Dans le résumé de cette semaine, CTI examine un nouveau logiciel malveillant Linux appelé Auto-color qui cible les organisations en Amérique du Nord et en Asie. Ensuite, la CTI enquête sur une campagne en cours qui exploite un pilote Windows vulnérable pour fournir Gh0st programmes malveillants RAT. Enfin, CTI explore plusieurs campagnes d’espionnage liées à un acteur malveillant connu sous le nom de Lotus Blossom.
Les programmes malveillants Linux à couleur automatique accordent un accès à distance complet
Les chercheurs de Palo Alto ont découvert un nouveau logiciel malveillant Linux que les chercheurs appellent Auto-color.
Le logiciel malveillant, qui a été observé ciblant des organisations en Amérique du Nord et en Asie, donne aux acteurs malveillants un accès à distance complet aux machines infectées.
Le logiciel malveillant utilise notamment des noms de fichiers d’apparence bénigne, masque ses connexions C2 distantes et utilise un algorithme de chiffrement propriétaire pour échapper davantage à la détection.
Qui cible le logiciel malveillant Linux de couleur automatique ?
Palo Alto a d’abord observé un échantillon de ce logiciel malveillant en novembre 2024, l’échantillon le plus récent étant observé en décembre 2024. Palo Alto a observé cette famille de logiciels malveillants ciblant les universités et les bureaux gouvernementaux.
Les chercheurs n’ont pas encore déterminé comment le logiciel malveillant atteint ses victimes. Cependant, Palo Alto a déterminé que le fichier est conçu pour être exécuté explicitement par la victime sur des machines Linux.
Comment fonctionne le logiciel malveillant Auto-color ?
Le logiciel malveillant utilisera un nom de fichier différent pour chaque cible vers laquelle il est déployé. Comme indiqué, il utilise des noms de fichiers d’apparence bénigne tels que « porte » ou « œuf ». Le hachage est différent pour chaque fichier parce que le créateur de couleur automatique a choisi de « compiler statiquement la charge utile de configuration C2 cryptée dans chaque échantillon de logiciel malveillant ».
Lorsque le logiciel malveillant s’exécute sur une machine, il vérifie si l’exécutable est, en fait, Auto-color. Si le nom du fichier n’est pas Auto-color, il exécutera la phase d’installation « pour un implant de bibliothèque évasif situé dans l’exécutable lui-même ».
Le logiciel malveillant ne poursuivra sa routine que s’il dispose des privilèges racines nécessaires et, le cas échéant, installera un implant de bibliothèque malveillant qui imite la bibliothèque d’utilitaires C légitime.
La couleur automatique se copiera et se renommera en « /var/log/cross/auto-color » avant d’installer l’implant de bibliothèque et d’écrire le fichier de bibliothèque malveillante en tant que « ld.preload » dans un fichier standard sur les systèmes Linux.
Comme le note Palo Alto, les bibliothèques dans « ld.preload » se chargeront en premier, permettant à une bibliothèque malveillante chargée plus tard de remplacer certaines de ces bibliothèques de base.
Avant la phase d’exécution du programme malveillant principal, le programme malveillant doit décrypter la charge utile pour déterminer les serveurs d’attaquants distants auxquels il doit se connecter. Pour obtenir cette charge utile, elle lira un fichier spécifique ou le saisira dans la section .data de ce fichier si la première option n’a pas réussi.
Le chiffrement de la charge utile est une version d’un chiffrement de flux. Palo Alto a analysé la charge utile et a trouvé qu’elle était composée de trois composants principaux :
- La taille du bloc chiffré
- Le texte chiffré
- La clé elle-même
La charge utile finale, lorsqu’elle est décryptée, contient les véritables cibles auxquelles le logiciel malveillant doit se connecter.
Une fois que le logiciel malveillant se connecte à l’acteur malveillant, il initie une poignée de main et attend que les commandes soient exécutées. Les charges utiles ont une structure unique pour une commande API spécifique associée en fonction de l’ID de commande.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’échantillon le plus récent de couleur automatique a été observé dans décembre 2024. Par conséquent, il n’est pas clair s’il s’agit toujours d’une menace active qui n’a pas été détectée ou si elle est réellement morte.
Il est intéressant de noter que ce logiciel malveillant utilise un fichier différent pour chaque cible avec un nom et un hachage différents, ce qui rend la détection basée uniquement sur ces indicateurs quelque peu inutile. Il s’agit d’un rappel que le fait de s’appuyer uniquement sur ces indicateurs ne suffit pas, et que la détection de tactiques spécifiques peut être plus fructueuse.
Les cybercriminels exploitent Truesight.sys dans une nouvelle campagne contre les logiciels malveillants
Check Point a récemment identifié une campagne de logiciels malveillants en cours tirant parti d’un pilote Windows vulnérable, Truesight.sys, pour fournir le logiciel malveillant Gh0st RAT.
L’étude a révélé des milliers d’échantillons malveillants de première étape qui déployaient un module tueur EDR/AV.
Contexte et résultats clés
Check Point a commencé l’étude dans le but d’identifier les abus de conducteurs qui ne sont pas connus pour être vulnérables, ce qui, comme vous pouvez l’imaginer, est beaucoup plus difficile que de rechercher ceux qui sont connus pour être vulnérables. L’étude a conduit à la découverte d’une campagne de logiciels malveillants importante et continue.
[Lire également : Qu’est-ce que la chasse aux menaces ? Un aperçu avec un exemple concret]
À première vue, l’un des échantillons semblait abandonner un pilote vulnérable connu appelé « Trueight.sys ». Les chercheurs ont réalisé qu’il ne s’agissait pas simplement d’un autre facteur vulnérable de Truesight. Ils ont constaté que les échantillons avaient abandonné la même version du pilote Truesight vulnérable, mais que les hachages différaient. Cela indiquait que l’attaquant avait probablement modifié le pilote juste assez pour modifier le hachage du fichier, mais pas assez pour modifier la signature numérique.
Ce que les chercheurs ont déterminé :
- Ces acteurs utilisent une infrastructure de la région chinoise d’un cloud public. Cette infrastructure héberge les charges utiles et les serveurs C2 .
- Environ 75 % des victimes sont considérées comme étant en Chine.
- Les échantillons qui agissent en tant que téléchargeurs ont été observés se déguisant en applications bien connues et ont été livrés par hameçonnage.
Détails techniques
L’échantillon d’étape initiale détecté le plus tôt de cette campagne provient de juin 2024, où elle a exploité la version vulnérable du pilote existant d’origine. Peu de temps après, ces échantillons d’étape initiale ont commencé à exploiter les variantes du pilote au lieu du pilote d’origine.
Check Point a séparé l’infection initiale en trois phases, notamment :
- Téléchargement de la deuxième étape et des charges utiles chiffrées
- Chargement des charges utiles et téléchargement de l’étape trois et de ses charges utiles chiffrées
- Chargement des charges utiles de l’étape trois et déploiement du module tueur EDR/AV en mémoire
Il se termine finalement par le déploiement et l’exécution de Gh0st RAT.
Le rapport de Check Point détaille l’ancien pilote Truesight. En outre, tous les échantillons étudiés ont entraîné le déploiement de Gh0st RAT, en particulier une variante connue sous le nom de HiddenGh0st.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
D’après les recherches de Check Point, il est clair que les acteurs malveillants exploitent de plus en plus les conducteurs vulnérables. Bien que la recherche d’instances de pilotes vulnérables connues puisse souvent être simple, cette attaque particulière impliquant le pilote Truesight aurait contourné des détections qui s’appuyaient sur des hachages connus, entre autres méthodes.
Comme le souligne Check Point, passer à une approche qui « bloque les pilotes en fonction d’attributs au-delà des hachages [...] est essentiel pour améliorer la détection et la protection. »
Lotus Blossom menace plusieurs secteurs
Cisco Talos a découvert plusieurs campagnes d’espionnage impliquant Lotus Blossom, un groupe opérant depuis au moins 2012 ans.
Les attaques récentes, qui fournissent le backdoor Sagerunex et d’autres outils de piratage, ciblent plusieurs secteurs, notamment la fabrication, le gouvernement, les télécommunications et les médias. L’acteur a également créé de nouvelles variantes de sa porte dérobée de signature qui abuse des services cloud tiers pour C2. Cisco Talos note que la campagne récente semble avoir connu un succès significatif tout en ciblant principalement les victimes aux Philippines, au Vietnam, à Hong Kong et à Taïwan.
Les chercheurs ont également découvert de nouvelles variantes du backdoor Sagerunex de Lotus Blossom. Au lieu de s’appuyer sur des serveurs privés virtuels pour le C2, ces nouvelles variantes utilisent des services cloud tiers, notamment Dropbox, Twitter et Zimbra.
Quels outils sont utilisés dans la chaîne d’attaque Lotus Blossom ?
Cisco Talos a constaté que ce groupe utilise une large gamme d’outils, y compris des outils open source et d’autres, tels qu’un voleur de cookies, l’outil proxy Venom, un outil de privilège d’ajustement, un outil d’archivage, un outil de relais de port et un outil RAR. Le rapport fournit plus de détails sur chacun de ces outils.
Le groupe a été fréquemment observé en tirant parti de l’outil Impacket pour exécuter des commandes à distance. Après avoir réussi à accéder au réseau, l’acteur passe par plusieurs étapes, en commençant par la reconnaissance. Ensuite, l’acteur confirmera que l’appareil peut se connecter à Internet et, si ce n’est pas le cas, utilisera divers outils pour relier l’appareil aux systèmes accessibles à Internet. L’acteur a également été observé en train de déployer la porte dérobée et différents outils de piratage dans le sous-dossier « public\pictures » avant d’installer la porte dérobée Sagerunex.
Comment Sagerunex est installé
Cisco Talos a identifié plusieurs variantes du backdoor Sagerunex en examinant le code du chargeur. Lorsque le backdoor s’exécute, il effectue des vérifications pour s’assurer qu’il peut continuer. Chaque variante a sa logique de vérification temporelle, déterminant si elle doit s’exécuter immédiatement ou retarder l’exécution. Une fonctionnalité partagée entre toutes les variantes identifiées est la configuration proxy.
Cisco Talos a identifié plusieurs variantes, notamment une version bêta, des versions Dropbox et Twitter et une version Zimbra. Le rapport détaille les versions bêta, Dropbox et Twitter.
Zimbra, la version la plus récente, utilise l’API Zimbra pour se connecter au service, qui est ensuite utilisé comme canal C2 pour la campagne. Cette version utilisera l’URL, le nom d’utilisateur et le mot de passe Zimbra pour obtenir le jeton d’authentification approprié. Il peut ensuite utiliser le jeton pour synchroniser les dossiers et les documents.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme beaucoup d’autres acteurs, Lotus Blossom s’est davantage appuyée sur des services légitimes tels que Dropbox, Twitter et Zimbra pour échapper à la détection. Il s’agit d’une tendance courante dans laquelle les acteurs abusent délibérément des services qui se fondront dans le trafic commercial normal.
La chronologie de Cisco Talos des différentes variantes de Sagerunex indique que l’acteur a commencé à abuser des services légitimes en 2018, avant la hausse plus importante au cours des dernières années.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
