Cette semaine, CTI vous présente les points clés du dernier rapport de Cisco Talos sur les tendances en matière de réponse aux incidents (IR), portant sur le deuxième trimestre de 2024. Par la suite, CTI se penche sur une alerte récente de Microsoft qui explique en détail comment des groupes d'auteurs de ransomware exploitent une faille permettant de contourner l'authentification dans VMware ESXi. Enfin, CTI se penche sur le dernier rapport de Palo Alto, qui analyse en détail l'évolution de l'enregistrement de noms de domaine et des attaques réseau associées aux termes liés à l'IA générative (GenAI).
1. Cisco Talos publie son rapport sur les Q2 tendances en matière de réponse aux incidents (IR)
Cisco Talos a publié son dernier rapport sur les tendances en matière de réponse aux incidents ( ) intitulé « », qui aborde divers thèmes et observations issus de ses interventions au cours du deuxième trimestre de 2024. Le rapport révèle que les attaques de type « Business Email Compromise » (BEC) et les ransomwares restent les principales menaces, représentant à elles deux 60 % de leurs interventions.
Un ciblage accru du secteur technologique
Le secteur des technologies a été ciblé dans 24 % des attaques au cours du deuxième trimestre, ce qui en fait le principal secteur visé par les cybercriminels — devant le commerce de détail, la santé, l'industrie pharmaceutique et d'autres secteurs d'activité.
Cisco Talos a constaté une augmentation de 30 % du nombre d'attaques visant le secteur technologique par rapport au premier trimestre. Ils soulignent également que les acteurs malveillants peuvent considérer les organisations du secteur technologique comme des « portes d'entrée vers d'autres secteurs et organisations, compte tenu de leur rôle prépondérant dans l'approvisionnement et la prestation de services à un large éventail de secteurs ».
La vague de BEC se poursuit
Sans surprise, le BEC continue d'occuper une place prépondérante. Cela corrobore le fait que l'utilisation d'identifiants valides a été constatée dans 60 % des interventions au cours du trimestre, soit une augmentation de 25 % par rapport au trimestre précédent.
Tendances en matière de ransomware
Cisco Talos a constaté la présence de ransomware dans 30 % de ses interventions au cours du deuxième trimestre, ce qui représente une augmentation de 22 % par rapport au trimestre précédent.
Par ailleurs, Cisco Talos a identifié pour la première fois les groupes de ransomware Mallox et Underground Team. Cela venait s'ajouter aux familles de ransomware déjà connues, telles que Black Basta et BlackSuit.
Cisco Talos souligne que dans 80 % des attaques par rançongiciel, « l'absence d'une mise en œuvre adéquate de l'authentification multifactorielle (MFA) sur les systèmes critiques, tels que les réseaux privés virtuels (VPN), a contribué à permettre aux attaquants d'obtenir un accès initial ».
En plein essor : les attaques ciblant les périphériques réseau
Outre la recrudescence des attaques par ransomware, Cisco Talos a constaté une augmentation des attaques visant les équipements réseau, qui ont représenté 24 % de ses interventions. Cette activité comprend des techniques telles que le « password spraying », l'analyse des vulnérabilités, l'exploitation de failles, etc.
Vecteurs initiaux
L'utilisation de comptes valides mais piratés a constitué le principal moyen utilisé par les acteurs malveillants pour obtenir un accès initial au cours du deuxième trimestre.
Ce chiffre représente une hausse de 25 % par rapport au trimestre précédent. La deuxième méthode d'accès initiale la plus courante consistait à exploiter des applications accessibles au public.
Failles de sécurité
Les deux principales failles de sécurité sont les systèmes vulnérables ou mal configurés et l'absence d'authentification multifactorielle (MFA). Ces deux faiblesses sont apparues dans de nombreux rapports sur les tendances au cours des derniers trimestres. Les systèmes vulnérables sont directement liés au nombre élevé d'attaques couronnées de succès.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bon nombre des éléments mentionnés dans ce rapport s'inscrivent dans la continuité des tendances observées au cours des trimestres précédents, comme le fait que les systèmes vulnérables et l'absence d'authentification multifactorielle (MFA) constituent les principales failles de sécurité.
Ce qui est particulièrement intéressant, c'est que le secteur des technologies a été le plus visé dans le cadre de leurs interventions. Comme le souligne le rapport, les cybercriminels ciblent de plus en plus les entreprises du secteur des technologies afin d'accéder à d'autres organisations. Cette tendance va de pair avec la multiplication des attaques visant la chaîne d'approvisionnement.
2. Des groupes d'auteurs de ransomware ciblent une faille d'ESXi
Microsoft a publié un avertissement indiquant que des groupes d'auteurs de ransomware exploitent activement une vulnérabilité permettant de contourner l'authentification dans VMware ESXi, identifiée sous le nom « ».
La faille récemment corrigée est exploitée pour obtenir des droits d'accès élevés et mettre en œuvre des chaînes d'infection qui aboutissent au déploiement de logiciels malveillants et du ransomware Black Basta, de .
À propos de CVE-2024-37085
La vulnérabilité CVE-2024-37085 a été découverte par des chercheurs de Microsoft et corrigée dans ESXi 9,0 U3 sur 25 juin.
Si cette vulnérabilité est exploitée, elle permet à un acteur malveillant de créer un groupe « ESX Admins » et d'y ajouter un nouvel utilisateur, ce qui lui confère ainsi tous les privilèges d'administrateur sur l'hyperviseur.
Microsoft a examiné cette vulnérabilité de plus près et a constaté que « les hyperviseurs VMware ESXi joints à un domaine Active Directory considèrent par défaut que tout membre d'un groupe de domaine nommé « ESX Admins » dispose d'un accès administratif complet ».
Ciblage accru des hyperviseurs ESXi
Microsoft, à l'instar de nombreux autres acteurs, a constaté ces derniers mois une recrudescence des attaques menées par des auteurs de ransomware visant les hyperviseurs ESXi.
De plus, plusieurs auteurs de ransomware commercialisent désormais des outils de chiffrement pour ESXi. Microsoft indique que le nombre d'interventions en matière de sécurité informatique (IR) qu'elle a menées et qui concernaient des hyperviseurs ESXi a plus que doublé au cours des trois dernières années.
Storm-0506 déploie le ransomware Black Basta
Microsoft a présenté un exemple d'incident survenu en début d'année, au cours duquel une organisation a été infectée par le ransomware Black Basta , déployé par un acteur identifié sous le nom de Storm-0506. L'acteur a exploité cette vulnérabilité pour obtenir une élévation de privilèges sur les hyperviseurs ESXi.
- Cette attaque a débuté par une infection par le virus QBot.
- L'acteur a ensuite exploité une vulnérabilité du système CLFS de Windows datant de l'année dernière afin d'élever ses privilèges sur cet appareil.
- D'autres outils ont été utilisés pour dérober les identifiants d'administrateur de domaine afin de se propager latéralement vers quatre autres contrôleurs de domaine.
- Après avoir mis en place divers mécanismes de persistance, tenté des attaques par force brute sur les connexions RDP et manipulé Microsoft Defender, l'acteur a ensuite créé le groupe « ESX Admins » au sein du domaine.
- Un nouvel utilisateur a ensuite été ajouté à ce nouveau groupe, puis le chiffrement du système de fichiers ESXi a été rapidement mis en place.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Microsoft souligne que les attaques visant les hyperviseurs ESXi sont en augmentation. C'est une tendance que les chercheurs ont observée dans l'ensemble du paysage des menaces au cours des derniers mois, voire depuis plus longtemps encore, et qui devrait se poursuivre dans un avenir proche.
Microsoft a identifié trois tactiques différentes utilisées par les acteurs malveillants pour exploiter cette vulnérabilité de VMware ESXi et a communiqué diverses stratégies d'atténuation et de protection qui méritent d'être examinées.
3. Les escrocs exploitent l'IA générative dans le cadre de l'enregistrement de noms de domaine et d'attaques réseau
, basé à Palo Alto, a récemment mené une étude approfondie sur l'évolution de l'enregistrement de noms de domaine et des attaques réseau associées aux termes liés à l'IA générative.
L'organisation a analysé les noms de domaine enregistrés contenant des mots liés à « GenAI » afin d'identifier des tendances et a mené quelques études de cas décrivant plusieurs types d'attaques exploitant ces noms de domaine.
Enregistrement de noms de domaine liés à l'IA générative
Palo Alto a constaté qu'environ 225 GenAI-related domaines étaient enregistrés chaque jour depuis le novembre 2022. Tous les domaines nouvellement enregistrés (NRD) ne sont pas nécessairement malveillants ou suspects ; c'est pourquoi Palo Alto a mis tout en œuvre pour tenter de faire la distinction entre les deux. Les domaines classés dans la catégorie « suspects » comprennent ceux utilisés pour le C2, les ransomwares, les logiciels malveillants, , le phishing et les « graywares ».
En examinant de plus près les noms de domaine enregistrés, Palo Alto a mis en évidence quelques schémas textuels. Ils ont classé ces modèles en fonction des mots-clés et ont constaté que plus de 72 % des domaines utilisaient des mots-clés associés à des applications d'IA populaires. Le mot-clé le plus utilisé de manière abusive était, de loin, « gpt ».
Trafic DNS lié à l'IA générative
Palo Alto a également analysé le trafic vers ces domaines afin d'en évaluer l'impact. Ils ont constaté une tendance générale à la hausse du trafic global lié à la GenAI, dont 35 % semblent être dirigés vers des domaines suspects.
Étude de cas sur les abus sur le réseau
Palo Alto a présenté différentes façons dont un acteur malveillant pourrait tirer parti de l'intérêt général suscité par la GenAI grâce à ces domaines récemment enregistrés.
L'une de ces méthodes consiste à diffuser des programmes potentiellement indésirables (PUP). Au cours d'une campagne, Palo Alto a recensé 13 domaines enregistrés contenant le mot « chatgpt », qui suivaient tous un modèle de dénomination similaire. Les visiteurs du site étaient redirigés vers un service de proxy qui leur demandait de s'inscrire et d'acheter des crédits pour pouvoir continuer.
Ces domaines sont également utilisés pour la diffusion de spams en général et pour le « parking de domaines » à des fins lucratives. Dans le cadre du « parking de domaines monétisé », un acteur malveillant enregistre des domaines qui, selon lui, seront populaires et généreront du trafic. Ils associent ensuite ces domaines à des plateformes de parking de domaines monétisées. Cela permet de transformer chaque visite en chiffre d'affaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels sont connus pour lancer des attaques en lien avec les sujets d'actualité — et l'IA générative en est le dernier exemple en date. Cette tendance devrait se poursuivre à mesure que le domaine de l'IA et des modèles de langage à grande échelle (LLM) continue d'évoluer.
Palo Alto souligne que « le pourcentage élevé de domaines suspects parmi ces nouveaux domaines met en évidence la nécessité d'une détection proactive des attaques réseau exploitant des mots-clés liés à l'IA générative ».
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
