Pour commencer ce tour d'horizon hebdomadaire, CTI se penche sur AlphaLock, un groupe russe qui forme des pirates informatiques et tire profit de leurs services grâce à un programme d'affiliation dédié. Dans cet article, CTI se penche sur un avis conjoint récent concernant « Rhysida », un ransomware émergent qui menace désormais plusieurs secteurs. CTI conclut par un aperçu d'une nouvelle campagne ciblant les instances de l'API Docker Engine accessibles au public.
1. AlphaLock forme des pirates informatiques et tire profit de leurs services
Des chercheurs ont découvert un nouveau groupe de pirates informatiques russes appelé « » (AlphaLock) (s'ouvre dans un nouvel onglet) , qui gère un organisme de formation aux tests d'intrusion. Ce groupe a été découvert sur une chaîne Telegram publique qui est désormais privée.
AlphaLock forme des hackers grâce à des cours en ligne sur mesure. Elle monétise également ses services grâce à un programme d'affiliation dédié, créant ainsi une place de marché de bout en bout dédiée à la cybercriminalité.
Son modèle économique repose sur deux volets : la formation au test d'intrusion « Bazooka Code » et la plateforme de services de piratage « ALPentest » :
- Bazooka Code : Le premier volet de leur modèle économique concerne la formation. Ils proposent ici aux hackers des formations en ligne sur mesure, baptisées « Bazooka Code ». AlphaLock s'efforce de ne pas se présenter comme un acteur malveillant ou un cybercriminel. Au contraire, le groupe affirme qu'il se contente de former des testeurs d'intrusion.
- La plateforme de piratage ALPentest : la deuxième volet du modèle économique d'AlphaLock repose sur le forum du dark web XSS et sur un programme d'affiliation, grâce auxquels l'entreprise compte probablement réaliser l'essentiel de ses revenus. Leur projet consiste à faire appel à des hackers récemment formés, ou « testeurs d'intrusion », afin de créer une place de marché où les acteurs malveillants pourront acheter des services de test ciblant une organisation spécifique.
Les versions bêta de cette nouvelle plateforme ont révélé que les acteurs malveillants pourraient y répertorier les cibles sur lesquelles ils souhaiteraient effectuer des tests d'intrusion. D'autres acteurs malveillants pourraient alors s'attaquer à cette cible, publier des preuves et récupérer l'argent.
La plateforme aurait apparemment attiré trop d'attention, ce qui a contraint l'auteur de la menace à publier un long message indiquant que l'ensemble du programme allait migrer vers une nouvelle application de messagerie décentralisée appelée Matrix.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
AlphaLock met tout en œuvre pour se forger une image de marque, notamment grâce à une formation en ligne entièrement personnalisée et à une plateforme de vente en ligne. Il est intéressant de noter que ce groupe s'attache davantage à fonctionner comme une entreprise qu'à se concentrer uniquement sur la sophistication technique.
Comme le souligne Flare sur Bleeping Computer, cela s'inscrit dans la tendance actuelle à la diversification et à la spécialisation des rôles qui se dessine au sein de la cybercriminalité. Il existe aujourd'hui des chaînes d'approvisionnement détaillées et complexes qui permettent aux cybercriminels de réaliser des économies d'échelle.
2. Publication d'un nouvel avis conjoint concernant le ransomware Rhysida
Le Federal Bureau of Investigation (FBI), la Cybersecurity and Infrastructure Security Agency (CISA) et le Multi-State Information Sharing and Analysis Center (MS-ISAC) ont publié un avis conjoint en matière de cybersécurité afin de faire connaître les dernières activités liées au rançongiciel Rhysida de (s'ouvre dans un nouvel onglet).
Rhysida est un ransomware émergent qui cible principalement les secteurs de l'éducation, de la santé, de l'industrie, des technologies de l'information et des administrations publiques.
Accès initial à Rhysida
L'auteur du ransomware Rhysida exploite des services à distance accessibles depuis l'extérieur, tels que les réseaux privés virtuels (VPN), pour obtenir un accès initial et assurer la persistance de l'attaque. Il tente souvent de s'authentifier auprès de points d'accès VPN internes à l'aide d'identifiants compromis mais valides. Cela est souvent dû à l'absence d'authentification multifactorielle.
L'acteur a été observé en train de mener des campagnes de phishing de type « » et d'exploiter la vulnérabilité « CVE-2020-1472 », qui constitue une faille critique permettant l'élévation des privilèges au sein du protocole distant Netlogon de Microsoft.
Vivre de la terre
À l'instar de nombreux acteurs malveillants, Rhysida utilise des techniques de type « living-off-the-land » dans ses attaques. Cela comprend la création de connexions via le protocole RDP (Remote Desktop Protocol) à des fins de déplacement latéral, la mise en place d'un accès VPN et l'utilisation de PowerShell. L'acteur utilise couramment les commandes « ipconfig », « whoami », « nltest » et diverses commandes « net » pour recenser les environnements et recueillir des informations.
Les outils de Rhysida
Rhysida utilise plusieurs outils légitimes et accessibles au public dans le cadre de ses attaques. Cela complique la tâche des responsables de la sécurité pour détecter les activités malveillantes.
En voici quelques exemples :
- de Cmd.exe : l'utilitaire natif d'invite de commande.
- de PowerShell.exe : est un outil en ligne de commande natif permettant de lancer une session Windows PowerShell dans une fenêtre d'invite de commande.
- de PsExec.exe : un outil de la suite PsTools permettant d'exécuter des processus à distance.
Parmi les autres outils, on peut citer notamment mstsc.exe, PuTTy.exe et PortStarter.
Exécution
Lors d'une attaque par le ransomware Rhysida, l'auteur a créé deux dossiers sur le lecteur C:\ intitulés « in » et « out ». Ces dossiers servaient de répertoire intermédiaire et hébergeaient des fichiers exécutables malveillants :
- Le dossier « in » contenait des noms de fichiers correspondant à des noms d'hôtes du réseau de la victime, qui auraient été importés via un outil d'analyse.
- Le dossier « out » contenait divers fichiers malveillants qui avaient été déployés pour faciliter le chiffrement à l'échelle du réseau.
Chantage aux données
À l'instar de la plupart des auteurs de ransomware aujourd'hui, Rhysida se livre à des attaques de double extorsion : il exige d'abord le paiement d'une rançon pour déchiffrer les données, puis menace de les publier si la victime ne paie pas.
Le groupe déposera sa demande de rançon sous la forme d'un fichier PDF intitulé « CriticalBreachDetected », qui invite la victime à contacter le groupe via un portail fonctionnant sur le réseau Tor.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le ransomware Rhysida n'existe que depuis quelques mois, mais il a déjà fait environ 50 victimes (s'ouvre dans un nouvel onglet). »
Ce groupe s'appuie largement sur des outils légitimes tout au long des différentes étapes de l'attaque, ce qui lui permet probablement de passer inaperçu plus longtemps au sein d'un environnement.
Les acteurs de Rhysida ont également été identifiés comme opérant dans le cadre d’une capacité RaaS ( ) (s’ouvre dans un nouvel onglet), ce qui laisse penser que d’autres affiliés de Rhysida pourraient apparaître à l’avenir. »
3. OracleIV cible les API publiques de Docker Engine
Des chercheurs de Cado Security ont découvert une nouvelle campagne ciblant des instances de l'API Docker Engine accessibles au public.
Des acteurs malveillants ont été observés en train d'exploiter une erreur de configuration pour diffuser un conteneur Docker malveillant. Ce logiciel malveillant agit comme un agent de botnet DDoS capable de mener diverses attaques par déni de service.
Accès initial à OracleIV
Comme dans de nombreuses attaques de ce type, l'accès initial a commencé par une requête HTTP POST adressée au point de terminaison /images/create de l'API de Docker.
Cette action exécute une commande « docker pull » sur l'hôte afin de récupérer l'image spécifiée depuis Docker Hub. Vient ensuite une autre commande de démarrage de conteneur, qui sert à lancer un conteneur à partir de l'image récupérée.
La commande utilisée ici était la suivante :POST /v1,43/images/create?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
Image Docker Hub malveillante
La commande utilisée dans cette attaque a récupéré une image nommée « oracleiv_latest », qui avait été mise en ligne sur Docker Hub par l'utilisateur robbertignacio328832.
Cette image avait été téléchargée plus de 3 000 fois lorsque Cado Security l'a découverte et semble être régulièrement mise à jour. Les dernières modifications ont été validées seulement trois jours avant la publication de leur rapport.
Cado Security a analysé les couches de l'image afin de mettre au jour les commandes utilisées par l'auteur de la menace pour récupérer la charge utile malveillante, « oracle.sh », et l'intégrer à l'image finale. L'image comprenait des commandes wget supplémentaires permettant de récupérer une copie de XMRig ainsi qu'un fichier de configuration associé au mineur.
Les chercheurs n'ont constaté aucune activité de minage de la part de ce conteneur malveillant, mais la présence de ces fichiers dans l'image rendrait cette possibilité envisageable à l'avenir.
Analyse statique
Les chercheurs se sont attachés à analyser le fichier exécutable « oracle.sh » intégré au conteneur malveillant. L'analyse statique de ce fichier exécutable a révélé qu'il s'agissait d'un fichier ELF 64 bits, lié statiquement, dont les informations de débogage étaient intactes.
Ils ont déterminé que ce logiciel malveillant avait été écrit en Python et compilé avec Cython. Le code lui-même est concis et porte principalement sur les différentes méthodes de déni de service.
Analyse dynamique
Le bot se reconnecte à un serveur « C2 » ( ) sur le port 40320 avant d'effectuer une authentification primitive, au cours de laquelle il fournit au serveur C2 des informations de base sur l'environnement ainsi qu'un mot de passe codé en dur.
Une fois l'authentification réussie, le C2 enverra en continu le message « routine ping, greetz Oracle IV ». Des chercheurs ont constaté que ce botnet était utilisé pour lancer des attaques DDoS contre de nombreuses cibles, avec une prédilection pour les attaques par inondation UDP et les attaques par inondation SSL. Ils ont réussi à amener l'agent du botnet à se connecter à leur serveur « mimic C2 » afin de lui transmettre des commandes et d'observer ses activités.
Ce botnet dispose des capacités DDoS suivantes :
- UDP : Le botnet lance une attaque par inondation UDP à l'aide de paquets de 40k octets. Cela dépassera le seuil et entraînera une fragmentation, ce qui générera une charge de calcul supplémentaire.
- UDP_PPS : Cette fonctionnalité semble actuellement ne pas fonctionner.
- SSL : La fonctionnalité SSL établit une connexion TCP, envoie un volume important de données, puis ferme la connexion avant de répéter le processus.
- SYN : Cette fonctionnalité est identique à celle du protocole SSL.
- HTTPGET : Cette fonctionnalité est également inopérante.
- LENTE : Il s'agit d'une attaque de type « slowloris », dans laquelle l'attaquant établit plusieurs connexions avec le serveur et envoie de manière répétée de petites quantités de données afin de maintenir la connexion ouverte.
- FIVE : une attaque par inondation UDP avec des paquets de 18 octets, probablement liée au protocole du serveur FiveM.
- VSE : une attaque par inondation UDP avec des paquets de 20 octets.
- d’OVH : une attaque par inondation UDP avec des paquets de 8 octets, conçue pour contourner la protection DDoS d’OVH.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque démontre que les acteurs malveillants continuent de s'intéresser à l'exploitation de services mal configurés et exposés à Internet pour obtenir un accès initial, et qu'ils continueront probablement à le faire.
Cado Security résume très bien cette menace :
La portabilité offerte par la conteneurisation permet l'exécution de charges utiles malveillantes de manière déterministe sur tous les hôtes Docker, quelle que soit la configuration de l'hôte lui-même. Bien qu’OracleIV ne soit pas, techniquement parlant, une attaque de la chaîne d’approvisionnement, les utilisateurs de Docker Hub doivent savoir que des images de conteneurs malveillantes existent bel et bien dans la bibliothèque d’images de Docker.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
