Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium enquête sur une nouvelle campagne impliquant le groupe de rançongiciels BlackSuit. Ensuite, l’équipe examine l’évolution d’AsyncRAT en un réseau complexe de fourches. Enfin, nous concluons avec une vue d’ensemble de HazyBeacon, une porte dérobée Windows précédemment non documentée.
À l’intérieur des opérations de rançongiciel BlackSuit : double menace de chiffrement et de vol de données
Un article de blog récent de Cybereason fournit une analyse approfondie d’une campagne de rançongiciel menée par le groupe de rançongiciels BlackSuit.
Qu’est-ce que le ransomware BlackSuit ?
BlackSuit est une opération sophistiquée de rançongiciel considérée comme une nouvelle marque du groupe Royal (une issue du tristement célèbre gang Conti), qui indique un niveau élevé de maturité opérationnelle et de capacité de menace.
Les campagnes de BlackSuit combinent l’exfiltration des données avec le chiffrement des fichiers, maximisant ainsi l’effet de levier sur les victimes.
[Comment négocier avec les acteurs du ransomware : leçons tirées d’un négociateur de premier plan]
Comment BlackSuit s’infiltre-t-il et se déplace-t-il sur les réseaux ?
Cybereason a observé BlackSuit à l’aide d’outils tels que PsExec, Cobalt Strike, RDP et rclone pour obtenir un accès initial, se déplacer latéralement et maintenir la persistance.
Dans une attaque observée, PsExec a été utilisé pour déployer des balises Cobalt Strike à distance, tandis que RPC a été utilisé pour créer des services à distance. Il s’agit d’une tactique rare mais notable.
Quelles sont les techniques de commande et de contrôle (C2) de BlackSuit ?
Comme le souligne Cybereason, les attaquants s’appuient fortement sur les commandes PowerShell pour se connecter à leur infrastructure C2 . Les attaquants téléchargent des charges utiles, notamment la balise Cobalt Strike et le fichier binaire du ransomware à partir d’IP internes externes et compromis, ce qui complique la détection.
Cette approche à double source complique la détection et met en évidence l’adaptabilité du groupe.
Comment BlackSuit fait-il remonter ses attaques après avoir obtenu l’accès ?
Une fois à l’intérieur d’un réseau, BlackSuit utilise Rundll32.exe pour charger les balises Cobalt Strike et se connecter à des domaines malveillants. Il supprime ensuite les informations d’identification via LSASS, exfiltre les données à l’aide d’un fichier binaire rclone renommé (vmware.exe) et supprime les copies fantômes pour empêcher la récupération.
Le groupe définit des chemins d’exclusion pour éviter de chiffrer les fichiers critiques pour le système et ses propres notes de rançon, renforçant ainsi son approche furtive et stratégique.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants estompent de plus en plus la frontière entre les tactiques de l’équipe rouge/l’activité légitime et la cybercriminalité réelle, comme en témoigne l’utilisation par BlackSuit d’outils légitimes tels que le rclone et Cobalt Strike.
Ce qui est intéressant dans ce groupe, c’est sa lignée, qui trace de Conti à Royal en passant par BlackSuit. Ce type de changement de marque et d’adaptation est courant parmi les groupes d’acteurs malveillants et rend l’attribution particulièrement difficile.
L’essor des fourches AsyncRAT dans les logiciels malveillants open source
Selon ESET, le cheval de Troie d’accès à distance open source AsyncRAT a évolué en un réseau complexe de fourches, chacune conçue avec des fonctionnalités uniques.
En suivant sa lignée et sa diversité de plug-ins, les chercheurs soulignent l’adaptabilité d’AsyncRAT et sa menace persistante pour la cybersécurité.
Qu’est-ce qu’AsyncRAT et pourquoi est-il si largement fourchu ?
L’AsyncRAT original a été publié sur GitHub en 2019. Il est fourni avec des capacités d’enregistrement des clés, de capture d’écran, de vol d’informations d’identification et bien plus encore.
Étant donné que le logiciel malveillant est open source, il est largement populaire parmi les acteurs malveillants et a entraîné plusieurs fourches. Ces fourches sont liées entre elles par les classes de cryptographie personnalisées utilisées par le logiciel malveillant.
ESET note que, bien qu’AsyncRAT partage des composants cryptographiques avec Quasar RAT, tels que des classes Aes256 et Sha256 identiques, il ne s’agit pas d’une fourche directe mais d’une réécriture complète. Son architecture modulaire et ses améliorations furtives le rendent plus évasif et plus difficile à détecter, contribuant à sa popularité parmi les acteurs malveillants.
Comment ESET identifie-t-elle les fourches AsyncRAT dans la nature ?
ESET a utilisé diverses méthodes pour identifier et catégoriser les échantillons. Le moyen le plus simple d’identifier ces fourches était d’examiner la configuration du logiciel malveillant.
Pour la plupart des échantillons, ESET a trouvé que le champ « version » dans la configuration était utile, contenant soit le nom de la fourche elle-même, soit l’auteur du logiciel malveillant. Dans certains cas, ce champ était vide, et les chercheurs devaient rechercher ailleurs des indices tels que la valeur Salt pour le chiffrement.
ESET a également recueilli des informations en recherchant le certificat utilisé pour authentifier le serveur C2 , qui pourrait parfois être retracé à la fourche précédente.
Comment les variantes AsyncRAT telles que DcRAT et VenomRAT sont-elles connectées ?
Selon ESET, les variantes AsyncRAT les plus largement utilisées sont DcRAT et VenomRAT.
DcRAT a été conçu sur AsyncRAT, introduisant des fonctionnalités et capacités supplémentaires, tandis que VenomRAT aurait été inspiré par DcRAT.
Au-delà de celles-ci, de nombreuses fourches moins connues sont également en circulation, ce qu’ESET explore plus en détail.
Qu’est-ce qui rend les variantes moins connues d’AsyncRAT intéressantes à regarder ?
ESET a identifié plusieurs fourches AsyncRAT moins connues qui introduisent des capacités au-delà du comportement RAT standard, notamment :
SantaRATBoraRATRAT non EuclideScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
Alors que certains, tels que SantaRAT et BoraRAT, semblent être des variantes de blagues, d’autres, comme Screamer.dll et WormUsb.dll, présentent des plug-ins distincts tels que des spreaders USB et des charges utiles de nouveauté.
Ces exemples illustrent la flexibilité du cadre open source d’AsyncRAT et la créativité, parfois même l’humour, de sa base d’utilisateurs.
Pour ceux qui s’intéressent à une panne technique plus approfondie, le rapport complet d’ESET vaut la peine d’être lu.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les recherches d’ESET ouvrent les yeux. On a beaucoup dit sur la manière dont les variantes proviennent d’autres logiciels malveillants, mais le fait de voir combien de fourches existent d’un seul cheval de Troie AsyncRAT met vraiment cela en perspective.
Le nombre considérable de fourches AsyncRAT représente un défi pour les défenseurs, car la détection basée sur la signature peut avoir du mal à suivre le rythme de l’évolution du paysage. Cette étude souligne également la nature à double tranchant des logiciels open source qui peuvent être excellents pour la collaboration, mais permettent également aux acteurs d’armer facilement les outils.
Plus de résumés CTI avec AsyncRAT
AsyncRAT est apparu dans plusieurs campagnes de menaces suivies par l’équipe Cyber Threat Intelligence de Tanium. Pour plus de contexte sur la manière dont il est déployé avec d’autres logiciels malveillants et abus d’infrastructure, consultez ces articles de blog :
- AsyncRAT, malware PikaBot et serveurs MS SQL sous attaque (publiés le 18 janvier, 2024) : met en évidence une nouvelle campagne délivrant AsyncRAT via des pages d’hameçonnage et des chargeurs JavaScript masqués, ainsi que la distribution de PikaBot et l’exploitation du serveur MS SQL
- La cyber-unité du DOJ poursuit les menaces parrainées par l’État (publiée le 27 juin, 2023) : explore la présence d’AsyncRAT dans les campagnes liées aux acteurs nationaux et aux abus d’infrastructure, y compris les compartiments AWS S3 expirés
- Les attaques par ransomware d’ESXiArg ciblent VMware (publié le 14 février, 2023) : discute de l’utilisation d’AsyncRAT dans l’activité de mise en scène pré-ransomware et de son rôle dans les campagnes ciblant les serveurs VMware ESXi non corrigés
Restez à l’écoute des futures mises à jour CTI et des pannes de campagne alors que notre équipe continue de suivre AsyncRAT et ses variantes en évolution dans le paysage des menaces.
Le logiciel malveillant HazyBeacon exploite AWS Lambda pour un espionnage furtif du gouvernement
Palo Alto a récemment découvert une nouvelle porte dérobée Windows, appelée HazyBeacon, qui illustre la tendance croissante des adversaires abusant de l’infrastructure native du cloud pour des opérations C2 furtives.
Ce logiciel malveillant est lié à un cluster de menaces CL-STA-1020 ciblant les entités gouvernementales d’Asie du Sud-Est, en mettant l’accent sur la collecte de renseignements.
Utilisation abusive des URL AWS Lambda pour la commande et le contrôle cachés
HazyBeacon exploite AWS Lambda, un service informatique sans serveur qui exécute le code en réponse aux événements sans nécessiter de provisionnement ou de gestion de serveur. En 2022, des URL Lambda ont été introduites pour étendre cette fonctionnalité, permettant aux développeurs d’invoquer des fonctions Lambda via des endpoints HTTP. Cependant, cette commodité a été cooptée par les acteurs malveillants, qui utilisent désormais les URL Lambda comme canaux C2 .
En intégrant l’activité de balisage dans le trafic cloud légitime, les attaquants peuvent combiner la communication malveillante avec les opérations normales de l’entreprise, ce qui rend la détection beaucoup plus difficile.
Déploiement fiable via le chargement latéral DLL et les services persistants
Pour infiltrer les systèmes, HazyBeacon utilise le chargement latéral DLL pour dissimuler une DLL malveillante en tant que bibliothèque Windows légitime pour exécuter sa charge utile.
Une fois exécuté, il se connecte au endpoint Lambda contrôlé par attaquant. Par souci de persistance, le logiciel malveillant installe un service Windows nommé msdnetsvc.
Collecte de fichiers ciblée et tentatives d’exfiltration basées sur le cloud
L’une des charges utiles clés, igfx.exe, est un collecteur de fichiers qui zippe les fichiers ciblés en fonction d’extensions et de plages de temps spécifiées. L’acteur fragmente ensuite l’archive en parties plus petites pour l’exfiltration. Des outils tels que GoogleGet.exe ont été utilisés pour tenter des téléchargements sur Google Drive et Dropbox, bien qu’ils aient finalement été bloqués.
Nettoyage post-exfiltration pour minimiser la détection
Après la phase de collecte des données, l’attaquant a exécuté des commandes de nettoyage pour effacer les charges utiles et les archives, minimisant ainsi les traces médico-légales.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’utilisation des URL AWS Lambda pour la communication C2 souligne la manière dont les services cloud sont de plus en plus exploités par les acteurs malveillants pour masquer les activités malveillantes au sein d’une infrastructure de confiance, ce qui rend les défenses traditionnelles basées sur le périmètre moins efficaces.
HazyBeacon représente la tendance plus large dans les tactiques de menaces persistantes avancées (APT) dans lesquelles les acteurs s’éloignent de l’infrastructure statique vers l’infrastructure cloud. Cette activité réitère la nécessité pour les défenseurs d’adopter des stratégies de détection plus basées sur le comportement.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
