Cette semaine, CTI s'intéresse à un acteur soutenu par le gouvernement chinois, connu sous le nom d'« Evasive Panda », qui a mis à jour sa panoplie d'outils afin d'introduire de nouvelles versions de sa porte dérobée « Macma » pour Mac et du logiciel malveillant « Nightdoor » pour Windows. CTI revient ensuite sur la 10e édition de l'évaluation d'Europol relative aux menaces liées à la criminalité organisée sur Internet (IOCTA). Pour finir, CTI conclut par un aperçu du ransomware Play — une opération qui déploie désormais une variante Linux de son ransomware pour cibler les environnements VMware ESXi.
1. Evasive Panda déploie de nouvelles versions de la porte dérobée Macma
Un acteur soutenu par le gouvernement chinois a mis à jour sa panoplie d'outils afin d'introduire plusieurs nouvelles versions de sa porte dérobée « Macma » pour Mac ainsi qu'un nouveau logiciel malveillant pour Windows, baptisé « Nightdoor ». L'acteur a utilisé ces nouveaux outils lors de plusieurs attaques récentes contre des organisations situées à Taïwan et contre une organisation non gouvernementale américaine en Chine.
Qu'est-ce que la porte dérobée Macma pour macOS ?
Macma est une porte dérobée spécifique à macOS. Ce phénomène a été documenté pour la première fois par Google en 2021, mais certains éléments laissent penser qu'il est utilisé depuis au moins 2019.
Lorsqu'il a été découvert pour la première fois, Macma était principalement utilisé dans le cadre d'attaques de type « watering hole » à Hong Kong. Cette porte dérobée est modulaire et dispose de fonctionnalités telles que l'identification, l'exécution de commandes, la capture d'écran, l'enregistrement des frappes clavier, la capture audio, ainsi que la possibilité de télécharger et d'envoyer des fichiers.
Symantec a découvert des variantes plus récentes de cette porte dérobée. Une variante comportait un module principal totalement différent, tandis qu'une autre bénéficiait de mises à jour progressives. Parmi les différences apportées par ces nouvelles versions, on peut citer la mise à jour de certains modules, la modification des chemins d'accès aux répertoires et des noms de fichiers, ainsi que l'ajout de journaux de débogage supplémentaires. Le module principal du logiciel malveillant a été mis à jour afin d'intégrer une nouvelle logique, du code modifié et un nouveau fichier.
Crédit photo : Macma
Les chercheurs attribuent cette dernière activité à un acteur soutenu par la Chine, connu sous le nom d'Evasive Panda, également appelé Daggerfly. Alors que Macma n'était auparavant associé à aucun groupe en particulier, Symantec estime qu'il fait désormais partie de l'arsenal de Daggerfly.
Deux des variantes qu'ils ont identifiées se sont connectées à un serveur C2 utilisé par un dropper MgBot couramment employé par Daggerfly. Cette infrastructure partagée constitue un indicateur clé d'attribution. Par ailleurs, il a été constaté que MgBot et Macma contenaient du code provenant d'une bibliothèque partagée ou d'un framework.
Nouvelle porte dérobée sous Windows
Symantec a également découvert que cet acteur utilisait une porte dérobée Windows, le cheval de Troie « Trojan.Suzafk », qui avait été signalée pour la première fois en début d'année par ESET et baptisée « Nightdoor ».
Cette porte dérobée Windows a été observée aux côtés de MgBot et a, là encore, été développée à l'aide de la même bibliothèque partagée que de nombreux outils Daggerfly.
Cette porte dérobée fonctionne en plusieurs étapes et utilise le protocole TCP ou OneDrive pour ses communications C2 . Le chargeur déposera une DLL et un fichier exécutable. Le fichier exécutable est une application légitime appelée « DAEMON Tools Lite Helper », tandis que la DLL est un chargeur destiné à créer des tâches planifiées et à charger la charge utile finale.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet acteur est actif depuis plus d'une décennie, menant principalement des campagnes d'espionnage. L'évolution constante de l'arsenal de l'acteur est l'une des principales raisons pour lesquelles celui-ci continue de connaître le succès.
Ce groupe disposant de « moyens considérables », il est en mesure de mettre au point et d’utiliser rapidement de nouveaux variants dès que les variants précédents ont été rendus publics. Symantec estime que ce groupe utilise un framework sur mesure pour développer ses variantes de logiciels malveillants, car il n'a pas été possible de l'associer à un framework accessible au public. Cela confirme une fois de plus la capacité de cet acteur à créer rapidement de nouvelles variantes.
2. Les cybercriminels agissent de manière indépendante après la fermeture des services RaaS
Europol a publié la 10e édition de son rapport d’évaluation des menaces liées à la criminalité organisée sur Internet (IOCTA), qui dresse un panorama global des menaces et analyse toute une série de menaces et de tendances en constante évolution, allant des cyberattaques aux stratagèmes de fraude aux paiements. Une partie de cette évaluation porte sur l'impact des perturbations liées à l'action des forces de l'ordre. L'une des principales conclusions est qu'il est de plus en plus difficile de suivre la carrière des acteurs et que ceux-ci sont de plus en plus nombreux à choisir de travailler en indépendance.
Le modèle RaaS fonctionne de telle manière qu’il oblige pratiquement les opérateurs de ransomware à se faire concurrence pour attirer des affiliés et à se positionner comme le RaaS le plus attractif. Ce modèle rend déjà l'attribution quelque peu floue, car les affiliés peuvent appartenir à plusieurs RaaS.
Les récentes opérations menées par les forces de l'ordre compliquent encore davantage l'identification des responsables, car elles obligent les groupes à changer de nom ou à se dissoudre, et poussent leurs membres soit à rejoindre d'autres groupes, soit à collaborer avec des membres d'autres groupes pour mettre en place des opérations entièrement nouvelles. Les changements fréquents d'acteurs au sein des groupes de ransomware rendent de plus en plus difficile de déterminer quel opérateur se cache réellement derrière une attaque.
Europol qualifie le paysage des ransomwares de « fragmenté » en raison de l'intensification des efforts déployés par les forces de l'ordre.
Étant donné que les mesures prises par les forces de l'ordre peuvent perturber le fonctionnement d'un groupe de ransomware, il est possible que les affiliés rejoignent un autre groupe ou décident de faire cavalier seul. Même si cette dernière situation n'est pas courante, elle n'en reste pas moins plausible — d'autant plus que les affiliés en ont assez de devoir sans cesse changer de mode de fonctionnement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les récentes mesures prises par les forces de l'ordre et les opérations de démantèlement menées au cours des derniers mois ont sans aucun doute eu un impact sur le paysage des ransomwares. Même si elles ne suffisent pas à éliminer totalement la menace, elles entraînent indéniablement une évolution dans les modes opératoires des auteurs de rançongiciels.
Ces mesures de démantèlement et de perturbation mettent essentiellement à l'épreuve la loyauté des acteurs et contribuent même à augmenter le nombre de ceux qui sont prêts à se détacher du modèle RaaS et à commencer éventuellement à opérer de manière indépendante.
Cette évolution potentielle vers des acteurs indépendants s'accompagne de ses propres défis. Outre le fait que cela rendrait l'attribution plus difficile, cela risquerait également d'inonder le paysage informatique d'une multitude de variantes de logiciels malveillants et de rançongiciels, chacune présentant de légères modifications.
3. Une variante de Linux Play cible les systèmes VMware ESXi
Le groupe Play Ransomware déploie désormais une variante Linux de son ransomware pour cibler les environnements VMware ESXi.
Les dernières attaques « Play » visent principalement des organisations situées aux États-Unis, dans plusieurs secteurs d'activité, notamment l'industrie manufacturière, les services professionnels et l'informatique. Les chercheurs ont également mis en évidence un lien entre le ransomware Play et Prolific Puma, un acteur qui exploite un service de raccourcissement de liens.
Qu'est-ce que le ransomware Play ?
L'opération de ransomware « Play » a fait son apparition pour la première fois en juin 2022 et s'est rapidement fait connaître dans tout le secteur pour son utilisation d'outils développés sur mesure.
L'ajout d'une variante Linux destinée aux environnements VMware ESXi permet au groupe de cibler de nouvelles victimes. Selon Symantec, entre janvier et juillet 2024, cette opération a fait 187 victimes dans divers secteurs — dont 82,4 % se trouvaient aux États-Unis.
La chaîne de transmission de Play
La variante « Play Linux » n'avait fait l'objet d'aucune détection sur VirusTotal au moment de la publication du rapport de Trend Micro. Trend Micro n'a pas encore constaté d'infection en milieu réel liée à cette variante, mais a confirmé que le serveur C2 hébergeait un grand nombre des outils que l'acteur a tendance à utiliser dans ses attaques.
La variante Linux semble similaire à la variante Windows et accepte bon nombre des mêmes arguments. Parmi celles-ci, on peut citer l'exécution de fonctionnalités standard et le chiffrement d'un disque dur donné, d'une ressource partagée sur le réseau ou d'un fichier/dossier spécifique. Cette variante exécutera plusieurs commandes afin de vérifier qu'elle s'exécute bien dans un environnement ESXi avant de poursuivre son exécution, et elle se supprimera d'elle-même si ce n'est pas le cas.
Les commandes de script Shell seront exécutées s'il s'avère qu'elles s'exécutent dans un environnement ESXi ; l'une d'entre elles est chargée d'analyser et d'arrêter toutes les machines virtuelles identifiées. Le ransomware poursuivra son action en exécutant plusieurs commandes qui chiffreront les fichiers de la machine virtuelle, notamment le disque de la machine virtuelle, les fichiers de configuration et les métadonnées, en leur ajoutant l'extension .play et en plaçant la note de rançon.
Les nombreux liens entre Play et Puma
Trend Micro a constaté que l'URL hébergeant la charge utile et les outils du rançongiciel était liée à un autre acteur connu sous le nom de Prolific Puma. Cet acteur crée des noms de domaine à l'aide d'un algorithme générateur aléatoire de destinations, puis les utilise dans le cadre de son service de raccourcissement de liens qu'il commercialise.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette découverte fait de « Play » la dernière opération de rançongiciel en date à s'ajouter à une liste de plus en plus longue d'acteurs qui s'intéressent à Linux afin d'augmenter le nombre de victimes potentielles.
Le fait que Play utilise les services de raccourcissement d'URL proposés par Prolific Puma témoigne une nouvelle fois de l'évolution du groupe. Trend Micro souligne que Prolific Puma se montre « sélectif dans le choix de ses clients, préférant s'associer à des individus ou à des groupes jugés dignes de ses services », ce qui indique que d'autres acteurs, à l'instar de Prolific Puma, considèrent l'opération de ransomware Play comme sophistiquée ou « digne d'intérêt ».
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.