblant les instances exposées publiquement de l’API Docker Engine.
1. AlphaLock forme les pirates informatiques, monétise leurs services
Des chercheurs ont découvert un nouveau groupe de piratage russe appelé AlphaLock qui dirige une organisation de formation aux tests de plumes. Le groupe a été découvert sur un canal Telegram public qui est désormais privé.
AlphaLock forme les pirates informatiques à travers des cours en ligne personnalisés. Elle monétise également ses services grâce à un programme d’affiliation dédié, créant ainsi un marché de bout en bout pour la cybercriminalité.
Son modèle commercial se compose de deux parties, notamment la formation sur la pente du code Bazooka et le marché de piratage le plus important d’ALP :
- Code Bazooka : la première partie de leur modèle commercial implique une formation. Ici, ils fournissent aux pirates informatiques des cours de formation en ligne personnalisés appelés Bazooka Code. AlphaLock essaie d’éviter de se présenter comme un acteur malveillant ou un cybercriminel. Au lieu de cela, le groupe affirme qu’il forme simplement des testeurs de stylos.
- Le marché du piratage ALPentest : la deuxième partie du modèle commercial d’AlphaLock implique le forum web sombre XSS et un programme d’affiliation où ils prévoient probablement de gagner la plupart de leur argent. Leur plan consiste à utiliser des pirates nouvellement formés, ou des testeurs de stylos, pour créer un marché où les acteurs malveillants peuvent acheter des services de test ciblés sur une organisation spécifique.
Les versions bêta du nouveau marché ont révélé que les acteurs malveillants seraient en mesure de répertorier les cibles qu’ils aimeraient tester. D’autres acteurs malveillants pourraient alors attaquer cette cible, publier des preuves et collecter l’argent.
La plateforme a apparemment attiré trop d’attention, forçant l’acteur malveillant à publier un long message notant que l’ensemble du programme passera à une nouvelle application de chat décentralisée appelée Matrix.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
AlphaLock travaille dur pour créer une marque pour elle-même, avec un cours de formation en ligne et un marché personnalisés. Il est intéressant de noter que le groupe se concentre davantage sur le fonctionnement comme une entreprise plutôt que sur la sophistication technique.
Comme le souligne Flare sur Bleeping Computer, cela est lié à la tendance actuelle de diversification et de spécialisation des rôles qui a lieu dans la cybercriminalité. Il existe désormais des chaînes d’approvisionnement détaillées et complexes qui offrent des économies d’échelle aux cybercriminels.
2. Nouveau conseil commun publié pour le ransomware Rhysida
Le Federal Bureau of Investigation (FBI), la Cybersecurity and Infrastructure Security Agency (CISA) et le Multi-State Information Sharing and Analysis Center (MS-ISAC) ont publié un conseil commun en cybersécurité pour diffuser les dernières activités associées au ransomware Rhysida.
Rhysida est un ransomware émergent qui cible principalement les secteurs de l’éducation, des soins de santé, de la fabrication, des technologies de l’information et du gouvernement.
Accès initial à Rhysida
L’acteur du ransomware Rhysida exploite des services distants externes tels que les réseaux privés virtuels (VPN) pour l’accès initial et la persistance. Il tente souvent de s’authentifier auprès de points d’accès VPN internes avec des informations d’identification compromises mais valides. Cela est souvent dû à un manque d’authentification multifacteur.
L’acteur a été observé en train d’exécuter des campagnes d’hameçonnage et d’exploiter CVE-2020-1472 , ce qui constitue une élévation critique de la vulnérabilité des privilèges dans le protocole distant Netlogon de Microsoft.
Vivre hors de la terre
Comme de nombreux acteurs malveillants, Rhysida exploite des techniques de vie hors des terres dans ses attaques. Cela inclut la création de connexions RDP (Remote Desktop Protocol) pour les mouvements latéraux, l’établissement d’un accès VPN et l’utilisation de PowerShell. L’acteur utilise généralement ipconfig, whoami, nltest et diverses commandes nettes pour énumérer les environnements et collecter des informations.
Outils de Rhysida
Rhysida utilise plusieurs outils légitimes et accessibles au public dans ses attaques. Cela rend plus difficile pour les défenseurs de détecter les activités malveillantes.
Voici quelques exemples :
- Cmd.exe : l’utilitaire d’invite de ligne de commande native.
- PowerShell.exe : un outil de ligne de commande natif pour exécuter une session PowerShell Windows dans une fenêtre d’invite de commande.
- PsExec.exe : un outil de la suite PsTools pour exécuter des processus à distance.
Certains outils supplémentaires comprennent mstsc.exe, PuTTy.exe et PortStarter, entre autres.
Exécution
Dans une attaque par ransomware Rhysida, l’acteur a créé deux dossiers dans le lecteur C :\ appelés « entrant » et « sortant ». Ces dossiers servaient de répertoire intermédiaire et d’exécutables malveillants hébergés :
- Le dossier in avait des noms de fichiers qui correspondaient aux noms d’hôte sur le réseau de la victime qui seraient importés via un outil d’analyse.
- Le dossier externe comportait divers fichiers malveillants qui ont été déployés pour faciliter le chiffrement à l’échelle du réseau.
Extorsion de données
Comme la plupart des acteurs de ransomware aujourd’hui, Rhysida se livre à des attaques par double extorsion en demandant d’abord un paiement pour décrypter les données, puis en menaçant de publier les données si la victime ne paie pas.
Le groupe déposera sa note de rançon sous forme de fichier PDF nommé « CriticalBreachDetected » qui demande à la victime de contacter le groupe via un portail basé sur Tor.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
« Le rançongicielhysida n’existe que depuis quelques mois, mais il a déjà réclamé environ 50 victimes.
Le groupe s’appuie fortement sur des outils légitimes à plusieurs étapes de l’attaque, ce qui lui permet probablement de rester indétecté dans un environnement plus longtemps.
Les acteurs de Rhysida ont également été identifiés comme opérant dans le cadre d’une capacité RaaS, ce qui permet de voir d’autres filiales de Rhysida à l’avenir. »
3. OracleIV cible les API publiques du moteur Docker
Des chercheurs de Cado Security ont découvert une nouvelle campagne ciblant les instances exposées publiquement de l’API Docker Engine.
Des acteurs malveillants ont été vus exploiter une mauvaise configuration pour livrer un conteneur Docker malveillant. Le logiciel malveillant agit comme un agent bot DDoS qui peut effectuer diverses attaques DoS.
Accès initial OracleIV
Comme de nombreuses attaques similaires, l’accès initial a commencé par une demande HTTP POST vers le endpoint /images/create de l’API de Docker.
Cette action exécute une commande d’extraction docker sur l’hôte pour récupérer l’image spécifiée de Dockerhub. Ceci est suivi d’une autre commande de démarrage de conteneur qui est utilisée pour générer un conteneur à partir de l’image extraite.
La commande utilisée ici était :POST /v1,43/images/create ?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
Image malveillante du Dockerhub
La commande de cette attaque a récupéré une image nommée oracleiv_latest qui a été téléchargée sur Dockerhub par l’utilisateur robbertignacio328832.
L’image avait plus de 3 000 extractions lorsque Cado Security l’a découverte et semble être régulièrement mise à jour. Les dernières modifications n’ont été apportées que trois jours avant la publication de leur rapport.
Cado Security a examiné les couches d’images pour révéler les commandes utilisées par l’acteur malveillant pour récupérer la charge utile malveillante, oracle.sh, et l’intégrer à l’image résultante. L’image comprenait des commandes wget supplémentaires pour récupérer une copie de XMRig et un fichier de configuration du mineur associé.
Les chercheurs n’ont observé aucune exploitation minière effectuée par ce conteneur malveillant, mais l’inclusion de ces fichiers dans l’image en ferait une possibilité à l’avenir.
Analyse statique
Les chercheurs se sont concentrés sur l’analyse de l’exécutable oracle.sh intégré dans le conteneur malveillant. L’analyse statique de cet exécutable a révélé un ELF 64 bits, lié statiquement, avec des informations de débogage intactes.
Ils ont déterminé que le logiciel malveillant était écrit dans Python et compilé avec Cython. Le code lui-même est concis et principalement dédié aux différentes méthodes DoS.
Analyse dynamique
Le robot se reconnecte à un serveur C2 sur le port 40320 avant d’effectuer une authentification primitive où le robot fournit au C2 des informations de base sur l’environnement et un mot de passe codé en dur.
Après une authentification réussie, le C2 enverra continuellement « ping de routine, greetz Oracle IV ». Des chercheurs ont observé le botnet utilisé pour DDoS de nombreuses cibles, avec une préférence pour les inondations basées sur UDP et SSL. Ils ont pu tromper l’agent de botnet pour qu’il se connecte à son serveur mimic C2 pour émettre des commandes et observer ses activités.
Le botnet dispose des capacités DDoS suivantes :
- UDP : le botnet effectue une inondation UDP avec des paquets de 40k octets. Cela dépassera le seuil et deviendra fragmenté, créant des frais de calcul supplémentaires.
- UDP_PPS : cette capacité semble actuellement non fonctionnelle.
- SSL : la capacité SSL ouvre une connexion TCP, envoie une grande quantité de données, puis se ferme avant de répéter le processus.
- SYN : cette capacité est identique à SSL.
- HTTPGET : cette capacité n’est pas non plus fonctionnelle.
- LENT : il s’agit d’une attaque lente de typeloris dans laquelle l’agent ouvre plusieurs connexions au serveur et envoie plusieurs fois de petites quantités de données pour maintenir la connexion ouverte.
- CINQ : une inondation UDP avec des paquets de 18 octets, qui fait probablement partie du protocole du serveur FiveM.
- VSE : une inondation UDP avec des paquets de 20 octets.
- OVH : une inondation UDP avec des paquets de 8 octets conçus pour contourner la protection DDoS d’OVH.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette attaque prouve que les acteurs malveillants sont toujours intéressés par l’exploitation de services Internet mal configurés comme moyen d’accès initial et continueront probablement de le faire.
Cado Security résume assez bien cette menace :
La portabilité que la conteneurisation apporte permet d’exécuter des charges utiles malveillantes de manière déterministe sur les hôtes Docker, quelle que soit la configuration de l’hôte lui-même. Bien qu’OracleIV ne soit pas techniquement une attaque de la chaîne d’approvisionnement, les utilisateurs de Dockerhub doivent savoir que des images de conteneur malveillant existent effectivement dans la bibliothèque d’images de Docker.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
