Cette semaine, CTI examine un acteur chinois soutenu par le gouvernement, appelé Evasive Panda, qui a mis à jour son jeu d’outils pour introduire de nouvelles versions de son backdoor Macma mac et du logiciel malveillant Windows Nightdoor. Ensuite, la CTI récapitule la 10e édition d’Europol de son évaluation des menaces de crime organisé sur Internet (IOCTA). Enfin, CTI conclut avec un aperçu du ransomware Play, une opération qui déploie désormais une variante Linux de leur ransomware pour cibler les environnements VMware ESXi.
1. Evasive Panda déploie de nouvelles versions du backdoor Macma
Un acteur chinois soutenu par le gouvernement a mis à jour son jeu d’outils pour introduire plusieurs nouvelles versions de son backdoor Macma mac et d’un nouveau logiciel malveillant Windows Nightdoor. L’acteur a déployé ce nouvel outil lors de plusieurs attaques récentes contre des organisations situées à Taïwan et contre une organisation non gouvernementale américaine en Chine.
Qu’est-ce que Macma macOS backdoor ?
Macma est un backdoor spécifique à macOS. Elle a été documentée pour la première fois par Google en 2021, mais il existe des preuves suggérant qu’elle est utilisée depuis au moins 2019.
Lorsque Macma a été découvert pour la première fois, il était principalement utilisé dans les attaques de trous d’arrosage à Hong Kong. Cette backdoor est modulaire et dispose de capacités telles que la prise d’empreintes digitales, l’exécution de commandes, la capture d’écran, l’enregistrement de clés, la capture audio et la possibilité de charger et télécharger des fichiers.
Symantec a découvert des variantes plus récentes du backdoor. Une variante avait un module principal entièrement différent, tandis qu’une autre avait des mises à jour incrémentielles. Certaines des différences dans les nouvelles variantes comprennent des modules mis à jour, des chemins de répertoire de fichiers et des noms de fichiers mis à jour, et une journalisation de débogage supplémentaire. Le module principal du logiciel malveillant a été mis à jour pour inclure une nouvelle logique, un code modifié et un nouveau fichier.
Attribution Macma
Les chercheurs attribuent cette dernière activité à un acteur soutenu par la Chine connu sous le nom d’Evasive Panda, alias Daggerfly. Bien que Macma n’ait jamais été lié à un groupe spécifique, Symantec pense qu’il fait désormais partie de l’ arsenal de Daggerfly.
Deux des variantes qu’ils ont identifiées se sont connectées à un serveur C2 qui a été utilisé par un compte-gouttes MgBot qui est couramment utilisé par Daggerfly. Cette infrastructure partagée est un indicateur clé de l’attribution. De plus, MgBot et Macma se sont avérés contenir du code provenant d’une bibliothèque ou d’un framework partagé.
Nouvelle backdoor Windows
Symantec a également découvert l’acteur en utilisant un backdoor Windows, Trojan.Suzafk, qui a été signalé pour la première fois plus tôt cette année par ESET et surnommé Nightdoor.
Le backdoor Windows a été observé aux côtés de MgBot et a été développé avec la même bibliothèque partagée que de nombreux outils Daggerfly.
Cette backdoor est à plusieurs étapes et utilise TCP ou OneDrive pour ses communications C2 . Le chargeur abandonnera une DLL et un exécutable. L’exécutable est une application légitime appelée DAEMON Tools Lite Helper, tandis que la DLL est un chargeur destiné à créer des tâches planifiées et à charger la charge utile finale.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cet acteur existe depuis plus d’une décennie, exécutant principalement des campagnes d’espionnage. L’évolution continue de l’arsenal de l’acteur est l’une des principales raisons pour lesquelles l’acteur continue de réussir.
Étant donné que ce groupe dispose de « ressources élevées », ils peuvent rapidement développer et utiliser de nouvelles variantes après que les variantes précédentes ont été rendues publiques. Symantec pense que le groupe utilise un cadre personnalisé pour développer ses variantes de logiciels malveillants, car il n’a pas pu les lier à des cadres publiquement disponibles. Cela renforce la capacité de l’acteur à créer rapidement de nouvelles variantes.
2. Les cybercriminels travaillent indépendamment après les retraits de RaaS
Europol a publié la 10e édition de son évaluation des menaces de crime organisé sur Internet (IOCTA), qui examine le paysage des menaces dans son ensemble et analyse un éventail de menaces et de tendances en évolution allant des cyberattaques aux systèmes de fraude aux paiements. Une partie de l’évaluation se concentre sur l’impact des perturbations des forces de l’ordre. L’une des principales conclusions est une difficulté accrue dans le suivi des acteurs et une augmentation des acteurs choisissant de travailler de manière indépendante.
Le modèle RaaS fonctionne d’une manière qui oblige presque les opérations de rançongiciel à rivaliser pour les affiliés et à se positionner comme le RaaS le plus attrayant. Ce modèle rend déjà l’attribution un peu boueuse, car les affiliés pourraient appartenir à plusieurs RaaS.
Les récents retraits des forces de l’ordre rendent l’attribution encore plus difficile en forçant les opérations à rebrander ou à démonter et en poussant les acteurs à rejoindre d’autres groupes ou à travailler avec des membres d’autres groupes pour créer des opérations entièrement nouvelles. Le mélange d’acteurs entre les groupes de rançongiciels rend de plus en plus difficile de comprendre ce que l’opérateur est réellement derrière une attaque.
Europol fait référence au paysage des rançongiciels comme « fragmenté » en raison des efforts accrus des forces de l’ordre.
Étant donné que les efforts des forces de l’ordre peuvent perturber une opération de rançongiciel, il est possible que les affiliés rejoignent un autre groupe ou se brisent spontanément. Bien que cette dernière ne soit pas vue tous les jours, elle est toujours plausible, en particulier à mesure que les filiales en ont assez d’avoir à changer continuellement d’exploitation.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les récents efforts et perturbations des forces de l’ordre au cours des derniers mois ont certainement eu un impact sur le paysage des rançongiciels. Bien qu’elles ne soient pas suffisantes pour décomposer complètement la menace, elles entraînent absolument un changement dans la manière dont les acteurs des rançongiciels fonctionnent.
Ces efforts de retrait et de perturbation testent essentiellement la loyauté des acteurs et même augmentent le nombre d’acteurs qui sont prêts à se détacher du modèle RaaS et à commencer potentiellement à fonctionner de manière indépendante.
Ce changement potentiel vers des acteurs indépendants s’accompagne de ses propres défis. En plus de rendre l’attribution plus difficile, cela inonderait probablement le paysage de tonnes de logiciels malveillants et de variantes de ransomware, chacun avec ses propres légères modifications.
3. La variante Linux Play cible les systèmes VMware ESXi
Play ransomware déploie désormais une variante Linux de son ransomware pour cibler les environnements VMware ESXi.
Les dernières attaques Play ciblent principalement les organisations aux États-Unis dans plusieurs secteurs, notamment la fabrication, les services professionnels et l’informatique. Les chercheurs ont également identifié une connexion entre le ransomware Play et Prolific Puma, un acteur qui exploite un service de raccourcissement de lien.
Qu’est-ce que le ransomware Play ?
L’opération de rançongiciel Play est apparue juin 2022 pour la première fois et est rapidement devenue connue dans le secteur pour son utilisation d’outils personnalisés.
L’ajout d’une variante Linux pour cibler les environnements VMware ESXi permet au groupe de cibler des victimes supplémentaires. Selon Symantec, entre janvier et juillet 2024, l’opération a eu 187 victimes dans plusieurs secteurs, et 82,4 % se trouvaient aux États-Unis.
Chaîne d’infection de Play
La variante Play Linux n’avait aucune détection dans VirusTotal au moment du rapport de Trend Micro. Trend Micro n’a pas encore vu d’infection sauvage provenant de cette variante, mais a confirmé que le serveur C2 héberge beaucoup des outils que l’acteur a tendance à utiliser dans ses attaques.
La variante Linux semble être similaire à la variante Windows et accepte un grand nombre des mêmes arguments. Certains d’entre eux comprennent l’exécution de fonctionnalités normales et le chiffrement d’un lecteur spécifié, d’une ressource partagée par le réseau ou d’un fichier/dossier spécifique. Cette variante exécutera plusieurs commandes pour confirmer qu’elle est en cours d’exécution dans un environnement ESXi avant d’être entièrement exécutée et se supprimera si ce n’est pas le cas.
Les commandes de script Shell seront exécutées s’il s’avère qu’elles s’exécutent dans un environnement ESXi, dont l’une est responsable de l’analyse et de l’arrêt de toutes les machines virtuelles identifiées. Le rançongiciel exécute plusieurs commandes qui chiffrent les fichiers VM, y compris le disque VM, les fichiers de configuration et les fichiers de métadonnées, en les ajoutant à l’extension .play et en déposant la note de rançon.
Connexion Puma prolifique de Play
Trend Micro a remarqué que l’URL qui héberge la charge utile et les outils du ransomware était liée à un autre acteur connu sous le nom de Prolific Puma. Cet acteur crée des domaines à l’aide d’un algorithme de générateur de destination aléatoire, puis les utilise dans le service de raccourcissement de lien qu’il vend.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette découverte fait de Play la toute dernière opération de ransomware dans une liste croissante d’acteurs ayant un intérêt à cibler Linux pour augmenter le nombre de victimes potentielles.
Le fait que Play tire parti des services de raccourcissement des liens fournis par Prolific Puma indique encore plus l’évolution du groupe. Trend Micro note que Prolific Puma « discerne dans son processus de sélection des clients, préférant s’engager avec des personnes ou des groupes jugés méritant ses services », indiquant que d’autres acteurs, comme Prolific Puma, considèrent l’opération de rançongiciel Play comme sophistiquée ou « digne ».
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
