Cette semaine, CTI revient sur la récente mise en garde de Microsoft concernant la multiplication des campagnes qui exploitent des services d'hébergement de fichiers légitimes, tels que SharePoint, OneDrive et Dropbox, afin d'échapper à la détection. CTI se penche ensuite sur une campagne de hameçonnage « » actuellement en cours (s'ouvre dans un nouvel onglet) , qui utilise des pièces jointes au format HTML imitant les pages de connexion de Microsoft 365 . Enfin, CTI conclut par un aperçu du groupe de ransomware Dark Angels.
Les services d'hébergement de fichiers facilitent les attaques de type « Business Email Compromise »
Microsoft met en garde (s'ouvre dans un nouvel onglet) contre la multiplication des campagnes exploitant des services d'hébergement de fichiers légitimes tels que SharePoint, OneDrive et Dropbox afin d'échapper à la détection.
Selon Microsoft, ces attaques visent de plus en plus souvent des fichiers dont l'accès est restreint et qui sont en lecture seule. Bien que ces campagnes varient, elles partagent toutes un objectif final similaire : compromettre des identités afin de mener des attaques BEC de type « » (s'ouvre dans un nouvel onglet).
Comment les services d'hébergement de fichiers sont-ils utilisés dans le cadre des attaques de type BEC ?
Microsoft a constaté de nombreuses campagnes exploitant de manière abusive des services d'hébergement de fichiers légitimes. Ces campagnes exploitent de plus en plus des fichiers dont l'accès est restreint et/ou qui ne peuvent être consultés qu'en lecture seule. Ces campagnes sont de nature opportuniste et visent en fin de compte à obtenir des identités pouvant être utilisées pour des attaques de type BEC.
Les fichiers sont transmis de différentes manières, notamment par e-mail et sous forme de pièces jointes. Les fichiers à accès restreint sont envoyés par le biais d'e-mails de hameçonnage et configurés de manière à n'être accessibles qu'au destinataire prévu. Par conséquent, le destinataire doit être connecté au service de partage de fichiers (Dropbox, OneDrive, SharePoint) ou se réauthentifier.
Les fichiers soumis à des restrictions de lecture seule sont utilisés pour tenter de contourner les systèmes de détection des menaces par e-mail. Ces fichiers désactivent la possibilité de télécharger le fichier, ce qui complique la détection par les outils des URL intégrées dans celui-ci.
Accès initial
L'attaque commence généralement par la compromission d'un utilisateur d'un fournisseur de confiance. L'acteur hébergera ensuite un fichier sur le service d'hébergement de fichiers de ce fournisseur et le partagera avec une organisation ciblée.
Microsoft a constaté que ces e-mails reprennent généralement des sujets inspirés de conversations et de contenus existants et jouent sur un sentiment d'urgence pour inciter les victimes à ouvrir ces fichiers.
Une fois le fichier partagé, la victime ciblée recevra un e-mail provenant du service de partage de fichiers légitime, l'informant qu'un fichier lui a été transmis. Cet e-mail n'est pas nécessairement une tentative d'hameçonnage, mais il conduit à une situation d'hameçonnage.
Usurpation d'identité
Une fois que la victime a accédé au fichier partagé, elle est invitée à vérifier son identité à l'aide d'un code d'accès à usage unique.
Une fois l'autorisation accordée, ils peuvent consulter le document en cliquant sur un lien. Le lien redirige vers une page de hameçonnage, où la victime est à nouveau invitée à fournir son nom d'utilisateur et son mot de passe, puis à effectuer une authentification multifactorielle (MFA) sur (s'ouvre dans un nouvel onglet). Ce faisant, l'acteur s'empare de ce jeton MFA, qui peut être utilisé pour mener à bien la phase suivante d'une attaque de type BEC.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Depuis un certain temps déjà, les cybercriminels exploitent à des fins malveillantes des services légitimes, tels que ceux signalés par Microsoft. Le rapport de Microsoft indique que cette tendance se poursuit, avec l'apparition de nouvelles tactiques visant à contourner les mesures de défense, telles que l'utilisation de fichiers à accès restreint et soumis à des restrictions de lecture seule.
Les méthodes mentionnées par Microsoft dans son rapport exigent de la victime qu'elle effectue quelques étapes supplémentaires, telles que la vérification de son identité à des fins d'authentification, le fait de cliquer sur des liens supplémentaires et la saisie de ses identifiants sur une page de hameçonnage. Cela offre aux victimes potentielles quelques occasions supplémentaires de se rendre compte qu'il peut s'agir d'une menace, mais que celle-ci cherche néanmoins, par nature, à abuser de la confiance établie avec des fournisseurs connus.
Microsoft propose des mesures recommandées (s'ouvre dans un nouvel onglet) ainsi que des requêtes de recherche utiles pour vous aider à détecter cette menace et à y faire face.
Mamba 2FA menace les organisations internationales
Le dernier rapport de Sekoia, intitulé « » (s'ouvre dans un nouvel onglet) , décrit en détail une campagne de hameçonnage en cours utilisant des pièces jointes au format HTML qui imitent les pages de connexion de Microsoft 365 .
Les pages de hameçonnage elles-mêmes présentaient les méthodes d'authentification à plusieurs facteurs (MFA) et utilisaient la bibliothèque JavaScript Socket.IO pour communiquer via WebSockets avec un serveur backend. Cette attaque a d'abord été associée à la plateforme « Phishing as a Service » (PhaaS) « Tycoon 2FA » de : (s'ouvre dans un nouvel onglet). Une enquête plus approfondie a toutefois révélé qu’il s’agissait d’un kit de hameçonnage de type « adversary-in-the-middle » (AiTM), jusqu’alors inconnu, appelé Mamba 2FA.
Caractéristiques
Depuis le mois d'octobre, les URL associées au kit de phishing Mamba 2FA respectent la structure suivante : {domain}/{m,n,o}/?{Base64 chaîne}. La page de hameçonnage ne s'affiche que si Base64 paramètres valides sont présents ; dans le cas contraire, elle restera vide.
Si le kit détecte un environnement de test, il vous redirigera vers une page « Google 404 ». Les adresses e-mail ciblées peuvent être ajoutées à la fin de l'URL. Dans ce cas, l'adresse e-mail est préremplie dans le formulaire de connexion affiché. Sekoia a constaté que la page de hameçonnage peut se présenter sous l'une des quatre formes suivantes, en fonction d'un paramètre inclus dans l'URL.
À partir de la version « octobre 2024 », l'infrastructure de Mamba 2FA’s comporte deux couches : les domaines de liaison et les serveurs relais.
Fonctionnalités de Mamba 2FA
Mamba 2FA présente des fonctionnalités similaires à celles d'autres kits de phishing courants, notamment :
- Il prend en charge la vérification en deux étapes pour les méthodes d'authentification multifactorielle (MFA), telles que les codes à usage unique et les notifications via une application
- Il prend en charge Entra ID, les services de fédération Active Directory (AD FS), les fournisseurs de SSO tiers et les comptes Microsoft grand public
- Il permet de reproduire de manière dynamique l'identité visuelle de la page de connexion personnalisée d'une organisation sur ses pages de hameçonnage
- Il transmet des identifiants et/ou des cookies à l'attaquant via un bot Telegram
Commercialisation
Mamba 2FA est un , commercialisé sur Telegram (s'ouvre dans un nouvel onglet) sous forme d'abonnement. Les clients ayant acheté ce kit ont accès au bot Telegram associé, qui leur permettra de générer des liens de hameçonnage et des pièces jointes au format HTML.
L'hébergeur assure la maintenance de l'infrastructure qui héberge les pages, et les noms de domaine ne sont pas attribués à un client en particulier. Au contraire, elles sont utilisées comme un pool partagé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les kits de hameçonnage tels que Mamba 2FA expliquent en grande partie pourquoi le hameçonnage reste une menace majeure. Ces kits permettent aux acteurs, quel que soit leur niveau d'expertise, de mener facilement des campagnes d'hameçonnage par e-mail sans avoir à se soucier de la création et de la gestion des pages et de l'infrastructure proprement dites.
Sekoia révèle également que les domaines utilisés par Mamba 2FA sont généralement « signalés et bloqués par les solutions de sécurité après quelques jours d'utilisation », ce qui fait du blocage des domaines associés un véritable jeu de « tape-la-taupe ».
Le groupe de ransomware « Dark Angels » mène des attaques ciblées
Selon Zscaler (s'ouvre dans un nouvel onglet), le groupe de ransomware Dark Angels a commencé à lancer des attaques en avril 2022 et mène depuis lors des attaques ciblées.
Zscaler souligne que ce groupe utilise des « stratégies plus discrètes et plus sophistiquées » que celles d'autres opérations de rançongiciel. Ce groupe mène des attaques par ransomware de type « » hautement ciblées (s'ouvre dans un nouvel onglet) contre un nombre restreint de cibles afin de ne pas attirer l'attention.
À propos du groupe de ransomware Dark Angels
On pense que ce groupe opère depuis des régions russophones et qu'il cible des victimes aux États-Unis, en Europe, en Amérique du Sud et en Asie.
Les premières attaques du ransomware Dark Angels consistaient à déployer un ransomware ciblant les systèmes Windows et s'appuyaient sur le code source de Babuk qui avait fait l'objet d'une fuite. Ce n'est qu'au début de l'année 2023 que le groupe a commencé à diffuser publiquement les données volées.
Le groupe s'est ensuite tourné vers l'utilisation d'une variante de RTM Locker pour lancer des attaques par ransomware contre des systèmes Windows, et d'une variante de Ragnar Locker pour chiffrer des fichiers sur des systèmes Linux/ESXi.
Le fonctionnement de Dark Angels
Ce groupe de ransomware utilise des stratégies telles que le phishing et l'exploitation de vulnérabilités pour obtenir un accès initial.
Contrairement à de nombreux autres auteurs de ransomware, Dark Angels ne confie pas ses attaques à des affiliés et ne fait pas appel à des courtiers en accès initiaux, ce qui les limite à mener seulement quelques attaques ciblées.
Leurs attaques se soldent généralement par le paiement de rançons élevées et le vol de données allant de 1 à 100TB – comme lors de la cyberattaque menée par « » contre Johnson Controls l'année dernière (s'ouvre dans un nouvel onglet) , au cours de laquelle le groupe a dérobé 27TB données.
Chiffrement des fichiers
Comme indiqué, le groupe a d'abord ciblé les systèmes Windows avec une version de Babuk avant d'utiliser une variante de RTM Locker. Ce rançongiciel utilise la cryptographie à courbe elliptique (ECC). Au lieu d'ajouter une courte extension aux fichiers chiffrés, il y ajoutera la clé publique codée en Curve25519 .
Ce groupe utilise une variante de Ragnar Locker pour les systèmes Linux/ESXi. Ce ransomware utilise une combinaison de cryptage ECC asymétrique et de cryptage AES symétrique à 256 bits. Les paramètres de chiffrement sont insérés en bas de page de chaque fichier chiffré, accompagnés d'une note de rançon créée pour chaque fichier.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe de ransomware Dark Angels se distingue de la plupart des autres groupes à plusieurs égards, mais ce qui est le plus intéressant, c'est qu'il n'a pas adopté le modèle d'affiliation « ransomware-as-a-service » (RaaS) proposé par (s'ouvre dans un nouvel onglet)/affiliate.
Le groupe continue de recourir à des méthodes traditionnelles pour mener ses attaques, sans faire appel à des sous-traitants, ce qui lui permet de poursuivre ses attaques très ciblées. Les Dark Angels ont reçu, en début d'année, une rançon record de 75 millions de dollars, un montant sans précédent pour un cas de « » (s'ouvre dans un nouvel onglet) .
Dans la lignée des réflexions de Zscsaler, le fait qu’ils aient perçu une rançon d’un montant record tout en faisant rarement la une des journaux est extrêmement préoccupant et témoigne de leur volonté de rester extrêmement discrets.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet) pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .