Cette semaine, CTI explore comment un acteur malveillant exploite une boîte à outils open source appelée Gophish pour mener des campagnes d’hameçonnage. Ensuite, la CTI étudie comment les acteurs malveillants intègrent du contenu malveillant dans des fichiers de disque dur virtuel pour contourner les passerelles de messagerie sécurisées (SEG) et les outils antivirus. Enfin, CTI fournit une mise à jour sur le célèbre logiciel malveillant Bumblebee, qui semble faire une résurgence.
L’acteur malveillant utilise la boîte à outils Gophish dans les campagnes d’hameçonnage
Une campagne récente exploite des chaînes d’infection modulaires d’infections maldoces (documents malveillants) ou HTML, qui nécessitent toutes deux une interaction de la part de la victime pour lancer le reste de la chaîne d’infection. Des chercheurs ont également découvert un RAT PowerShell (trojan d’accès à distance) non documenté précédemment dans l’attaque.
Utilisation de la boîte à outils Gophish
Cisco Talos a analysé les liens malveillants dans ces e- mails d’hameçonnage et découvert les domaines d’hébergement contrôlés par les attaquants pour fournir un document Microsoft Word malveillant et un fichier HTML.
Le domaine se résout en une adresse IP confirmée comme une instance AWS EC2 . Le même serveur se résout également dans un autre domaine qui fournit des fichiers HTML malveillants avec JavaScript intégré. Il a été déterminé que l’acteur hébergeait la boîte à outils Gophish sur ce serveur, fonctionnant au port 3333.
Une campagne multimodulaire
La campagne comporte deux vecteurs d’attaque initiaux :
- Le premier vecteur d’attaque est un document Word malveillant.
- Le deuxième vecteur d’attaque implique l’utilisation de fichiers HTML avec JavaScript malveillant intégré.
Infection basée sur le Maldoc pour administrer PowerRAT
Dans cette chaîne d’infection, la victime doit ouvrir le document Word malveillant et activer le bouton « Afficher le contenu » dans la bannière du document. Cette action permet l’exécution du programme macro VB (Visual Basic) malveillant.
L’acteur a utilisé stratégiquement un blob de données codé base64 dans le document, mais a rendu sa couleur de texte identique à l’arrière-plan du document. La macro déposera un fichier .hta malveillant (fichier d’application HTML) et un chargeur PowerShell sur la machine de la victime.
Cisco Talos a également découvert un nouveau RAT PowerShell comme l’une des charges exécutées dans cette chaîne d’infection. L’outil s’exécute dans la mémoire de la machine et peut exécuter des scripts et commandes PowerShell supplémentaires. Il effectue la reconnaissance, collecte des informations, écrit des données en mémoire et les exfiltre.
Infection basée sur HTML pour fournir DCRAT
Dans cet exemple, l’acteur utilise des fichiers HTML intégrés à JavaScript malveillant.
Lorsque la victime clique sur un lien dans l’e-mail d’hameçonnage, un fichier HTML contenant un code malveillant s’ouvre sur la machine. En même temps, JavaScript s’exécute, ce qui entraîne le téléchargement d’une archive .zip.
La victime doit décompresser manuellement l’archive et exécuter l’exécutable qu’elle contient, se faisant passer pour l’application de messagerie VK légitime. Cette action entraînera finalement une infection par DCRAT.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les deux chaînes d’infection de l’acteur nécessitent un certain niveau d’interaction de la part de l’utilisateur pour lancer avec succès le reste de l’attaque.
Un nombre croissant d’attaques dépendent de l’interaction des utilisateurs, comme les attaques ClickFix qui nécessitent que les utilisateurs collent et exécutent une commande malveillante.
Il est un peu surprenant de voir autant de campagnes dépendant de l’interaction de l’utilisateur, car cela laisse de la place à l’échec de l’attaque. Il s’agit d’un exemple clé où la sensibilisation et la formation des utilisateurs peuvent être essentielles.
Les pirates informatiques contournent les SEG et les antivirus
Cofense a découvert que les acteurs malveillants intègrent du contenu malveillant dans des fichiers de disque dur virtuel pour éviter la détection par les SEG et les solutions antivirus.
Tendances de campagne
Cofense a observé que les fichiers de disque dur virtuel étaient exploités comme mécanisme de livraison dans plusieurs campagnes tout au long de 2024. Les atouts varient pour chaque campagne, mais tous semblent fournir Remcos RAT et/ou XWorm RAT.
- mai 2024 campagne : cette campagne utilisait des e-mails d’hameçonnage contenant un lien qui prétendait être un document fiscal pertinent, mais téléchargeait plutôt un fichier de disque dur virtuel. Après avoir téléchargé le fichier, la victime exécuterait la charge utile principale qui fournirait Remcos RAT.
- Juin/juillet 2024 campagne : dans cette campagne, les e-mails d’hameçonnage prétendaient provenir de la Poste du Canada et d’autres services postaux. Les e-mails ont fourni des archives .zip jointes sous la forme d’une étiquette de package, mais contenaient un fichier de disque dur virtuel. L’ouverture du fichier de disque dur virtuel convaincrait la victime d’ouvrir un fichier LNK malveillant qui fournirait finalement un RAT DotNETLoader et XWorm, qui fournirait ensuite un RAT Remcos.
- août 2024 campagne : en août, les acteurs ont ciblé les victimes avec des archives .zip jointes contenant prétendument plusieurs curriculum vitae pour examen, mais contenaient en fait le même fichier de disque dur virtuel et le même fichier de script Visual Basic qui exécuterait Remcos RAT en mémoire. Cette campagne comprenait des fichiers autorun.inf, qui sont des fichiers de configuration utilisés par les anciennes versions de Windows pour « définir des actions qui peuvent être effectuées automatiquement lorsque le volume est monté ». Dans ces anciennes versions de Windows (avant Windows Vista), les fichiers peuvent être utilisés de manière abusive pour exécuter automatiquement des logiciels malveillants.
Contournement des SEG
Les fichiers de disque dur virtuel peuvent être livrés via des liens vers des services légitimes de partage de fichiers pour contourner les SEG. Cependant, ils semblent également être en mesure de contourner les SEG sur leur propre compte.
De nombreux SEG ne sont pas en mesure d’analyser les fichiers de disque dur virtuel. Certains de ceux qui peuvent analyser les fichiers de disque dur virtuel le font en s’appuyant sur des solutions antivirus qui peuvent également avoir du mal à détecter le contenu malveillant contenu dans les images de disque dur.
Dans la campagne sur le thème du curriculum vitae susmentionnée, les acteurs ont pu contourner les SEG Cisco, Proofpoint et FireEye.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ce n’est pas un choc total que les acteurs malveillants recherchent de nouvelles façons de fournir du contenu malveillant, en particulier une solution capable de contourner de nombreuses solutions de sécurité des e-mails.
Cela est similaire au moment où les acteurs malveillants sont passés à l’utilisation de codes QR dans les e-mails d’hameçonnage, une technique connue sous le nom d’« hameçonnage », qui est toujours courante. À l’heure actuelle, ces fichiers de disque dur virtuel semblent capables de contourner certaines solutions, ce qui rendra probablement d’autres acteurs malveillants intéressés par l’exploitation de ces fichiers dans leurs attaques.
Pour cette raison, nous verrons probablement les fournisseurs commencer à étudier les moyens de fournir une détection efficace de ces fichiers malveillants, comme nous le voyons avec l’hameçonnage par code QR.
[Lire également : Pour vous défendre contre le vishing, soyez intelligent]
Les logiciels malveillants Bumblebee reviennent après une perturbation
Des chercheurs ont repéré le célèbre chargeur de logiciels malveillants Bumblebee lors d’attaques récentes, indiquant une possible résurgence.
Ces observations ne surviennent que quelques mois après que les forces de l’ordre internationales ont saisi plusieurs serveurs dans le monde, ce qui a eu un impact sur plusieurs opérations de chargeur de logiciels malveillants, y compris Bumblebee.
Accès initial
Les chercheurs pensent que ces dernières attaques commencent par un e-mail d’hameçonnage qui incite les victimes à télécharger un fichier .zip malveillant. Le fichier .zip contient un fichier LNK qui lancera l’attaque et entraînera l’exécution de la charge utile Bumblebee en mémoire.
LNK et PowerShell
Comme les campagnes Bumblebee précédentes, cette dernière campagne utilise des fichiers LNK et PowerShell. Dans cette campagne, le fichier a été utilisé comme téléchargeur et téléchargerait et exécuterait l’étape suivante.
Après l’ouverture du fichier LNK, il exécutera une commande PowerShell pour télécharger un fichier MSI. Le fichier est renommé %AppData %\y.msi et s’exécute à l’aide de msiexec.
Nouvelle approche MSI
La famille de logiciels malveillants Bumblebee semble désormais fournir des logiciels malveillants via des fichiers MSI. D’autres familles de logiciels malveillants comme DarkGate et Latrodectus ont également utilisé des fichiers MSI pour exécuter des charges utiles.
Netskope a examiné quelques échantillons déguisés en installateurs NVIDIA ou Midjourney. Ils ont tous été observés lors du chargement et de l’exécution de la charge utile en mémoire sans la déposer sur le disque.
Bumblebee semble utiliser une approche furtive pour éviter la création d’autres processus. Netskope a observé le logiciel malveillant à l’aide du tableau SelfReg pour forcer l’exécution d’une fonction d’exportation. Cela fonctionne comme une clé pour déterminer le fichier à exécuter dans le tableau, qui, dans le cas observé par Netskope, était la DLL de charge utile finale. La DLL se trouve dans un fichier CAB. Une fois l’installation MSI commencée, la DLL est chargée latéralement dans le processus msiexec, et la charge utile Bumblebee est décompressée et exécutée.
Charge utile Bumblebee
Les chercheurs ont identifié certaines des caractéristiques les plus connues de la famille des logiciels malveillants Bumblebee dans la charge utile décompressée. Ils ont déterminé que l’approche d’extraction de configuration est identique aux versions précédentes de Bumblebee.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La découverte par Netskope de nouvelles campagnes impliquant le logiciel malveillant Bumblebee indique une possible résurgence de la célèbre famille de logiciels malveillants.
Bien que les efforts de perturbation des agences de lutte contre la fraude soient certainement une étape dans la bonne direction, ils ne constituent pas une solution permanente. Bumblebee a réussi à son apogée, ce qui a fait de cette résurgence potentielle quelque chose à surveiller.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
