Cette semaine, CTI se penche sur une alerte con 2 mars 2023 en matière de cybersécurité, émise conjointement par l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) et le Bureau fédéral d'enquête (FBI), qui met l'accent sur la menace croissante que représente pour divers secteurs la toute dernière variante du ransomware « Royal ». Nous allons maintenant nous pencher sur les dernières recherches de Check Point, qui portent sur le groupe de cyberespionnage Sharp Panda et sur la manière dont celui-ci exploite une nouvelle version de son framework de porte dérobée/malware « Soul » dans le cadre de sa dernière campagne. Enfin, nous nous penchons sur la variante récemment découverte d’IceFire, une souche de ransomware de type « big game hunting » dont on savait jusqu’à présent qu’elle ne ciblait que les environnements Windows, mais qui a récemment fait son apparition sous la forme d’une variante spécifique à Linux.
1. Le FBI et la CISA publient un avis conjoint de cybersécurité intitulé « #StopRansomware : Royal Ransomware »
Un avis conjoint de la CISA et du FBI sur la cybersécurité, intitulé « » ( ) (s'ouvre dans un nouvel onglet), met en garde contre le fait que des cybercriminels attaquent des organisations américaines et internationales à l'aide d'une variante du ransomware « Royal » qui utilise son propre programme de chiffrement de fichiers sur mesure ; il s'agit d'une version qui a évolué par rapport aux versions antérieures utilisant « Zeon » comme chargeur. Cela dure depuis environ septembre 2022.
Voici les points essentiels à retenir :
- Après avoir accédé aux réseaux des victimes, les acteurs de Royal désactivent les logiciels antivirus et exfiltrent de grandes quantités de données avant de déployer finalement le rançongiciel et de chiffrer les systèmes ciblés.
- Des membres du « Royal » ont exigé des rançons allant d'environ 1 million à 11 millions de dollars américains en bitcoins.
- Les auteurs de l'attaque de type « Royal » n'indiquent ni le montant de la rançon ni les instructions de paiement dans la demande de rançon initiale. Au contraire, la note, qui s'affiche après le chiffrement, exige des victimes qu'elles communiquent directement avec l'auteur de l'attaque via une URL « .onion » accessible uniquement via le navigateur Tor.
- Les auteurs du ransomware « Royal » ont pris pour cible de nombreux secteurs d'infrastructures critiques, notamment l'industrie manufacturière, les communications, la santé et les services de santé publics (HPH), ainsi que l'éducation.
Comment les acteurs de « Royal » accèdent aux réseaux
Selon les organismes de signalement, les membres du réseau Royal parviennent à s'introduire dans les réseaux des victimes de plusieurs manières, notamment :
s relatives au hameçonnage : dans 66,7 % des incidents, les acteurs de Royal parviennent à obtenir un accès initial aux réseaux des victimes grâce à des e-mails de hameçonnage qui ont atteint leur but. Les victimes ont, à leur insu, installé un logiciel malveillant qui déploie le ransomware Royal après avoir reçu des e-mails de hameçonnage contenant des documents PDF malveillants et des publicités.
s relatives au protocole RDP (Remote Desktop Protocol) : Plus de 13 % des incidents impliquent une compromission du protocole RDP, ce qui en fait le deuxième vecteur d'attaque le plus courant pour les acteurs de Royal.
d’applications accessibles au public : Le FBI a également constaté que des acteurs du groupe Royal obtenaient un accès initial en exploitant des applications accessibles au public.
des courtiers : les acteurs de l’opération « Royal » pourraient recourir à des courtiers pour obtenir un premier accès et générer du trafic en récupérant les identifiants de réseaux privés virtuels (VPN) à partir des journaux des logiciels de vol de données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« De nombreux groupes de ransomware et autres organisations criminelles en ligne motivées par l'appât du gain ont commencé à délaisser le modèle d'extorsion fondé sur le chiffrement au profit d'attaques d'extorsion pures et simples. »
« Plusieurs facteurs ont contribué à cette évolution méthodologique. » Par exemple, les ransomwares sont bruyants, faciles à détecter et complexes, tandis que les négociations peuvent être de longues et fastidieuses procédures qui, dans de nombreux cas, aboutissent à l'absence de paiement ou à un paiement considérablement réduit. Cette situation a été aggravée par la réglementation fédérale et l’évolution des conditions générales des assureurs spécialisés dans la cybercriminalité. »
« Cela dit, cet avis conjoint concernant l’activité du ransomware Royal nous rappelle qu’il existe encore de nombreuses menaces de ransomware traditionnelles, même si de plus en plus d’entre elles adoptent de nouvelles méthodologies et de nouvelles TTP, telles que les tactiques « living-off-the-land » (LotL), l’utilisation d’outils légitimes pour échapper à la détection et l’adoption de nouveaux frameworks C2 . » Ils tirent également parti de partenariats avec des familles de logiciels malveillants très performantes , telles que QBot , à des fins allant de l'aide à l'accès initial à l'utilisation d'une infrastructure de communication (C2) toute prête. « Royal utilise pratiquement toutes ces techniques et doit donc être considéré comme une menace importante. »
2. Le groupe APT « Sharp Panda » utilise une nouvelle variante de logiciel malveillant dotée d'une fonctionnalité de « silence radio »
Selon Check Point, le groupe de cyberespionnage « Sharp Panda » (s'ouvre dans un nouvel onglet) utilise une nouvelle version de son framework de logiciels malveillants « Soul » dans le cadre de sa dernière campagne.
La porte dérobée « Soul » intègre une fonctionnalité de « silence radio », qui permet à l'auteur de la menace de définir les heures de la semaine pendant lesquelles la porte dérobée n'est pas autorisée à communiquer avec le serveur de commande et de contrôle de l' ,.
Qui est Sharp Panda ?
Au début de l'année 2021, Check Point a mis au jour une opération de surveillance menée par (s'ouvre dans un nouvel onglet) par un groupe qu'ils appellent « Sharp Panda ». Cette campagne visait des entités gouvernementales d'Asie du Sud-Est et recourait à des e-mails de spear-phishing pour obtenir un accès initial à ses cibles. Ces e-mails de hameçonnage de type « spear-» contenaient un document Word en pièce jointe comportant des leurres en rapport avec les institutions publiques. La campagne a exploité un modèle à distance pour télécharger et exécuter un document RTF malveillant contenant le tristement célèbre kit RoyalRoad.
Après avoir accédé au réseau, le logiciel malveillant a lancé une chaîne de chargeurs en mémoire, comprenant un téléchargeur DLL personnalisé et un chargeur de deuxième étape destiné à déployer la porte dérobée finale. La charge utile finale de cette campagne était VictoryDLL, un logiciel malveillant sur mesure permettant l'accès à distance et la collecte de données.
La dernière campagne de Sharp Panda
Une enquête plus approfondie sur Sharp Panda a permis de mettre au jour plusieurs campagnes utilisant la même chaîne d'infection que celle décrite ci-dessus. Cependant, la dernière campagne de Sharp Panda exploite une nouvelle version du chargeur SoulSearcher d’ (s’ouvre dans un nouvel onglet), qui est capable de télécharger, de déchiffrer et de charger en mémoire d’autres modules de la porte dérobée modulaire Soul d’ (s’ouvre dans un nouvel onglet).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il n’a pas encore été confirmé si le framework Soul est utilisé par un seul acteur malveillant, bien que les premières tentatives d’attribution semblent associer ce framework à un acteur malveillant ayant des liens avec la Chine. » Le partage d'outils personnalisés et de TTP entre les APT chinoises est extrêmement courant, ce qui rend l'attribution – c'est-à-dire le travail consistant à associer ce type de campagnes à un seul acteur malveillant – particulièrement difficile. Il convient également de noter que le framework Soul est utilisé depuis plusieurs années déjà et qu’il fait l’objet de mises à jour et d’améliorations constantes, ce qui rend d’autant plus difficile pour les chercheurs de suivre son évolution. »
3. Le ransomware IceFire exploite IBM Aspera Faspex pour attaquer les réseaux d'entreprise fonctionnant sous Linux
Un nouveau rapport de SentinelLabs indique que ses chercheurs ont observé de nouvelles versions Linux d’une souche connue de r, appelée IceFire (s’ouvre dans un nouvel onglet) , déployées contre des entreprises du secteur des médias et du divertissement dans des régions qui ne sont généralement pas considérées comme des cibles privilégiées des groupes de r, notamment en Turquie, en Iran, au Pakistan et aux Émirats arabes unis.
Avant la publication du rapport de SentinelLabs, IceFire n'avait été associé qu'à des attaques ciblant principalement Windows, telles que celles décrites sur , (s'ouvre dans un nouvel onglet),et . IceFire aurait été repéré pour la première fois par MalwareHunterTeam en mars 2022. Cependant, ce n'est qu'à partir de août 2022 (s'ouvre dans un nouvel onglet) que les victimes ont été rendues publiques via son site de fuites sur le dark web.
SentinelLabs décrit les tactiques d'IceFire comme étant caractéristiques des groupes de ransomware qui recourent à la méthodologie dite de la « chasse au gros gibier » (BGH). En d'autres termes, ces tactiques consistent en une double extorsion, ciblent les grandes entreprises, exploitent plusieurs mécanismes de persistance et mettent l'accent sur la capacité à échapper aux systèmes de défense et d'analyse grâce à la suppression des fichiers journaux.
Alors que des rapports antérieurs attribuaient à IceFire des attaques visant le secteur des technologies, les activités les plus récentes de ce rançongiciel, axées sur Linux, se sont jusqu’à présent largement limitées aux secteurs du divertissement et des médias.
Variante d'IceFire pour Windows
La variante Windows d'IceFire est diffusée par le biais de messages de hameçonnage (s'ouvre dans un nouvel onglet). Les acteurs malveillants recourent également au « pivoting » à l'aide de cadres d'exploitation post-intrusion.
Qualifié par les chercheurs de menace d'extorsion à plusieurs volets, IceFire permet à ses opérateurs d'extraire toutes les données d'intérêt de l'environnement cible avant de chiffrer les appareils. Une fois cette étape franchie, les victimes font l'objet de chantage et subissent des pressions pour qu'elles s'acquittent des rançons exigées, afin d'éviter toute fuite de données et, espérons-le, d'obtenir les clés de déchiffrement.
À propos de la variante IceFire de Linux
Selon SentinelLabs, les chercheurs ont observé pour la première fois le déploiement de cette nouvelle variante Linux d'IceFire à la mi-février 2023 Ces intrusions exploitent une vulnérabilité de désérialisation récemment révélée (et corrigée) dans le logiciel de partage de fichiers IBM Aspera Faspex (CVE-2022-47986 (s'ouvre dans un nouvel onglet), score CVSS : 9,8).
Extrait de TheHackerNews :
« Le fichier binaire du ransomware (s'ouvre dans un nouvel onglet), qui cible Linux, est un fichier ELF 64 bits de 2,18 Mo qui s'installe sur les hôtes CentOS exécutant une version vulnérable du logiciel de serveur de fichiers IBM Aspera Faspex. »
Cette variante de Linux est également capable d'éviter de chiffrer les chemins d'accès que les machines des victimes doivent conserver intacts pour rester opérationnelles.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« IceFire est la dernière d'une série croissante de familles de ransomwares qui diversifient leur arsenal et développent des variantes adaptées à plusieurs systèmes d'exploitation. » « Les attaques par ransomware visant Linux en général se sont considérablement intensifiées au cours des dernières années et cette tendance se poursuivra en 2023 et au-delà. »
Source : SentinelLabs :
Si les bases ont été (s'ouvre dans un nouvel onglet) posées en 2021, la tendance des ransomwares sous Linux s'est accélérée en 2022 , lorsque des groupes de renom ont ajouté des programmes de chiffrement pour Linux à leur arsenal, notamment BlackBasta,, Hive (s'ouvre dans un nouvel onglet),, Qilin (s'ouvre dans un nouvel onglet), , Vice Society, également connu sous le nom de HelloKitty (s'ouvre dans un nouvel onglet), et d’autres encore.
« Étant donné que de nombreux systèmes Linux sont des serveurs, les vecteurs d'infection classiques, tels que le phishing ou les téléchargements automatiques, s'avèrent moins efficaces. » « C'est pourquoi, pour surmonter cette difficulté, les cybercriminels se sont tournés vers l'exploitation des failles détectées dans les applications afin de déployer leurs charges utiles — en l'occurrence, la faille d'IBM Aspera. »
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
