Cette semaine, CTI se penche sur une vaste campagne malveillante utilisant le protocole RDP (Remote Desktop Protocol), liée à l'acteur malveillant russe Earth Koshchei. Dans la suite de cet article, CTI se penche sur un nouveau rapport de Zscaler contenant des détails techniques concernant le logiciel malveillant RiseLoader. Enfin, CTI vous présente les principales conclusions d’une nouvelle note d’information sur les ransomwares publiée par Corvus Insurance.
1. Le groupe russe « Earth Koshchei » lance des attaques RDP malveillantes
Un acteur malveillant russe, identifié sous les noms d' , Earth Koshchei et (également connu sous les noms de Midnight Blizzard et APT29), a récemment mené une campagne de piratage RDP à grande échelle à l'aide d'e-mails de spear-phishing et de techniques d'anonymisation.
Ces e-mails de hameçonnage avaient pour but d'inciter les destinataires à utiliser un fichier de configuration RDP malveillant joint à l'e-mail, afin de permettre à l'auteur de la menace d'obtenir un contrôle partiel de l'appareil.
Qui est Earth Koshchei ?
Le groupe « Earth Koshchei » serait financé par le Service des renseignements extérieurs russe (SVR) et aurait tendance à mener des opérations d'espionnage.
Dans le rapport « octobre 2024 », Trend Micro a constaté que cet acteur menait une attaque RDP malveillante contre plusieurs cibles différentes. Ce type d'attaque permet à un acteur malveillant de prendre le contrôle partiel de l'ordinateur de la victime.
Microsoft et Amazon ont tous deux déjà attribué cette activité à ce même acteur. Trend Micro communique désormais des informations complémentaires afin d'apporter des précisions sur les indicateurs qui ont déjà été rendus publics.
À propos de la campagne RDP malveillante
Une attaque RDP malveillante comporte plusieurs éléments, notamment un relais RDP, un serveur RDP malveillant et un fichier de configuration RDP malveillant.
Trend Micro a constaté que cet acteur envoyait des e-mails malveillants de type « spear-phishing » à des administrations, des forces armées, des groupes de réflexion et d'autres organismes. Si une victime ouvrait le fichier, l'ordinateur tenterait de se connecter à un serveur RDP via l'un des 193 relais RDP que l'auteur de l'attaque avait préalablement mis en place.
Trend Micro souligne que de nombreuses organisations ont probablement bloqué les connexions RDP sortantes. Il existe toutefois encore des cas où cela aurait pu fonctionner.
Le fichier de configuration RDP non valide
Trend Micro a examiné de plus près un fichier de configuration RDP joint à un e-mail dans le cadre de cette campagne et a découvert les éléments suivants.
- Le nom d'hôte indiqué dans le fichier semble correspondre à un serveur AWS légitime, mais il est contrôlé par l'auteur de la menace.
- Ce fichier redirigera les disques durs locaux, les imprimantes, les presse-papiers, etc., et permettra d'accéder à distance à l'ordinateur de la victime.
- L'attaque ne commence que lorsque la victime tente d'utiliser le fichier RDP qui lui a été envoyé, ce qui déclenche la connexion sortante vers le système de l'acteur malveillant. Dans ce cas précis, l'auteur a utilisé PyRDP pour servir de proxy et intercepter la connexion.
- Ils peuvent alors connecter la victime à un serveur malveillant qu'ils contrôlent. Une fois connecté, ce serveur malveillant se fait passer pour une session RDP et exploite cette session pour mener d'autres activités malveillantes.
Niveaux d'anonymisation
Selon Trend Micro, l'une des principales caractéristiques de cet acteur réside dans « l'utilisation intensive de couches d'anonymisation telles que les services VPN commerciaux, le réseau TOR et les fournisseurs de services de proxy résidentiels ». Les acteurs malveillants recourent souvent à cette technique pour dissimuler le trafic malveillant au milieu du trafic normal attendu.
Trend Micro affirme que l'acteur a utilisé des nœuds de sortie TOR pendant plusieurs semaines pour contrôler plus de 200 adresses IP de serveurs VPS et 34 serveurs RDP malveillants.
Enregistrement de nom de domaine
On estime que l'acteur aurait créé plus de 200 noms de domaine entre août et octobre 2024. Parmi ces domaines, il a été confirmé que 193 avaient été créés pour être utilisés dans le cadre de la campagne RDP. Ces domaines couvraient de nombreux secteurs, notamment le secteur public, les groupes de réflexion et les ONG, le secteur militaire, les technologies de l'information, etc.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet acteur utilise de nombreuses couches d'anonymisation courantes dans ses attaques afin d'agir de manière plus discrète. On pense que leur utilisation de serveurs RDP non autorisés s'inspire d'un article de blog intitulé « 2022 » rédigé par une société spécialisée dans la sécurité de l'information.
Comme le souligne Trend Micro, il s'agit là d'un excellent exemple illustrant la manière dont les auteurs de menaces exploitent les outils et techniques existants pour rendre leurs attaques plus sophistiquées tout en réduisant l'effort nécessaire.
2. Zscaler publie des informations techniques sur le logiciel malveillant RiseLoader
De nouvelles informations techniques concernant le logiciel malveillant « RiseLoader » sont disponibles sur le blog de Zscaler.
Cet échantillon est similaire au logiciel malveillant RisePro, mais il s'est avéré qu'il disposait de capacités supplémentaires en matière de téléchargement et d'exécution de charges utiles de deuxième phase.
RiseLoader a été observé pour la première fois sur octobre 2024 ; il a été constaté qu'il diffusait différents types de logiciels malveillants, notamment Vidar, Lumma Stealer et d'autres.
Techniques visant à empêcher l'analyse
Les échantillons du logiciel malveillant RiseLoader découverts par Zscaler avaient été compressés à l'aide de VMProtect. Ceci, ajouté au fait que le logiciel malveillant masque bon nombre des chaînes de caractères importantes de son code, rend son analyse plus difficile.
Zscaler a identifié plusieurs chaînes de caractères, définies dans un tableau global mais non utilisées lors de l'exécution, qui sont liées à l'analyse et au débogage. Comme celles-ci ne sont pas encore utilisées lors de l'exécution, ils estiment que cette fonctionnalité anti-analyse est peut-être encore en cours de développement.
Analyse comportementale
Le logiciel malveillant commence par créer un mécanisme d'exclusion mutuelle, ou mutex, et lui attribue un nom à l'aide de chaînes de caractères codées en dur. Si le mutex existe déjà sur le système, le logiciel malveillant ne poursuivra pas son exécution. Sinon, le programme sélectionnera au hasard un serveur C2 parmi une liste prédéfinie et établira une connexion avec ce serveur.
Communication réseau
Une fois que le logiciel malveillant s'est connecté au serveur C2 , il attendra que ce dernier lui renvoie les clés nécessaires aux communications ultérieures. Il enverra ensuite un identifiant de campagne et d'autres informations au serveur, puis attendra une commande de charge utile, tout en envoyant périodiquement des messages de maintien de connexion afin de s'assurer que la communication reste ouverte.
RiseLoader vs RisePro
Comme indiqué, Zscaler a constaté que RiseLoader présentait des similitudes avec le logiciel malveillant RisePro. Les deux principales similitudes concernent le protocole binaire personnalisé basé sur TCP et la structure même des messages. Zscaler a également constaté que le processus d'initialisation de ces deux logiciels malveillants était similaire, celui de RiseLoader étant légèrement plus simple.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'un des aspects intéressants de ce logiciel malveillant est qu'il s'appuie sur des informations codées en dur. Il intègre en dur la liste des C2 serveurs ainsi qu'une poignée de chaînes de caractères à partir desquelles il nomme le mutex, ce qui facilite la création de détections.
Zscaler estime que certaines fonctionnalités visant à contrecarrer l'analyse sont peut-être encore en cours de développement ; il est donc possible que le logiciel malveillant remplace ces fonctionnalités codées en dur par des éléments plus dynamiques.
3. L'activité des ransomwares atteint un niveau record
Selon un nouveau rapport de Corvus Insurance, l'activité des ransomwares a atteint un niveau record en novembre 2024, avec 632 victimes de ransomwares répertoriées sur des sites de fuites de données. Ce chiffre représente plus du double de la moyenne mensuelle historique (307 victimes) et fait d' novembre 2024 le mois le plus marqué par les attaques par rançongiciel à ce jour.
Groupes de ransomware notables
Selon Corvus, plusieurs groupes sont à l'origine de la récente recrudescence des attaques par rançongiciel. Cependant, certains groupes spécifiques semblent avoir connu une forte progression au cours du mois de novembre.
- de RansomHub : Le groupe ayant enregistré le plus grand nombre de victimes répertoriées sur un site de fuites de données au cours du mois dernier était RansomHub, avec 98 victimes répertoriées. Ce groupe a étendu ses activités à plusieurs secteurs, faisant ainsi preuve d'une grande capacité d'adaptation.
- Akira : Le deuxième contributeur le plus important, Akira, a fait 73 victimes sur des sites de fuites de données. Comme le souligne Corvus, ce groupe est réputé pour sa capacité d'adaptation technique, qui lui permet de maintenir son succès. Les 73 victimes mensuelles d'Akira représentent plus de trois fois la moyenne mensuelle de ce groupe.
Corvus cite également Kill Security, SAFEPAY et Qilin comme étant à l'origine du nombre record d'attaques enregistrées en novembre. Ces cinq groupes ont représenté à eux tous près de 50 % de l'ensemble des attaques enregistrées au cours du mois.
Comment se déroulent les attaques par ransomware ?
Corvus a examiné de plus près les attaques par ransomware afin d'essayer d'en identifier les schémas récurrents. Ils ont découvert que 13 % des victimes dont les données avaient été publiées sur des sites consacrés aux fuites de données utilisaient des produits VPN jugés plus exposés au risque de violation. Cette évaluation du risque élevé repose sur les données historiques de Corvus relatives aux sinistres.
Corvus est allé encore plus loin en ventilant ces données par groupe de ransomware. Ils ont constaté que 40 % des victimes répertoriées sur le site de fuite de données liées au ransomware « RA Group » utilisaient des VPN à haut risque. On a recensé 9 groupes d'auteurs de ransomware pour lesquels 25 % ou plus des victimes répertoriées utilisaient des VPN présentant un risque élevé.
De plus, environ 6 % des victimes d' novembre 2024 s utilisaient des serveurs Microsoft Exchange obsolètes. Certaines victimes utilisaient les versions 2021 et 2022 , qui n'ont pas fait l'objet de correctifs pour les vulnérabilités ProxyShell.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les deux groupes de ransomware qui ont fait le plus grand nombre de victimes en novembre ont tous deux vu le jour plus tôt cette année, ce qui montre à quelle vitesse un nouveau groupe peut se développer et évoluer.
Il est important de garder à l'esprit que ces données s'appuient sur des informations provenant de sites consacrés aux fuites de données et qu'elles ne reflètent pas nécessairement avec exactitude l'ensemble des attaques survenues au cours du mois. Il met toutefois en évidence certains des principaux points d'entrée. Le rapport Corvus indique que les VPN restent potentiellement une cible de choix pour les acteurs malveillants, ce qui rend leur sécurisation indispensable pour les organisations.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.