Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium enquête sur une nouvelle campagne menée par le groupe de ransomware BlackSuit. L'équipe se penche ensuite sur l'évolution d'AsyncRAT, qui s'est transformé en un réseau complexe de branches. Pour finir, nous terminons par une présentation générale de HazyBeacon, une porte dérobée sous Windows qui n'avait jusqu'à présent jamais été documentée.
Dans les coulisses des opérations du ransomware BlackSuit : une double menace alliant chiffrement et vol de données
Un article de blog récent publié par Cybereason propose une analyse approfondie d'une campagne de ransomware « » menée par le groupe de ransomware BlackSuit.
Qu'est-ce que le ransomware BlackSuit ?
BlackSuit est une opération de rançongiciel sophistiquée qui serait en réalité une nouvelle appellation du groupe Royal (une branche du tristement célèbre gang Conti), ce qui témoigne d'un haut niveau de maturité opérationnelle et de capacité de nuisance.
Les campagnes de BlackSuit associent l'exfiltration de données au chiffrement de fichiers, ce qui leur permet d'exercer une pression maximale sur leurs victimes.
Comment BlackSuit parvient-il à s'infiltrer dans les réseaux et à s'y déplacer ?
Cybereason a constaté que BlackSuit utilisait des outils tels que (PsExec),, (Cobalt Strike),, (RDP), et (rclone) pour obtenir un accès initial, se déplacer latéralement et maintenir sa persistance.
Lors d'une attaque observée, PsExec a été utilisé pour déployer à distance des balises Cobalt Strike, tandis que l' RPC a été exploitée pour créer des services à distance. Il s'agit d'une tactique peu courante, mais remarquable.
Quelles sont les techniques de commande et de contrôle (C2) utilisées par BlackSuit ?
Comme le souligne Cybereason, les attaquants s'appuient largement sur les commandes PowerShell pour se connecter à leur infrastructure C2 . Les attaquants téléchargent des charges utiles, notamment Cobalt Strike Beacon et le fichier binaire du rançongiciel, à partir d'adresses IP externes et d'adresses IP internes compromises, ce qui complique leur détection.
Cette approche à double source complique la détection et met en évidence la capacité d'adaptation du groupe.
Comment BlackSuit intensifie-t-il ses attaques une fois qu'il a obtenu l'accès ?
Une fois à l'intérieur d'un réseau, BlackSuit utilise le fichier Rundll32.exe pour charger les balises Cobalt Strike et se connecter à des domaines malveillants. Il transfère ensuite les identifiants via LSASS, exfiltre des données à l'aide d'un binaire rclone renommé (vmware.exe), puis supprime les clichés de sauvegarde afin d'empêcher toute restauration.
Le groupe définit des chemins d'exclusion afin d'éviter de chiffrer les fichiers essentiels au fonctionnement du système ainsi que ses propres notes de rançon, renforçant ainsi son approche discrète et stratégique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs malveillants brouillent de plus en plus la frontière entre les tactiques de « red team » ou les activités légitimes et la cybercriminalité réelle, comme en témoigne l'utilisation par BlackSuit d'outils légitimes tels que rclone et Cobalt Strike.
Ce qui est intéressant chez ce groupe, c'est son parcours, qui remonte de Conti à Royal, puis à BlackSuit. Ce type de changement d'identité et d'adaptation est courant chez les groupes d'acteurs malveillants et rend l'attribution particulièrement difficile.
La prolifération des variantes d'AsyncRAT parmi les logiciels malveillants open source
Selon ESET, le cheval de Troie d'accès à distance open source AsyncRAT s'est transformé en un réseau complexe de variantes, chacune dotée de fonctionnalités spécifiques.
En retraçant son histoire et en analysant la diversité de ses modules complémentaires, les chercheurs mettent en évidence la capacité d'adaptation d'AsyncRAT et la menace persistante qu'il représente pour la cybersécurité.
Qu'est-ce qu'AsyncRAT et pourquoi fait-il l'objet d'autant de dérivés ?
La version originale d'AsyncRAT a été publiée sur GitHub en 2019. Il offre des fonctionnalités permettant d'enregistrer les frappes au clavier, de réaliser des captures d'écran, de voler des identifiants, et bien plus encore.
Ce logiciel malveillant étant open source, il est très prisé des cybercriminels et a donné lieu à plusieurs dérivés. Ces branches sont liées entre elles par les classes de cryptographie personnalisées utilisées par le logiciel malveillant.
ESET souligne que, bien qu’AsyncRAT partage des composants cryptographiques avec Quasar RAT — tels que des classes identiques Aes256 et Sha256 —, il ne s’agit pas d’un fork direct, mais d’une réécriture complète. Son architecture modulaire et ses fonctionnalités de furtivité le rendent plus insaisissable et plus difficile à détecter, ce qui contribue à sa popularité auprès des acteurs malveillants.
Comment ESET identifie-t-il les variantes d'AsyncRAT en circulation ?
ESET a eu recours à diverses méthodes pour identifier et classer les échantillons. Le moyen le plus simple d'identifier ces variantes consistait à examiner la configuration du logiciel malveillant.
Pour la plupart des échantillons, ESET a constaté que le champ « version » de la configuration s'avérait utile, puisqu'il contenait soit le nom de la branche elle-même, soit celui de l'auteur du logiciel malveillant. Dans certains cas, ce champ était vide, et les chercheurs ont dû chercher ailleurs des indices, comme la valeur « Salt » utilisée pour le chiffrement.
ESET a également recueilli des informations en recherchant le certificat utilisé pour authentifier le serveur C2 , qui pouvait parfois être rattaché à la branche précédente.
Quel est le lien entre les variantes d'AsyncRAT, telles que DcRAT et VenomRAT ?
Selon ESET, les variantes d'AsyncRAT les plus répandues sont (DcRAT), et (VenomRAT).
DcRAT a été développé à partir d'AsyncRAT, en y ajoutant des fonctionnalités et des capacités supplémentaires, tandis que VenomRAT aurait été inspiré par DcRAT.
Outre celles-ci, de nombreuses variantes moins connues sont également en circulation, qu’ESET analyse plus en détail.
Pourquoi faut-il surveiller de près les variantes moins connues d'AsyncRAT ?
ESET a identifié plusieurs variantes moins connues d'AsyncRAT qui offrent des fonctionnalités allant au-delà du comportement standard d'un RAT, notamment :
SantaRATBoraRATNonEuclid RATScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
Alors que certaines, telles que SantaRAT et BoraRAT, semblent être des variantes créées à des fins humoristiques, d’autres — comme Screamer.dll et WormUsb.dll — comportent des modules distinctifs, tels que des vecteurs de propagation USB et des charges utiles originales.
Ces exemples illustrent la flexibilité du framework open source AsyncRAT ainsi que la créativité, voire parfois l'humour, de ses utilisateurs.
Pour ceux qui souhaitent obtenir une analyse technique plus approfondie, le rapport complet d'ESET mérite vraiment d'être lu.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les recherches menées par ESET sont révélatrices. On a beaucoup parlé de la manière dont les variantes découlent d'autres logiciels malveillants, mais constater le nombre de dérivés issus d'un seul cheval de Troie AsyncRAT permet vraiment de mettre cela en perspective.
Le nombre considérable de variantes d'AsyncRAT représente un défi pour les défenseurs, car la détection basée sur les signatures peut avoir du mal à suivre le rythme de l'évolution de la menace. Cette étude met également en évidence le caractère à double tranchant des logiciels libres, qui peuvent s'avérer très utiles pour la collaboration, mais qui permettent également à certains acteurs d'utiliser ces outils à des fins malveillantes avec facilité.
D'autres résumés de la CTI consacrés à AsyncRAT
AsyncRAT est apparu dans plusieurs campagnes malveillantes suivies par l'équipe Cyber Threat Intelligence de Tanium. Pour en savoir plus sur la manière dont il est déployé parallèlement à d'autres logiciels malveillants et à d'autres formes d'utilisation abusive des infrastructures, consultez les articles de blog suivants :
- AsyncRAT, le logiciel malveillant PikaBot et les serveurs MS SQL pris pour cibles (Publié le 18 janvier, 2024) : met en évidence une nouvelle campagne diffusant AsyncRAT via des pages de phishing de type « » et des chargeurs JavaScript obfusqués, parallèlement à la diffusion de PikaBot et à l'exploitation des serveurs MS SQL
- L'unité chargée de la cybersécurité du ministère américain de la Justice (DOJ) traque les menaces d'origine étatique (Publié le 27 juin, 2023) : Ce document examine la présence d'AsyncRAT dans des campagnes liées à des acteurs étatiques et à l'utilisation abusive d'infrastructures, notamment des buckets AWS S3 arrivés à expiration
- Les attaques par ransomware ESXiArgs ciblent les serveurs VMware (Publié le 14 février, 2023) : cet article traite de l'utilisation d'AsyncRAT dans les activités préparatoires à l'attaque par ransomware et de son rôle dans les campagnes ciblant les serveurs VMware ESXi non mis à jour
Restez à l'écoute pour découvrir les prochaines mises à jour de CTI et les analyses détaillées de nos campagnes, tandis que notre équipe continue de suivre AsyncRAT et ses variantes en constante évolution dans le paysage des menaces.
Le logiciel malveillant HazyBeacon exploite AWS Lambda pour mener des activités d'espionnage gouvernemental discrètes
Palo Alto recently discovered a novel Windows backdoor, dubbed HazyBeacon, that exemplifies the growing trend of adversaries abusing cloud-native infrastructure for stealthy C2 operations.
Ce logiciel malveillant est lié à un groupe de menaces portant le numéro CL-STA-1020 , qui cible des entités gouvernementales en Asie du Sud-Est et dont l'objectif principal est la collecte de renseignements.
Utilisation abusive des URL AWS Lambda à des fins de commande et de contrôle dissimulées
HazyBeacon s'appuie sur AWS Lambda, un service de calcul sans serveur qui exécute du code en réponse à des événements sans nécessiter de provisionnement ni de gestion de serveurs. En 2022, les URL Lambda ont été introduites pour étendre cette fonctionnalité, permettant ainsi aux développeurs d’appeler des fonctions Lambda via des points de terminaison HTTP. However, this convenience has been co-opted by threat actors, who now use Lambda URLs as C2 channels.
En intégrant des activités de balisage au sein d'un trafic cloud d'apparence légitime, les attaquants peuvent dissimuler leurs communications malveillantes au milieu des opérations normales de l'entreprise, ce qui rend leur détection nettement plus difficile.
Déploiement furtif via le chargement latéral de DLL et des services persistants
Pour s'infiltrer dans les systèmes, HazyBeacon utilise une technique de chargement latéral de DLL de type « » afin de faire passer une DLL malveillante pour une bibliothèque Windows légitime et d'exécuter ainsi sa charge utile.
Une fois exécuté, il se connecte au point de terminaison Lambda contrôlé par le pirate. Pour assurer sa persistance, le logiciel malveillant installe un service Windows nommé « » (msdnetsvc).
Collecte ciblée de fichiers et tentatives d'exfiltration via le cloud
L'une des charges utiles principales, igfx.exe, est un collecteur de fichiers qui compresse les fichiers ciblés en fonction d'extensions et de plages horaires spécifiées. L'acteur divise ensuite les archives en parties plus petites afin de les exfiltrer. Des outils tels que , GoogleGet.exe et ont été utilisés pour tenter d'effectuer des téléchargements vers Google Drive et Dropbox, mais ceux-ci ont finalement été bloqués.
Nettoyage après l'exfiltration visant à minimiser les risques de détection
À l'issue de la phase de collecte de données, le pirate a exécuté des commandes de nettoyage afin d'effacer les charges utiles et les archives, réduisant ainsi au minimum les traces pouvant faire l'objet d'une analyse judiciaire.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'utilisation d'URL AWS Lambda dans le cadre de la communication « C2 » met en évidence la manière dont les acteurs malveillants exploitent de plus en plus les services cloud pour dissimuler leurs activités malveillantes au sein d'infrastructures de confiance, ce qui rend les défenses traditionnelles basées sur le périmètre moins efficaces.
HazyBeacon illustre la tendance générale observée dans les tactiques des menaces persistantes avancées (APT), selon laquelle les acteurs délaissent progressivement les infrastructures statiques au profit des infrastructures cloud. Cette activité souligne une nouvelle fois la nécessité pour les défenseurs d'adopter des stratégies de détection davantage axées sur le comportement.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
