Dans le résumé de cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium examine le groupe de ransomware BERT récemment émergé, qui cible désormais les plateformes Windows et Linux dans les secteurs de la technologie, de la santé et des services événementiels. Ensuite, l’équipe examine une campagne menée par un courtier d’accès initial (IAB) qui est temporairement suivie comme TGR-CRI-0045. Enfin, nous explorons l’évolution de XWorm en un cheval de Troie d’accès à distance (RAT) hautement adaptable.
Le ransomware BERT cible les plateformes Windows et Linux
Trend Micro a partagé les détails du groupe de ransomware BERT nouvellement émergé. Le groupe, qui est actif depuis avril 2025, cible désormais des organisations en Asie, en Europe et aux États-Unis avec des attaques multiplateformes sur les systèmes Windows et Linux.
Malgré un code simple, BERT utilise des tactiques agressives telles que le chiffrement simultané et les arrêts ESXi pour maximiser l’effet de levier des perturbations et des rançons.
Comment fonctionne la variante Windows BERT ?
Selon Trend Micro, le groupe utilise une structure de code simple pour la version Windows de son ransomware avec des chaînes spécifiques qui mettront fin aux processus.
Trend Micro a constaté que la clé publique, l’extension de fichier et la note de rançon étaient facilement accessibles dans le code, et a identifié l’utilisation d’AES standard pour le chiffrement.
[Lire également : L’art de la négociation par ransomware]
Trend Micro a également identifié des échantillons supplémentaires de BERT qui avaient été téléchargés à l’état sauvage. Nombre d’entre elles semblaient être des versions plus anciennes qui n’avaient pas de chiffrement et d’autres éléments vus dans leur propre télémétrie interne, indiquant qu’il y a eu plusieurs itérations de BERT.
En outre, Trend Micro a identifié un script PowerShell qui agit comme chargeur pour la charge utile réelle du ransomware BERT. Ce script PowerShell « fait remonter les privilèges, désactive Windows Defender, le pare-feu et le contrôle du compte utilisateur (UAC), puis télécharge et exécute le ransomware à partir d’une adresse IP distante. »
Évolution des variants BERT
Les variantes plus anciennes énuméreraient d’abord les lecteurs et déposeraient la note de rançon dans chaque répertoire. Ils collectent ensuite les chemins de fichier nécessaires, les stockent dans une baie et procèdent au chiffrement.
La nouvelle variante utilise ConcurrentQueue et crée un DiskWorker sur chaque lecteur pour améliorer le processus de chiffrement. Cette approche permet un chiffrement multithread, permettant à BERT de commencer à chiffrer les fichiers au fur et à mesure qu’ils sont identifiés plutôt que d’attendre de collecter tous les chemins de fichiers, augmentant ainsi considérablement la vitesse et l’impact.
Ce qu’il faut savoir sur la variante Linux
En mai, Trend Micro a découvert une variante BERT Linux qui utilise 50 threads pour maximiser la vitesse de chiffrement. Cette variante accepte trois paramètres de ligne de commande :
- Pour spécifier le répertoire cible à chiffrer
- Pour définir le nombre de threads pour le chiffrement (la valeur par défaut est 50)
- Pour activer le mode silencieux
Lorsque le ransomware est exécuté sans ces paramètres, il arrête les machines virtuelles, ce qui met fin à tous les processus de machines virtuelles en cours d’exécution dans l’hôte ESXi. Une fois que cette variante a terminé sa routine de chiffrement, elle ajoutera .encrypted_by_bert à chaque fichier et déposera la note de rançon.
Trend Micro pense que le groupe peut avoir dérivé cette variante de la variante Linux de REvil.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cela ne fait que quelques mois que BERT est apparu, mais il existe déjà des variantes ciblant les systèmes Windows et Linux, mettant en évidence une tendance croissante parmi les acteurs malveillants de la conception de logiciels malveillants et de rançongiciels pour exploiter les environnements hybrides.
Le point à retenir est que la base de code de BERT est relativement simple, mais le groupe derrière elle excelle dans l’opérationnalisation des attaques. Nous vous rappelons que l’efficacité d’une menace n’est pas toujours corrélée à sa complexité technique.
TGR-CRI-0045 exploite les clés de machine qui ont fui pour accéder aux organisations
Palo Alto a récemment découvert une campagne effectuée par un IAB, qu’il suit temporairement comme TGR-CRI-0045.
Cet acteur a été observé en train d’exploiter des clés de machine ASP.NET ayant fui pour pirater des sessions et obtenir un accès non autorisé aux serveurs Microsoft Internet Information Services (IIS), ce qui permet une persistance furtive et une compromission supplémentaire.
Comment cet exploit IIS a été découvert
Plus tôt cette année, Palo Alto a répondu aux intrusions de serveurs Web dans deux environnements clients différents. Les deux intrusions impliquaient une exécution de shell de commande provenant d’un processus de travailleur IIS et affichaient des caractéristiques communes.
L’enquête a révélé que l’attaquant « exécutait des commandes chargeant des assemblages .NET gérés (code C#) directement dans la mémoire (chargement réfléchissant). » Cet exploit ciblait View State, qui est un paramètre au sein des sites ASP.NET qui s’exécutent sur Microsoft IIS.
TGR-CRI-0045 chaîne d’exploitation expliquée
Les sites Web utilisent View State pour gérer les interactions entre les navigateurs et les serveurs. Il s’avère que le paramètre _VIEWSTATE est vulnérable en raison des techniques de désérialisation que les attaquants peuvent utiliser pour activer l’exécution de code à distance. Cependant, cela ne peut se produire que si l’attaquant dispose de la clé de machine correcte.
Les attaquants sont connus pour utiliser des listes de clés de machine qui ont fui ou extraire les clés des serveurs en cours d’exécution directement. Une fois qu’ils ont ces clés, quelle que soit la méthode, ils peuvent créer la charge utile de désérialisation et cibler le serveur.
Selon Palo Alto, TGR-CRI-0045 ont probablement utilisé des outils tels que ysoserial.net, un générateur de charge utile open source pour créer des charges utiles de désérialisation malveillantes.
Comprendre les assemblages
Palo Alto a identifié cinq sous-ensembles d’assemblage .NET qui ont été chargés en mémoire après que l’acteur a exploité View State. Parmi ces derniers figurent :
cmd /c: exécute des commandes système arbitraires sur le serveur compromis- Gagnant : probablement utilisé pour vérifier la réussite de l’exploitation ou la préparation de l’environnement
- Téléchargement de fichiers : permet à l’attaquant de télécharger des fichiers ou outils malveillants directement sur le serveur pour une exploitation ou une persistance supplémentaires
- Téléchargement de fichier : permet à l’attaquant d’exfiltrer des données sensibles ou de récupérer des charges utiles de l’environnement compromis
- Chargeur réfléchissant : Injecte et exécute des assemblages .NET directement en mémoire sans toucher le disque, une technique d’évasion clé qui évite d’écrire des artefacts sur le disque et aide à contourner les méthodes de détection traditionnelles
Ces assemblages ont tous partagé des caractéristiques de traitement des données similaires et effectuent les mêmes appels pour mettre fin aux réponses HTTP.
[Lire également : Protégez vos invites : des menaces par injection arrivent pour vos outils d’IA]
Que se passe-t-il après l’exploitation ?
L’activité post-exploitation de cet acteur comprenait la reconnaissance de l’hôte compromis et du réseau. Palo Alto note que l’acteur a systématiquement utilisé le chemin Windows\Temp\111t comme répertoire de préproduction.
Pour l’escalade des privilèges, l’acteur a utilisé une mise à niveau binaire personnalisée, qui peut exécuter des commandes avec des privilèges SYSTEM, créer de nouveaux utilisateurs locaux et ajouter lesdits utilisateurs au groupe d’administrateurs local.
L’acteur a également fréquemment téléchargé un fichier binaire ELF nommé atm, utilisé TxPortMap pour identifier les serveurs pouvant être atteints à partir de l’appareil initialement compromis, et effectué une reconnaissance via l’ensemble de shell de commande.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’analyse de Palo Alto révèle comment les IAB évoluent en termes de sophistication technique. Ils ne s’appuient plus uniquement sur des techniques traditionnelles telles que l’ hameçonnage ou le forçage brut.
L’analyse souligne également comment la gestion des secrets comme les clés de machine doit être traitée de la même manière que les informations d’identification ou les jetons d’API, car une mauvaise utilisation peut entraîner de graves incidents de sécurité.
Le rapport comprend des conseils de remédiation et de renforcement, ainsi qu’un résumé plus large des implications de l’artisanat IIS en mémoire.
XWorm évolue en RAT modulaire et évasif
Selon Splunk, XWorm est devenu un cheval de Troie modulaire d’accès à distance qui exploite des formats de fichiers changeants, des langages de script et des techniques de dissimulation pour échapper à la détection et fournir des charges utiles.
L’analyse de Splunk met en évidence la conception modulaire du logiciel malveillant et ses liens avec les opérations de ransomware. Le rapport fournit également des stratégies de détection exploitables pour aider les défenseurs à contrer leur comportement furtif.
L’anatomie d’une attaque d’hameçonnage XWorm
Splunk note que XWorm passe en revue les formats de fichiers et les langages de script dans le cadre d’une stratégie d’évasion de défense plus large. Le logiciel malveillant utilise également une gamme de compte-gouttes, de préparateurs et de chargeurs dans sa chaîne d’infection.
Les analystes approfondissent XWorm pour identifier les différents formats de fichiers qu’il utilise. L’équipe a extrait 1 000 échantillons XWorm de Malware Bazaar, à la recherche de types de fichiers plus uniques au lieu de fichiers EXE et DLL traditionnels. Les types de fichiers les plus fréquemment utilisés comprennent VBS, batch, JavaScript et PowerShell. Ces types de fichiers sont souvent livrés par e-mail.
De même, Splunk a examiné les noms de fichiers pour comprendre quel type d’attrait d’ingénierie sociale peut être utilisé le plus souvent par XWorm. Ils ont trouvé plusieurs thèmes récurrents, notamment les factures, les reçus et les notifications d’expédition.
Certains composants de script téléchargeront la charge utile principale de XWorm directement à partir du serveur C2 . Au cours de l’enquête, Splunk a rencontré des fichiers HTA et des séquenceurs PowerShell qui ont agi comme étape initiale et étaient responsables du téléchargement de la charge utile de l’étape suivante.
Comment XWorm déploie ses charges utiles
Splunk a identifié des séquenceurs VBS et de script par lots qui étaient masqués pour rendre l’analyse du code plus difficile et échapper à la détection.
Ces scripts décodent et décryptent deux exécutables directement dans la mémoire, une technique courante pour éviter l’écriture sur le disque et échapper à la détection. Ces exécutables agissent en tant que séquenceur et chargeur de l’étape suivante, responsables de la livraison de composants supplémentaires et du déploiement final de la charge utile XWorm :
- Stager : contourne AMSI (Interface d’analyse antimalware) pour désactiver l’analyse de script
- Chargeur : Sabotage avec Windows ETW (Event Tracing for Windows) pour échapper à la surveillance de l’exécution
Les deux sont conçus comme des mécanismes anti-analyse pour réduire la visibilité et entraver la détection.
Le stager établit également la persistance et fait remonter les privilèges en créant des clés d’exécution de registre et des tâches planifiées. Il tente de décompresser les données GZIP de ses sections de ressources, d’utiliser le chargement latéral DLL pour masquer le code malveillant en tant que bibliothèques légitimes et d’injecter du shellcode dans les processus cibles pour exécuter des charges utiles en mémoire.
Ce que fait la charge utile XWorm après l’infection
La charge utile XWorm finale est un exécutable décrypté (payload.exe). XWorm utilise WMI (Windows Management Instrumentation) pour effectuer la reconnaissance de l’hôte, y compris l’identification des webcams disponibles. Comme d’autres types de logiciels malveillants, XWorm utilise les paramètres d’exclusion de Microsoft Defender pour empêcher l’analyse de son répertoire.
Splunk a également identifié une fonction appelée RunDisk() qui exécute un composant PowerShell avec une politique d’exécution modifiée. Le logiciel malveillant tente de se propager via des disques amovibles et inclut une fonction pour traiter les commandes de backdoor. Tout comme le séquenceur et les chargeurs, le logiciel malveillant utilise des clés d’exécution de registre et des tâches planifiées pour la persistance.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
XWorm est hautement adaptable et pose plusieurs défis uniques aux défenseurs.
Son évolution reflète une tendance plus large vers une modularité accrue et des capacités d’évasion améliorées. Ceci, combiné à son utilisation de formats de fichiers rotatifs et de langages de script, est susceptible d’améliorer son taux de réussite et d’augmenter son attrait parmi les acteurs malveillants.
L’analyse de Splunk souligne également l’importance des détections comportementales pour des éléments tels que l’activité suspecte du registre, par opposition aux indicateurs statiques.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
