Dans son tour d'horizon de cette semaine, CTI se penche sur un nouveau logiciel malveillant sous Linux, baptisé « Auto-color », qui cible des entreprises en Amérique du Nord et en Asie. Par la suite, CTI enquête sur une campagne en cours qui exploite une vulnérabilité d'un pilote Windows pour diffuser le logiciel malveillant Gh0st RAT. Enfin, le CTI examine plusieurs campagnes d'espionnage liées à un acteur malveillant connu sous le nom de « Lotus Blossom ».
Un logiciel malveillant sous Linux, « Auto-color », permet un accès à distance complet
Des chercheurs de l' de Palo Alto (s'ouvre dans un nouvel onglet) ont mis au jour un nouveau logiciel malveillant sous Linux que les chercheurs ont baptisé « Auto-color ».
Ce logiciel malveillant, qui a été observé en train de cibler des organisations en Amérique du Nord et en Asie, confère aux auteurs de menaces un accès à distance complet aux machines infectées.
Ce logiciel malveillant se caractérise notamment par l'utilisation de noms de fichiers d'apparence inoffensive, dissimule ses connexions à distance C2 et utilise un algorithme de chiffrement propriétaire pour échapper davantage à la détection.
Qui sont les cibles du logiciel malveillant « Auto-color » sous Linux ?
Palo Alto a détecté pour la première fois un échantillon de ce logiciel malveillant à l'adresse novembre 2024, l'échantillon le plus récent ayant été détecté à l'adresse décembre 2024. Palo Alto a constaté que cette famille de logiciels malveillants ciblait les universités et les administrations.
Les chercheurs n'ont pas encore déterminé comment ce logiciel malveillant parvient jusqu'à ses victimes. Cependant, Palo Alto a déterminé que ce fichier est conçu pour être exécuté explicitement par la victime de l' , sur des machines Linux : (s'ouvre dans un nouvel onglet).
Comment fonctionne le logiciel malveillant « Auto-color » ?
Le logiciel malveillant utilisera un nom de fichier différent pour chaque cible sur laquelle il est déployé. Comme indiqué, il utilise des noms de fichiers d'apparence inoffensive, tels que « door » ou « egg ». Le hachage est différent pour chaque fichier, car le créateur d’Auto-color a choisi de « compiler de manière statique la charge utile de configuration C2 chiffrée dans chaque échantillon de logiciel malveillant ».
Lorsque le logiciel malveillant s'exécute sur un ordinateur, il vérifie si le fichier exécutable est bien « Auto-color ». Si le nom du fichier n'est pas « Auto-color », la phase d'installation sera lancée « pour l'implantation d'une bibliothèque évasive située au sein même de l'exécutable ».
Le logiciel malveillant ne poursuivra son exécution que s'il dispose des privilèges root nécessaires et, le cas échéant, installera une bibliothèque malveillante qui imite la bibliothèque d'utilitaires C légitime.
Auto-color se copiera et se renommera « /var/log/cross/auto-color » avant d'installer l'implant de bibliothèque et d'écrire le fichier de bibliothèque malveillant sous le nom « ld.preload » dans un fichier standard sur les systèmes Linux.
Comme le souligne Palo Alto, les bibliothèques figurant dans « ld.preload » seront chargées en premier, ce qui permettra à une bibliothèque malveillante chargée ultérieurement de remplacer certaines de ces bibliothèques essentielles.
Avant d'entrer dans la phase d'exécution principale du logiciel malveillant, celui-ci doit déchiffrer la charge utile afin de déterminer à quels serveurs d'attaquants distants il doit se connecter. Pour récupérer cette charge utile, le programme lira un fichier spécifique ou l'extraira de la section .data de ce fichier si la première option n'a pas abouti.
Le chiffrement de la charge utile est une variante d'un chiffrement par flux. Palo Alto a analysé la charge utile et a constaté qu'elle se composait de trois éléments principaux :
- La taille du bloc chiffré
- Le texte chiffré
- La clé elle-même
Une fois déchiffrée, la charge utile finale contient les véritables cibles auxquelles le logiciel malveillant doit se connecter.
Une fois que le logiciel malveillant s'est connecté à l'acteur malveillant, il établit une connexion et attend que des commandes soient exécutées. Les charges utiles présentent une structure unique pour chaque commande API spécifique associée, en fonction de l'identifiant de la commande.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le dernier exemple d'« Auto-color » a été observé sur décembre 2024. Par conséquent, il est difficile de savoir s'il s'agit toujours d'une menace active qui serait passée inaperçue ou si elle s'est véritablement estompée.
Il est intéressant de noter que ce logiciel malveillant utilise un fichier différent pour chaque cible, avec un nom et un hachage distincts, ce qui rend la détection fondée uniquement sur ces indicateurs relativement peu efficace. Nous tenons à rappeler qu'il ne suffit pas de se fier uniquement à ces indicateurs et qu'il peut s'avérer plus fructueux de disposer de détections ciblant des tactiques spécifiques.
Des cybercriminels exploitent le fichier Truesight.sys dans le cadre d'une nouvelle campagne de logiciels malveillants
Check Point a récemment identifié (s'ouvre dans un nouvel onglet) une campagne de logiciels malveillants en cours qui exploite une vulnérabilité du pilote Windows « Truesight.sys » pour diffuser le logiciel malveillant Gh0st RAT.
Cette étude a permis de mettre au jour des milliers d'échantillons malveillants de première génération qui déployaient un module destiné à contourner les solutions EDR et antivirus.
Contexte et principales conclusions
Check Point a lancé cette étude dans le but d'identifier l'exploitation de pilotes dont la vulnérabilité n'était pas connue, ce qui, comme vous pouvez l'imaginer, s'avère bien plus difficile que de traquer ceux dont la vulnérabilité est avérée. Ces recherches ont permis de mettre au jour une vaste campagne de logiciels malveillants qui se poursuit actuellement.
À première vue, l’un des échantillons semblait déposer un fichier « » (fichier de pilote) connu pour être vulnérable : (s’ouvre dans un nouvel onglet) , nommé « Truesight.sys ». Les chercheurs se sont rendu compte qu'il ne s'agissait pas simplement d'un énième pilote Truesight vulnérable. Ils ont constaté que les échantillons déploiaient la même version du pilote Truesight vulnérable, mais que les hachages différaient. Cela indiquait que l'attaquant avait probablement modifié le pilote juste assez pour altérer le hachage du fichier, mais pas suffisamment pour modifier la signature numérique.
Ce que les chercheurs ont établi :
- Ces acteurs utilisent l'infrastructure de la région « Chine » d'un cloud public. Cette infrastructure héberge les charges utiles et les C2 serveurs.
- On estime qu'environ 75 % des victimes se trouvent en Chine.
- Les échantillons servant de programmes de téléchargement ont été observés se faisant passer pour des applications connues et ont été diffusés via les liens de phishing suivants : , (s'ouvre dans un nouvel onglet),et .
Détails techniques
L'échantillon de la phase initiale de cette campagne détecté le plus tôt provient de juin 2024, où il exploitait la version vulnérable du pilote hérité d'origine d' : (s'ouvre dans un nouvel onglet). Peu après, ces échantillons de la phase initiale ont commencé à exploiter les variantes du pilote plutôt que le pilote d'origine.
Check Point a divisé l'infection initiale en trois phases, à savoir :
- Téléchargement de la deuxième étape et des charges utiles chiffrées
- Chargement des données utiles et téléchargement de la troisième étape ainsi que de ses données utiles cryptées
- Chargement des charges utiles de la troisième étape et déploiement du module « EDR/AV killer » en mémoire
Tout cela aboutit finalement au déploiement et à l'exécution de Gh0st RAT.
Le rapport de Check Point présente en détail l'ancien pilote Truesight. Par ailleurs, l'analyse de tous les échantillons étudiés par Check Point a révélé le déploiement de Gh0st RAT — plus précisément, d'une variante connue sous le nom de HiddenGh0st.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
D'après les recherches menées par Check Point, il apparaît clairement que les cybercriminels exploitent de plus en plus les pilotes vulnérables. Si la recherche d'instances de pilotes connues pour être vulnérables peut souvent s'avérer simple, cette attaque particulière impliquant le pilote Truesight aurait contourné les systèmes de détection s'appuyant, entre autres, sur des hachages connus.
Comme le souligne Check Point, il est essentiel d’adopter une approche consistant à « bloquer les pilotes en fonction d’attributs allant au-delà des simples hachages […] afin d’améliorer la détection et la protection ».
« Lotus Blossom » menace plusieurs secteurs d'activité
Cisco Talos a découvert (s'ouvre dans un nouvel onglet) plusieurs campagnes d'espionnage impliquant Lotus Blossom, un groupe actif depuis au moins 2012.
Les attaques récentes, qui diffusent la porte dérobée Sagerunex et d'autres outils de piratage, visent plusieurs secteurs, notamment l'industrie manufacturière (s'ouvre dans un nouvel onglet), les pouvoirs publics, les télécommunications et les médias. L'acteur a également créé de nouvelles variantes de sa porte dérobée emblématique, qui exploite des services cloud tiers pour C2. Cisco Talos constate que cette campagne récente semble avoir remporté un succès considérable, tout en ciblant principalement des victimes aux Philippines, au Vietnam, à Hong Kong et à Taïwan.
Les chercheurs ont également découvert de nouvelles variantes de la porte dérobée « Sagerunex » de Lotus Blossom. Au lieu de s'appuyer sur des serveurs privés virtuels pour le C2, ces nouvelles variantes utilisent des services cloud tiers, notamment Dropbox, Twitter et Zimbra.
Quels sont les outils utilisés dans la chaîne d'attaques « Lotus Blossom » ?
Cisco Talos a constaté que ce groupe utilise un large éventail d'outils, notamment des outils open source et d'autres, tels qu'un voleur de cookies, l'outil proxy Venom, un outil de modification des privilèges, un outil d'archivage, un outil de relais de ports et un outil RAR. Ce rapport fournit davantage de détails sur chacun de ces outils.
On a fréquemment observé que ce groupe utilisait l'outil Impacket pour exécuter des commandes à distance. Une fois qu'il a réussi à accéder au réseau, l'acteur passe par plusieurs étapes, à commencer par la reconnaissance. Ensuite, l'acteur vérifiera que l'appareil peut se connecter à Internet et, si ce n'est pas le cas, utilisera divers outils pour relier l'appareil à des systèmes connectés à Internet. On a également constaté que l'acteur avait déployé la porte dérobée et divers outils de piratage dans le sous-dossier « public\pictures » avant d'installer la porte dérobée Sagerunex.
Comment installer Sagerunex
Cisco Talos a identifié plusieurs variantes de la porte dérobée Sagerunex en analysant le code du chargeur. Lorsque la porte dérobée s'exécute, elle effectue des contrôles de vérification afin de s'assurer qu'elle peut poursuivre son exécution. Chaque variante dispose de sa propre logique de vérification temporelle, qui détermine si elle doit s'exécuter immédiatement ou si son exécution doit être différée. La configuration du proxy est une caractéristique commune à toutes les variantes identifiées.
Cisco Talos a identifié plusieurs variantes, notamment une version bêta, des versions Dropbox et Twitter, ainsi qu'une version Zimbra. Le rapport présente en détail les versions bêta, Dropbox et Twitter.
Zimbra (s'ouvre dans un nouvel onglet), la version la plus récente, utilise l'API Zimbra pour se connecter au service, qui sert ensuite de canal C2 pour la campagne. Cette version utilisera l'URL, le nom d'utilisateur et le mot de passe Zimbra pour obtenir le jeton d'authentification approprié. Il peut ensuite utiliser ce jeton pour synchroniser des dossiers et des documents.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
À l'instar de nombreux autres acteurs, Lotus Blossom s'est tourné vers des services légitimes tels que Dropbox, Twitter et Zimbra afin d'échapper à la détection. Il s'agit d'une tendance courante consistant, pour certains acteurs, à exploiter délibérément de manière abusive les services (s'ouvre dans un nouvel onglet) , de manière à se fondre dans le trafic professionnel normal.
La chronologie établie par Cisco Talos concernant les différentes variantes de Sagerunex montre que l'acteur a commencé à détourner des services légitimes dès 2018, avant la forte recrudescence observée ces dernières années.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
