Cette semaine, CTI fournit les dernières mises à jour d’une campagne d’ingénierie sociale en cours. Ensuite, CTI examine une opération de rançongiciel relativement nouvelle appelée Mad Liberator. Enfin, la CTI conclut par une vue d’ensemble de l’évolution du métro cybercriminel au fil des ans.
1. De nouveaux outils apparaissent dans la campagne d’ingénierie sociale en cours
Rapid7 a suivi une campagne d’ ingénierie sociale en cours au cours de quelques mois. Ils observent désormais un changement dans les outils que l’acteur malveillant utilise, y compris un passage des binaires Windows natifs à un exécutable .NET qui prétend télécharger des filtres anti-spam par e-mail.
Selon Rapid7, l’attrait de l’acteur malveillant ne semble pas changer tout au long de cette campagne. L’acteur enverra une grande quantité d’e-mails à une victime et appellera l’utilisateur, généralement via Teams, en prétendant offrir une solution à un « problème ». L’acteur convaincrea la victime d’installer AnyDesk, ce qui lui permettra d’accéder à distance à l’appareil et d’effectuer des activités malveillantes.
L’acteur exécute ensuite antispam.exe, qui prétend télécharger un filtre anti-spam. Ce faux filtre anti-spam nécessite que l’utilisateur saisisse ses informations d’identification. L’acteur effectue un suivi avec une série de binaires et de scripts pour se connecter à son serveur C2 . Plusieurs charges utiles de suivi ont été observées en plus des tunnels SSH inversés et de l’outil de surveillance et de gestion à distance (RMM) Level pour les mouvements latéraux.
Détails techniques
En examinant les charges utiles secondaires exploitées dans l’attaque, Rapid7 ont découvert que de nombreuses charges utiles étaient signées avec le même certificat.
Antispam.exe
Comme indiqué ci-dessus, il s’agit d’un collecteur d’informations d’identification qui se fait passer pour un filtre anti-spam par e-mail. Le programme s’exécutera via une boucle qui imprimera le même message 1 023 fois dans la fenêtre. Cette fausse boucle se terminera par une invite à l’utilisateur de saisir ses informations d’identification et d’afficher un faux message de réussite à l’utilisateur.
Updatex.exe
L’acteur exécute ensuite une série d’exécutables, chacun commençant par le mot « mise à jour » suivi d’un nombre. Les exécutables sont tous signés avec le même certificat, mais chacun effectue une fonction différente.
- Update1.exe prétend être un programme d’installation pour Yandex Disk, qui est un service de stockage et de partage de fichiers dans le cloud. La charge utile décryptera et exécutera un second exécutable via l’injection PE locale. Ce exécutable de deuxième étape est une balise et contactera le serveur C2 via une demande client HTTP Golang. Rapid7 pense que, sur la base de chaînes intégrées, le serveur auquel il se connecte fonctionne comme un proxy de chaussettes.
- Update4.exe prétend être une copie d’APEX Scan, qui est un scanner AV de Trend Micro contenant un code malveillant. Une fois que cela s’exécute, il lancera le shellcode chargé de contacter le C2 et de servir de proxy pour les chaussettes.
- Update6.exe tente d’exploiter CVE-2022-26923 comme moyen d’ajouter un compte machine si le contrôleur de domaine est vulnérable. Le code source aurait été copié à partir d’un module Cobalt Strike accessible au public.
- Update7.exe, avec Update8.exe, contient un logiciel malveillant SystemBC. Ce logiciel malveillant fonctionne comme un proxy de chaussettes, mais également comme un compte-gouttes pour des charges utiles supplémentaires.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’acteur malveillant modifie les outils/charges utiles de l’attaque, mais pas l’attrait initial. Il est évident que l’acteur malveillant doit avoir un certain niveau de réussite en bombardant les victimes d’e-mails, puis en appelant pour offrir une solution au problème qu’elles ont créé.
Cela dit, il est surprenant de penser que cet attrait peut s’avérer efficace. Les organisations doivent anticiper ces appels à l’avance et être à l’affût des activités frauduleuses.
2. Le ransomware Mad Liberator cible les utilisateurs de AnyDesk
Sophos a récemment enquêté sur une opération de rançongiciel relativement récente appelée Mad Liberator. Cet acteur est apparu juillet 2024 pour la première fois et cible les victimes avec AnyDesk installé, effectuant des appels non sollicités dans l’espoir qu’une victime acceptera la demande de connexion.
Comme de nombreuses opérations de ransomware, Mad Liberator se concentre sur l’exfiltration des données. Sophos n’a pas encore observé de cas dans lesquels l’acteur a chiffré des données, bien que d’autres recherches suggèrent que le groupe puisse occasionnellement utiliser le chiffrement. L’acteur maintient un site de fuite de données pour publier ses victimes et utilise principalement des techniques d’ingénierie sociale pour l’accès initial.
Le flux d’attaque de Mad Liberator
L’acteur malveillant s’appuie fortement sur l’utilisation d’ AnyDesk et cible les victimes avec celui-ci déjà installé. Sophos n’a pas identifié comment l’attaquant cible un ID AnyDesk particulier et n’a pas identifié de connexions ou de contact entre l’acteur et la victime avant que la victime ne reçoive une demande de connexion AnyDesk non sollicitée.
Dans l’incident observé par Sophos, la victime savait qu’ AnyDesk était légitimement utilisé par le service informatique de son organisation et supposait que la demande de connexion faisait partie des opérations normales de l’équipe informatique. Une fois que la victime a accepté la demande de connexion, l’acteur malveillant a pu transférer un fichier binaire malveillant sur son appareil et l’exécuter.
Le fichier binaire transféré était appelé « Microsoft Windows Update » pour éviter toute suspicion et a même affiché un écran à la victime qui imitait une mise à jour Windows. L’acteur a ensuite utilisé une fonctionnalité de AnyDesk pour désactiver l’entrée du clavier et de la souris de l’utilisateur afin qu’il ne puisse pas tenter d’interférer avec l’exécution.
Pendant que la fausse mise à jour Windows était affichée à l’utilisateur, l’acteur a continué à accéder au compte OneDrive de la victime. Ils ont utilisé l’ option « AnyDeskFileTransfer » pour exfiltrer des fichiers du compte OneDrive. L’acteur est ensuite passé à l’utilisation d’Advanced IP Scanner pour voir si d’autres appareils du réseau pouvaient être accessibles latéralement. Après l’exfiltration, l’acteur a créé plusieurs notes de rançon et les a déposées à plusieurs endroits, pas seulement sur l’appareil de la victime.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Pour que Mad Liberator fonctionne, un utilisateur final doit d’abord accepter une demande de connexion AnyDesk non sollicitée. Cette technique doit sembler suspecte pour les utilisateurs finaux.
Si cet acteur évolue pour tirer parti d’une ingénierie sociale supplémentaire dans ses méthodes d’accès initiales, il sera probablement beaucoup plus efficace d’amener les utilisateurs à accepter les demandes de connexion AnyDesk.
3. Bitdefender explore l’évolution de la cybercriminalité souterraine
Un rapport récent de Bitdefender explore comment le sous -sol cybercriminel continue d’évoluer.
« L’époque des piratages de droits de vantage qui étaient (relativement) inoffensifs est révolue », déclare Bitdefender.
»Désormais, les acteurs malveillants travaillent dans le cadre d’organisations bien huilées, accumulant des millions par an en compromettant purement les organisations ou en prêtant leurs services à d’autres adversaires moins qualifiés. »
Selon Bitdefender, ce changement a été motivé par une surface d’attaque numérique plus large, l’émergence de marchés Web plus sombres, de grands volumes de données divulguées, de plateformes de communication privées telles que Signal et Telegram, de cryptomonnaies et de paiements plus élevés.
Aujourd’hui, il existe de nombreux types différents d’organisations cybercriminelles tirant parti du dark web. Il s’agit d’acteurs indépendants et de petits et moyens groupes, ou de grands groupes comme Conti. Quel que soit le type de groupe, ils ont tendance à utiliser le cybercriminel souterrain pour gagner de l’argent. Cela est souvent réalisé en vendant des exploits, des données volées, des logiciels malveillants, des rançongiciels, un accès à des organisations, des services compromis, etc.
Bitdefender décrit quelques éléments spécifiques qui stimulent les activités sur le réseau souterrain cybercriminel :
- Les services de spam et d’hameçonnage représentent une part importante du cybercriminel souterrain. Ces services sont généralement proposés via le dark web ou d’autres plateformes de communication et peuvent inclure des services étendus. Les clients de ces services ont la possibilité d’acheter divers éléments du service, tels que des listes d’e-mails en masse, l’accès à des serveurs compromis et des kits d’hameçonnage.
- Les proxys à louer sont un autre composant du marché souterrain. Les proxys malveillants tirent souvent parti des réseaux infectés pour masquer l’origine des activités malveillantes. Les acteurs malveillants tirent parti de ces proxys pour lancer des attaques et compliquer la tâche des défenseurs pour déterminer la véritable origine de l’activité. Ils fournissent également un niveau d’anonymat pour l’acteur.
- Les groupes APT tenteront souvent de masquer leurs efforts axés sur l’espionnage avec des ransomwares et imiteront les TTP d’autres acteurs pour éviter l’attribution.
Progrès récents
Bitdefender a remarqué quelques modèles qui révèlent comment le paysage continue de changer. Par exemple, un modèle est vu dans le partage d’informations. Tout comme les organisations partagent ouvertement des informations pour aider le monde entier à se protéger contre des menaces de sécurité spécifiques, les acteurs partagent également des informations éducatives et des avis sur les tactiques d’application de la loi pour aider à empêcher d’autres acteurs d’être pris.
Une autre tendance est observée dans l’adoption de l’IA, qui est utilisée par des acteurs moins sophistiqués comme code de triche pour mener des attaques plus sophistiquées.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants s’adaptent constamment au monde en évolution qui les entoure et réagissent aux avancées géopolitiques et technologiques pour rester efficaces.
Selon Bitdefender, il n’existe pas de réponse ou de solution unique qui puisse éliminer complètement le risque que posent les acteurs malveillants. Cependant, « en comprenant comment ils fonctionnent, ce qui les motive et comment ils attaquent activement les organisations, vous pouvez prendre des décisions plus éclairées lorsque vous développez une stratégie complète de cyber-résilience. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
