Cette semaine, la CTI explore un conseil 2 mars 2023conjoint en cybersécurité de la Cybersecurity and Infrastructure Security Agency (CISA) et du Federal Bureau of Investigation (FBI) axé sur la menace croissante pour divers secteurs posée par la variante de ransomware royale la plus récente. Ensuite, nous nous penchons sur la dernière recherche de Check Point, qui se concentre sur le groupe de cyberespionnage Sharp Panda et sur la manière dont il tire parti d’une nouvelle version de son cadre de backdoor/malware Soul dans sa dernière campagne. Enfin, nous examinons la variante nouvellement découverte d’IceFire, une souche de ransomware de chasse aux grands jeux auparavant connue uniquement pour être déployée sur les environnements Windows, mais qui est récemment apparue avec une variante spécifique à Linux.
1. FBI et CISA publient #StopRansomware : conseil conjoint en cybersécurité pour les ransomwares royaux
Un conseil conjoint en cybersécurité émis par la CISA et le FBI avertit que les cybercriminels compromettent les organisations américaines et internationales avec une variante de ransomware Royal qui utilise son propre programme de chiffrement de fichiers personnalisé ; une version qui a évolué à partir d’itérations antérieures qui utilisaient « Zeon » comme chargeur. Cela se passe depuis environ septembre 2022.
Voici les principaux points à retenir :
- Après avoir obtenu l’accès aux réseaux des victimes, les acteurs royaux désactivent les logiciels antivirus et exfiltrent de grandes quantités de données avant de déployer le ransomware et de chiffrer les systèmes ciblés.
- Les acteurs royaux ont fait des demandes de rançon allant d’environ 1 million USD à 11 millions USD en Bitcoin.
- Les acteurs royaux n’incluent pas les montants de rançon et les instructions de paiement dans le cadre de la note de rançon initiale. Au lieu de cela, la note, qui apparaît après le chiffrement, exige que les victimes interagissent directement avec l’acteur malveillant via une URL « .onion » qui n’est accessible que via le navigateur Tor.
- Les acteurs royaux des ransomwares ont ciblé de nombreux secteurs d’infrastructures critiques, notamment la fabrication, les communications, les soins de santé et les soins publics (HPH) et l’éducation.
Comment les acteurs royaux accèdent aux réseaux
Selon les agences de reporting, les acteurs royaux obtiennent un accès initial aux réseaux des victimes de plusieurs manières, notamment :
Phishing : dans 66,7 % des incidents, les acteurs royaux sont en mesure d’obtenir un accès initial aux réseaux des victimes via des e-mails d’hameçonnage réussis. Les victimes ont inconsciemment installé des logiciels malveillants qui délivrent des rançongiciels royaux après avoir reçu des e-mails d’hameçonnage contenant des documents PDF malveillants et de la publicité.
Remote Desktop Protocol (RDP) : plus de 13 % des incidents impliquent une compromission du RDP, ce qui en fait le deuxième vecteur le plus fréquent pour les acteurs royaux.
Applications publiques : le FBI a également observé des acteurs royaux obtenir un accès initial en exploitant des applications publiques.
Courtiers : les acteurs royaux peuvent tirer parti des courtiers pour obtenir l’accès initial et le trafic source en recueillant les informations d’identification du réseau privé virtuel (VPN) à partir des journaux des voleurs.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« De nombreux gangs de rançongiciels et autres syndicats de cybercriminalité motivés financièrement ont commencé à s’éloigner d’un modèle d’extorsion basé sur le chiffrement, au profit d’attaques d’extorsion directes. »
« Il existe divers facteurs qui ont contribué à ce changement de méthodologie. Par exemple, les rançongiciels sont bruyants, détectables et complexes, tandis que les négociations peuvent être longues et éparses qui, dans de nombreux cas, n’entraînent aucun paiement ou une réduction significative. Cela a été exacerbé par les réglementations fédérales et l’évolution des polices de cyberassureurs. »
« Cela dit, cet avertissement consultatif conjoint sur l’activité des rançongiciels royaux sert de rappel qu’il existe de nombreuses menaces traditionnelles par rançongiciel, bien que de plus en plus de méthodologies et de TTP tels que les tactiques de vie hors terre (LotL), l’utilisation d’outils légitimes pour éviter la détection et l’adoption de nouveaux cadres C2 . Ils tirent également parti de partenariats avec des familles de logiciels malveillants très performantes telles que QBot à des fins allant de l’aide à l’accès initial à l’utilisation d’une infrastructure de communications prête à l’emploi (C2). Royal utilise pratiquement toutes ces techniques et devrait donc être considéré comme une menace importante. »
2. Panda APT pointu utilisant une nouvelle variante de logiciel malveillant avec fonction de silence radio
Selon Check Point, le groupe de cyberespionnage Sharp Panda utilise une nouvelle version de son cadre malveillant Soul dans sa dernière campagne.
Le backdoor Soul contient une fonction de silence radio, permettant à l’acteur malveillant de spécifier les heures d’une semaine où le backdoor n’est pas autorisé à communiquer avec le serveur de commande et de contrôle.
Qui est Sharp Panda ?
Début 2021, Check Point a découvert une opération de surveillance par un groupe qu’ils appellent Sharp Panda. Cette campagne ciblait les entités gouvernementales d’Asie du Sud-Est et exploitait les e-mails de spear phishing pour obtenir un accès initial à ses cibles. Ces e-mails de spear phishing contenaient un document Word joint avec des attraits sur le thème du gouvernement. La campagne a tiré parti d’un modèle distant pour télécharger et exécuter un document RTF malveillant contenant le tristement célèbre kit RoyalRoad.
Après avoir obtenu l’accès au réseau, le logiciel malveillant a démarré une chaîne de chargeurs en mémoire, y compris un téléchargeur DLL personnalisé et un chargeur de deuxième étape pour fournir la porte dérobée finale. La charge utile finale de cette campagne était VictoryDLL, un logiciel malveillant personnalisé qui permet l’accès à distance et la collecte de données.
Dernière campagne de Sharp Panda
Une enquête plus approfondie sur Sharp Panda a révélé plusieurs campagnes utilisant la même chaîne d’infection que celle décrite ci-dessus. Cependant, la dernière campagne de Sharp Panda tire parti d’une nouvelle version du chargeur SoulSearcher, qui est capable de télécharger, de décrypter et de charger en mémoire d’autres modules du backdoor modulaire Soul.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il n’a pas été confirmé si le cadre Soul est exploité par un seul acteur malveillant, bien que les tentatives précoces d’attribution semblent lier le cadre à un acteur malveillant avec une sorte de lien avec la Chine. Le partage d’outils personnalisés et de TTP entre les menaces persistantes avancées chinoises est extrêmement fréquent, ce qui rend l’attribution, et le travail réel de lier ces types de campagnes à un seul acteur malveillant, particulièrement difficile. Il convient également de noter que le cadre Soul est utilisé depuis plusieurs années maintenant et est constamment mis à jour et affiné, ce qui rend beaucoup plus difficile pour les chercheurs de suivre le rythme. »
3. Le ransomware IceFire exploite IBM Aspera Faspex pour attaquer les réseaux d’entreprise fonctionnant sous Linux
Un nouveau rapport de SentinelLabs affirme que ses chercheurs ont observé de nouvelles versions Linux d’une souche connue de rançongiciel appelée IceFire déployée contre des sociétés de médias et de divertissement dans des endroits qui ne sont pas traditionnellement décrits comme des cibles populaires pour les gangs de rançongiciels, y compris la Turquie, l’Iran, le Pakistan et les États-Unis.
Avant la publication du rapport de SentinelLabs, IceFire n’était associé qu’aux attaques centrées sur Windows. IceFire aurait été remarqué pour la première fois par MalwareHunterTeam en mars 2022. Cependant, ce n’est que août 2022 lorsque les victimes ont été publiées via son site de fuite de dark web.
SentinelLabs décrit les tactiques d’IceFire comme cohérentes avec les gangs de ransomware qui pratiquent la méthodologie de chasse aux grands jeux (BGH). En d’autres termes, les tactiques impliquent une double extorsion, ciblant les grandes entreprises, tirant parti de plusieurs mécanismes de persistance et mettant l’accent sur la défense/l’évasion par analyse au moyen de la suppression des fichiers journaux.
Alors que les rapports précédents attribuent à IceFire des attaques sur le secteur technologique, l’activité la plus récente axée sur Linux du ransomware a jusqu’à présent été largement limitée aux secteurs du divertissement et des médias.
Variante IceFire Windows
La variante Windows d’IceFire est fournie via des messages d’hameçonnage. Les acteurs malveillants s’engagent également dans le pivotement à l’aide de cadres post-exploitation.
Caractérisés par les chercheurs comme une menace d’extorsion à plusieurs volets, les opérateurs d’IceFire exfiltrent toutes les données d’intérêt de l’environnement cible avant de chiffrer les appareils. Une fois que cela a été accompli, les victimes sont ensuite extorquées et soumises à des pressions pour payer les demandes de rançon afin d’éviter les fuites de données et, espérons-le, d’obtenir des clés de décryptage.
À propos de la variante IceFire Linux
Selon SentinelLabs, les chercheurs ont d’abord observé la nouvelle variante Linux d’IceFire déployée à mi-février 2023. Les intrusions exploitent une vulnérabilité de désérialisation récemment divulguée (et corrigée) dans le logiciel de partage de fichiers IBM Aspera Faspex (CVE-2022-47986, score CVSS : 9,8).
De TheHackerNews :
« Le fichier binaire de ransomware ciblant Linux est un fichier ELF 64 bits de 2,18 Mo qui est installé sur les hôtes CentOS exécutant une version vulnérable du logiciel de serveur de fichiers IBM Aspera Faspex. »
La variante Linux est également capable d’éviter de chiffrer les chemins dont les machines victimes ont besoin pour rester opérationnelles.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« IceFire est la dernière d’un nombre croissant de familles de ransomwares à diversifier leur arsenal et à développer des variantes adaptées à plusieurs systèmes d’exploitation. Le ciblage des rançongiciels de Linux en général s’est considérablement accéléré au cours des dernières années et continuera de le faire jusqu’à 2023 et au-delà. »
Depuis SentinelLabs :
Bien que les bases aient été jetées en 2021, la tendance aux rançongiciels Linux s’est accélérée en 2022 lorsque d’illustres groupes ont ajouté des chiffrements Linux à leur arsenal, y compris des comme BlackBasta, Hive, Qilin, Vice Society alias HelloKitty, et d’autres.
« Étant donné que de nombreux systèmes Linux sont des serveurs, les vecteurs d’infection typiques tels que l’hameçonnage ou les téléchargements variateur par lecteur sont rendus moins efficaces. Par conséquent, pour surmonter ce problème, les acteurs malveillants se sont tournés vers l’exploitation des vulnérabilités trouvées dans les applications pour déployer leurs charges utiles, dans ce cas, la vulnérabilité IBM Aspera. »
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
