Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur le groupe de ransomware BERT, apparu récemment, qui cible désormais les plateformes Windows et Linux dans les secteurs des technologies, de la santé et des services événementiels. L'équipe se penche ensuite sur une campagne menée par un courtier en accès initial (IAB) qui fait l'objet d'un suivi temporaire sous le numéro TGR-CRI-0045. Enfin, nous examinons l'évolution de XWorm vers un cheval de Troie d'accès à distance (RAT) extrêmement adaptable.
Le ransomware BERT cible les plateformes Windows et Linux
Trend Micro a communiqué des informations concernant le groupe de ransomware BERT, récemment apparu. Ce groupe, actif depuis avril 2025, cible désormais des organisations en Asie, en Europe et aux États-Unis au moyen d'attaques multiplateformes visant à la fois les systèmes Windows et Linux.
Bien que son code soit simple, BERT recourt à des tactiques agressives, telles que le chiffrement simultané et les arrêts d'ESXi, afin de maximiser les perturbations et de renforcer son pouvoir de négociation en matière de rançon.
Comment fonctionne la variante Windows de BERT ?
Selon Trend Micro, ce groupe utilise une structure de code simple pour la version Windows de son rançongiciel, avec des chaînes de caractères spécifiques destinées à mettre fin à certains processus.
Trend Micro a constaté que la clé publique, l'extension de fichier et la note de rançon étaient toutes facilement accessibles dans le code, et a identifié l'utilisation de l'algorithme AES standard pour le chiffrement.
[À lire également : L'art de la négociation face aux ransomwares]
Trend Micro a également identifié d'autres échantillons de BERT qui avaient été mis en ligne sur Internet. Bon nombre d'entre elles semblaient être des versions plus anciennes dépourvues de cryptage et d'autres éléments observés dans leur propre télémétrie interne, ce qui indique qu'il y a eu plusieurs itérations de BERT.
Par ailleurs, Trend Micro a identifié un script PowerShell qui sert de chargeur pour la charge utile proprement dite du ransomware BERT. Ce script PowerShell « élève les privilèges, désactive Windows Defender, le pare-feu et le contrôle des comptes utilisateurs (UAC), puis télécharge et exécute le rançongiciel à partir d'une adresse IP distante. »
Évolution des variantes de BERT
Les anciennes versions commençaient par répertorier les lecteurs, puis plaçaient la note de rançon dans chaque répertoire. Ils récupéraient ensuite les chemins d'accès aux fichiers nécessaires, les stockaient dans un tableau, puis procédaient au chiffrement.
La nouvelle variante utilise ConcurrentQueue et crée un DiskWorker sur chaque disque afin d'optimiser le processus de chiffrement. Cette approche permet un chiffrement multithread, ce qui permet à BERT de commencer à chiffrer les fichiers dès qu’ils sont identifiés, plutôt que d’attendre d’avoir répertorié tous les chemins d’accès aux fichiers, ce qui améliore considérablement la vitesse et l’efficacité du processus.
Ce qu'il faut savoir sur cette variante de Linux
En mai, Trend Micro a découvert une variante de BERT sous Linux qui utilise 50 threads pour optimiser la vitesse de chiffrement. Cette variante accepte trois paramètres de ligne de commande :
- Pour spécifier le répertoire cible à chiffrer
- Pour définir le nombre de threads pour le chiffrement (la valeur par défaut est 50)
- Pour activer le mode silencieux
Lorsque le ransomware est exécuté sans ces paramètres, il arrête les machines virtuelles, mettant ainsi fin à tous les processus des machines virtuelles en cours d'exécution au sein de l'hôte ESXi. Une fois que cette variante aura terminé sa procédure de chiffrement, elle ajoutera l'extension « .encrypted_by_bert » à chaque fichier et déposera la note de rançon.
Trend Micro estime que ce groupe pourrait avoir dérivé cette variante de la variante Linux de REvil.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cela ne fait que quelques mois que BERT a fait son apparition, mais il existe déjà des variantes ciblant à la fois les systèmes Windows et Linux, ce qui met en évidence une tendance croissante chez les auteurs de menaces à concevoir des logiciels malveillants et des ransomwares destinés à exploiter les environnements hybrides.
En conclusion, le code source de BERT est relativement simple, mais le groupe à l'origine de ce projet excelle dans la mise en œuvre d'attaques. Cela nous rappelle que l'efficacité d'une menace n'est pas toujours liée à sa complexité technique.
TGR-CRI-0045 exploits exploitent des clés système divulguées pour accéder aux organisations
Palo Alto a récemment mis au jour , une campagne menée par un IAB, qu'ils identifient provisoirement sous le numéro TGR-CRI-0045.
Cet acteur a été observé en train d'exploiter des clés de machine ASP.NET divulguées afin de détourner des sessions et d'obtenir un accès non autorisé aux serveurs Microsoft Internet Information Services (IIS), ce qui lui a permis de s'implanter de manière furtive et de poursuivre ses activités malveillantes.
Comment cette faille d'IIS a-t-elle été découverte ?
Au début de cette année, Palo Alto a réagi à des intrusions sur des serveurs web dans deux environnements clients distincts. Ces deux intrusions impliquaient l'exécution d'un shell de commande provenant d'un processus de travail IIS et présentaient des caractéristiques communes.
L'enquête a révélé que l'attaquant « avait exécuté des commandes chargant des assemblages .NET gérés (code C#) directement en mémoire (chargement réflexif) ». Cette faille de sécurité visait « View State », un paramètre présent dans les sites ASP.NET fonctionnant sous Microsoft IIS.
Explication de la chaîne d'exploits TGR-CRI-0045
Les sites Web utilisent « View State » pour gérer les interactions entre les navigateurs et les serveurs. Il s'avère que le paramètre _VIEWSTATE de l' est vulnérable en raison de techniques de désérialisation que des attaquants peuvent exploiter pour permettre l'exécution de code à distance. Toutefois, cela ne peut se produire que si l'attaquant dispose de la clé machine appropriée.
On sait que les pirates utilisent soit des listes de clés de machine qui ont fait l'objet d'une fuite, soit extraient ces clés directement des serveurs en cours d'exécution. Une fois qu'ils disposent de ces clés, quelle que soit la méthode utilisée, ils peuvent créer la charge utile de désérialisation et attaquer le serveur.
Selon Palo Alto, TGR-CRI-0045 aurait utilisé des outils tels que , ysoserial.net et — un générateur de charges utiles open source permettant de créer des charges utiles malveillantes de désérialisation.
Comprendre les assemblages
Palo Alto a identifié cinq sous-ensembles d'assemblages .NET qui ont été chargés en mémoire après que l'acteur a exploité la fonctionnalité « View State ». Parmi ces derniers figurent :
cmd /c: Exécute des commandes système arbitraires sur le serveur compromis- Gagnant : Probablement utilisé pour vérifier la réussite de l'exploitation ou l'état de préparation de l'environnement
- Téléchargement de fichiers : Permet à l'attaquant de télécharger des fichiers ou des outils malveillants directement sur le serveur en vue d'une exploitation ultérieure ou d'une persistance
- Téléchargement du fichier : Permet à l'attaquant d'exfiltrer des données sensibles ou de récupérer des charges utiles depuis l'environnement compromis
- Chargeur réflexif : Injecte et exécute des assemblages .NET directement en mémoire sans passer par le disque, une technique de contournement essentielle qui évite l'écriture d'artefacts sur le disque et permet de contourner les méthodes de détection traditionnelles
Ces assemblages présentaient tous des caractéristiques similaires en matière de traitement des données et effectuaient les mêmes appels pour mettre fin aux réponses HTTP.
[À lire également : Protégez vos prompts : les menaces par injection menacent vos outils d'IA]
Que se passe-t-il après l'exploitation ?
Les activités menées par cet acteur après l'exploitation comprenaient une reconnaissance tant de l'hôte compromis que du réseau. Palo Alto constate que l'acteur a systématiquement utilisé le chemin d'accès Windows\Temp\111t comme répertoire de staging.
Pour l'élévation de privilèges, l'acteur a utilisé un binaire personnalisé updf, capable d'exécuter des commandes avec des privilèges SYSTEM, de créer de nouveaux utilisateurs locaux et d'ajouter ces derniers au groupe d'administrateurs locaux.
L'acteur a également fréquemment téléchargé un fichier binaire ELF nommé « » (disponible à l'adresse), a utilisé « » (TxPortMap, ) pour identifier les serveurs accessibles depuis l'appareil initialement compromis, et a mené des opérations de reconnaissance via l'environnement de ligne de commande.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de Palo Alto montre comment les IAB évoluent en termes de sophistication technique. Ils ne se contentent plus d'utiliser uniquement des techniques traditionnelles telles que l' , le phishing ou l'attaque par force brute.
Cette analyse souligne également que la gestion des secrets, tels que les clés de machine, doit être traitée de la même manière que celle des identifiants ou des jetons API, car toute utilisation abusive peut entraîner de graves incidents de sécurité.
Ce rapport comprend des recommandations concernant la correction et le renforcement de la sécurité d' , ainsi qu'un résumé plus complet des implications des techniques d'exploitation d'IIS en mémoire.
XWorm évolue pour devenir un RAT modulaire et insaisissable
Selon Splunk, XWorm a évolué pour devenir un cheval de Troie d'accès à distance modulaire qui exploite divers formats de fichiers, langages de script et techniques d'obfuscation afin d'échapper à la détection et de déployer ses charges utiles.
L'analyse de Splunk met en évidence la conception modulaire de ce logiciel malveillant et ses liens avec des opérations de rançongiciel. Ce rapport propose également des stratégies de détection concrètes destinées à aider les responsables de la sécurité à contrer ce comportement furtif.
Analyse d'une attaque de hameçonnage XWorm
Splunk souligne que XWorm alterne entre différents formats de fichiers et langages de script dans le cadre d'une stratégie plus large visant à contourner les systèmes de défense. Ce logiciel malveillant utilise également toute une série de « droppers », de « stagers » et de « loaders » dans sa chaîne d'infection.
Les analystes ont examiné de plus près XWorm afin d'identifier les différents formats de fichiers qu'il utilise. L'équipe a extrait 1 000 échantillons de XWorm du site Malware Bazaar, à la recherche de types de fichiers plus originaux que les fichiers EXE et DLL traditionnels. Les types de fichiers les plus couramment utilisés sont notamment les fichiers VBS, les fichiers batch, les fichiers JavaScript et les fichiers PowerShell. Ces types de fichiers sont souvent transmis par e-mail.
De même, Splunk a analysé les noms de fichiers afin de déterminer quel type de leurre d'ingénierie sociale est le plus souvent utilisé par XWorm. Ils ont identifié plusieurs thèmes récurrents, notamment les factures, les reçus et les avis d'expédition.
Certains composants du script téléchargeront la charge utile principale de XWorm directement depuis le serveur C2 . Au cours de l'enquête, Splunk a découvert des fichiers HTA et des « stagers » PowerShell qui servaient de phase initiale et étaient chargés de télécharger la charge utile de la phase suivante.
Comment XWorm déploie ses charges utiles
Splunk a identifié des programmes de préparation (stagers) écrits en VBS et en script batch qui avaient été obscurcis afin de compliquer l'analyse du code et d'échapper à la détection.
Ces scripts décodent et déchiffrent deux fichiers exécutables directement en mémoire — une technique couramment utilisée pour éviter d'écrire sur le disque et échapper à la détection. Ces fichiers exécutables font office de « stager » et de « loader » de deuxième étape ; ils sont chargés de fournir des composants supplémentaires et, à terme, de déployer la charge utile de XWorm :
- Stager : Contourne l'AMSI (Antimalware Scan Interface) pour désactiver l'analyse des scripts
- Programme de chargement : . Il altère le système ETW (Event Tracing for Windows) de Windows afin de contourner la surveillance en exécution.
Ces deux éléments sont conçus comme des mécanismes anti-analyse visant à réduire leur visibilité et à entraver leur détection.
Le programme de préparation assure également la persistance et étend les privilèges en créant des clés d'exécution dans le registre et des tâches planifiées. Il tente de décompresser les données GZIP contenues dans ses sections de ressources, utilise le chargement latéral de DLL pour faire passer du code malveillant pour des bibliothèques légitimes, et injecte du shellcode dans les processus cibles afin d'exécuter des charges utiles en mémoire.
Ce que fait la charge utile de XWorm après l'infection
La charge utile finale de XWorm est un fichier exécutable déchiffré (payload.exe). XWorm utilise WMI (Windows Management Instrumentation) pour effectuer une reconnaissance de l'hôte, notamment pour identifier les webcams disponibles. À l'instar d'autres types de logiciels malveillants, XWorm utilise les paramètres d'exclusion de Microsoft Defender pour empêcher l'analyse de son répertoire.
Splunk a également identifié une fonction appelée « RunDisk() » qui exécute un composant PowerShell avec une politique d'exécution modifiée. Ce logiciel malveillant tente de se propager via des supports amovibles et intègre une fonctionnalité permettant d'exécuter des commandes de porte dérobée. À l'instar du programme de déploiement et des chargeurs, ce logiciel malveillant utilise des clés d'exécution du registre et des tâches planifiées pour assurer sa persistance.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
XWorm est extrêmement adaptable et pose plusieurs défis particuliers aux défenseurs.
Son évolution reflète une tendance générale vers une modularité accrue et des capacités de contournement renforcées. Ce facteur, associé à l'utilisation de formats de fichiers changeants et de langages de script, devrait améliorer son taux de réussite et renforcer son attrait auprès des auteurs de menaces.
L'analyse de Splunk souligne également l'importance des détections comportementales, notamment en ce qui concerne les activités suspectes au niveau du registre, par opposition aux indicateurs statiques.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
