Cette semaine, CTI vous présente les dernières informations concernant une campagne d'ingénierie sociale actuellement en cours. Par la suite, CTI se penche sur une opération de rançongiciel relativement récente, baptisée « Mad Liberator ». Enfin, le rapport CTI se termine par un aperçu de l'évolution du milieu cybercriminel au fil des ans.
1. De nouveaux outils apparaissent dans le cadre d'une campagne d'ingénierie sociale en cours
Depuis plusieurs mois, Rapid7 suit de près une campagne d' s par ingénierie sociale menée par « ». Ils constatent désormais une évolution dans les outils utilisés par l'auteur de la menace, notamment le passage de binaires Windows natifs à un exécutable .NET qui prétend télécharger des filtres anti-spam pour les e-mails.
D'après Rapid7, l'appât utilisé par l'acteur malveillant ne semble pas évoluer au cours de cette campagne. L'acteur envoie un grand nombre d'e-mails à une victime et l'appelle — généralement via Teams — en prétendant lui proposer une solution à un « problème ». L'auteur de l'attaque convaincra la victime d'installer AnyDesk, ce qui lui permettra d'accéder à distance à l'appareil et de mener des activités malveillantes.
L'acteur lance ensuite le fichier « antispam.exe », qui simule le téléchargement d'un filtre anti-spam. Ce faux filtre anti-spam vous demande de saisir vos identifiants. L'acteur enchaîne ensuite avec une série de fichiers binaires et de scripts pour se connecter à son serveur C2 . Plusieurs charges utiles secondaires ont été observées, en plus des tunnels SSH inversés et de l’outil de surveillance et de gestion à distance (RMM) « Level », utilisés pour les mouvements latéraux.
Détails techniques
En analysant les charges utiles secondaires utilisées lors de l'attaque, Rapid7 a découvert que bon nombre d'entre elles étaient signées avec le même certificat.
Antispam.exe
Comme indiqué ci-dessus, il s'agit d'un programme de collecte d'identifiants qui se fait passer pour un filtre anti-spam. Le programme exécutera une boucle qui affichera le même message 1 023 fois dans la fenêtre. Cette fausse boucle se terminera par une invite demandant à l'utilisateur de saisir ses identifiants, puis affichera un faux message de réussite à l'utilisateur.
Updatex.exe
L'acteur exécute ensuite une série de fichiers exécutables, dont chacun commence par le mot « update », suivi d'un chiffre. Les fichiers exécutables sont tous signés avec le même certificat, mais chacun remplit une fonction différente.
- Le fichier Update1.exe se fait passer pour un programme d'installation de Yandex Disk, un service de stockage dans le cloud et de partage de fichiers. La charge utile déchiffrera et exécutera un deuxième fichier exécutable via une injection PE locale. Cet exécutable de deuxième étape est une balise qui contactera le serveur C2 via une requête effectuée par un client HTTP Golang. Rapid7 estime, d'après les chaînes de caractères intégrées, que le serveur auquel il se connecte fonctionne comme un proxy SOCKS.
- Le fichier Update4.exe se fait passer pour une copie d'APEX Scan, un scanner antivirus de Trend Micro contenant du code malveillant. Une fois cette commande exécutée, elle lancera un shellcode chargé d'établir une connexion avec le serveur C2 et de servir de proxy SOCKS.
- Le fichier Update6.exe tente d'exploiter la vulnérabilité CVE-2022-26923 afin de créer un compte machine si le contrôleur de domaine est vulnérable. On pense que le code source a été copié à partir d'un module Cobalt Strike accessible au public.
- Le fichier Update7.exe, tout comme le fichier Update8.exe, contient le logiciel malveillant SystemBC. Ce logiciel malveillant fonctionne comme un proxy SOCKS, mais sert également de « dropper » pour des charges utiles supplémentaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'auteur de la menace modifie les outils et les charges utiles utilisés dans le cadre de l'attaque, mais pas l'appât initial. Il semble évident que l'auteur de cette attaque rencontre un certain succès, puisqu'il inonde ses victimes d'e-mails avant de les appeler pour leur proposer une solution au problème qu'il a lui-même créé.
Cela dit, il est surprenant de penser que ce leurre pourrait bien s'avérer efficace. Les organisations doivent anticiper ces appels et rester vigilantes face à toute activité frauduleuse.
2. Le ransomware « Mad Liberator » cible les utilisateurs d'AnyDesk
Sophos a récemment mené une enquête sur une opération de ransomware relativement récente, baptisée « Mad Liberator ». Cet acteur a fait sa première apparition dans « juillet 2024 » et cible les victimes sur lesquelles AnyDesk est installé, en passant des appels non sollicités dans l'espoir que la victime accepte la demande de connexion.
À l'instar de nombreuses opérations de ransomware, Mad Liberator se concentre sur l'exfiltration de données. Sophos n'a pour l'instant constaté aucun cas où l'acteur aurait chiffré des données, bien que d'autres études laissent entendre que ce groupe pourrait recourir occasionnellement au chiffrement. L'acteur gère un site dédié aux fuites de données sur lequel il publie les noms de ses victimes et utilise principalement des techniques d'ingénierie sociale pour obtenir un accès initial.
Enchaînement d'attaques de Mad Liberator
L'auteur de la menace s'appuie largement sur l'utilisation d'AnyDesk et cible les victimes sur lesquelles ce logiciel est déjà installé. Sophos n'a pas déterminé comment le pirate cible un identifiant AnyDesk particulier et n'a pas identifié de liens ni de contacts entre l'auteur de l'attaque et la victime avant que celle-ci ne reçoive une demande de connexion AnyDesk non sollicitée.
Dans l'incident observé par Sophos, la victime savait qu'AnyDesk était utilisé de manière légitime par le service informatique de son entreprise et a supposé que la demande de connexion s'inscrivait dans le cadre des opérations habituelles de l'équipe informatique. Une fois que la victime a accepté la demande de connexion, l'auteur de la menace a pu transférer un fichier binaire malveillant sur son appareil et l'exécuter.
Le fichier binaire transféré s'intitulait « Microsoft Windows Update » afin de ne pas éveiller les soupçons et affichait même à la victime un écran imitant une mise à jour de Windows. L'acteur a ensuite utilisé une fonctionnalité d'AnyDesk pour désactiver les commandes du clavier et de la souris de l'utilisateur, afin que celui-ci ne puisse pas tenter d'interférer avec l'exécution.
Pendant que la fausse mise à jour de Windows s'affichait à l'écran, l'auteur de l'attaque a ensuite accédé au compte OneDrive de la victime. Ils ont utilisé l'option « AnyDeskFileTransfer » pour extraire des fichiers du compte OneDrive. L'acteur a ensuite utilisé Advanced IP Scanner pour vérifier s'il était possible d'accéder de manière latérale à d'autres appareils du réseau. Après l'exfiltration, l'auteur a rédigé plusieurs demandes de rançon et les a placées à divers endroits, et pas uniquement sur l'appareil de la victime.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Pour que Mad Liberator fonctionne, l'utilisateur final doit d'abord accepter une demande de connexion AnyDesk non sollicitée. Cette technique devrait éveiller les soupçons des utilisateurs finaux.
Si cet acteur évolue pour intégrer davantage de techniques d'ingénierie sociale dans ses méthodes d'accès initial, il aura probablement beaucoup plus de succès pour amener les utilisateurs à accepter les demandes de connexion via AnyDesk.
3. Bitdefender explore l'évolution du milieu clandestin de la cybercriminalité
Un rapport récent de Bitdefender examine comment le réseau clandestin de cybercriminels « » continue d'évoluer.
« L’époque des attaques de type “bragging rights”, qui étaient (relativement) inoffensives, est révolue », déclare Bitdefender.
« »« Aujourd’hui, les cybercriminels opèrent au sein d’organisations bien rodées, engrangeant des millions chaque année en compromettant purement et simplement des entreprises ou en proposant leurs services à d’autres adversaires moins compétents. »
Selon Bitdefender, cette évolution s'explique par l'élargissement de la surface d'attaque numérique, l'émergence d'un plus grand nombre de places de marché sur le dark web, les volumes importants de données divulguées, les plateformes de communication privées telles que Signal et Telegram, les cryptomonnaies, ainsi que l'augmentation des sommes versées.
Il existe aujourd'hui de nombreux types d'organisations cybercriminelles qui exploitent le dark web. Cela va des acteurs indépendants et des groupes de petite et moyenne taille aux grands groupes tels que Conti. Quel que soit le type de groupe, ceux-ci ont tendance à recourir au milieu cybercriminel pour gagner de l'argent. Cela se fait souvent par la vente d'exploits, de données volées, de logiciels malveillants, de rançongiciels, d'accès à des organisations ou à des services compromis, etc.
Bitdefender met en avant plusieurs facteurs spécifiques qui stimulent l'activité au sein de la scène cybercriminelle clandestine :
- Les services de spam et d'hameçonnage représentent une part importante du marché noir de la cybercriminalité. Ces services sont généralement proposés via le dark web ou d'autres plateformes de communication et peuvent inclure une large gamme de prestations. Les clients de ces services ont la possibilité d'acheter divers éléments de l'offre, tels que des listes d'adresses e-mail en masse, l'accès à des serveurs piratés et des kits de hameçonnage.
- Les comptes proxy à louer constituent un autre volet du marché noir. Les serveurs proxy malveillants exploitent souvent des réseaux infectés pour masquer l'origine des activités malveillantes. Les acteurs malveillants exploitent ces serveurs proxy pour lancer des attaques et compliquer la tâche des défenseurs lorsqu'il s'agit de déterminer la véritable origine de l'activité. Elles garantissent également un certain anonymat à l'acteur.
- Les groupes APT tentent souvent de dissimuler leurs activités d'espionnage derrière des attaques par ransomware et imitent les TTP d'autres acteurs afin d'échapper à toute attribution.
Progrès récents
Bitdefender a relevé plusieurs tendances qui montrent à quel point le paysage continue d'évoluer. On observe par exemple une tendance en matière de partage d'informations. Tout comme les organisations partagent ouvertement des informations afin d’aider le grand public à se prémunir contre des menaces spécifiques en matière de sécurité, certains acteurs diffusent également des informations à caractère pédagogique et des avis concernant les tactiques des forces de l’ordre, dans le but d’empêcher d’autres acteurs de se faire prendre.
Une autre tendance se dessine dans l'adoption de l'IA, qui est utilisée par des acteurs moins expérimentés comme un « code de triche » pour mener des attaques plus sophistiquées.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs malveillants s'adaptent sans cesse à l'évolution du monde qui les entoure et réagissent aux avancées géopolitiques et technologiques afin de conserver leur efficacité.
Selon Bitdefender, il n'existe pas de réponse ni de solution unique permettant d'éliminer totalement le risque que représentent les acteurs malveillants. Cependant, « en comprenant comment ils fonctionnent, ce qui les motive et comment ils s'attaquent activement aux organisations, vous pouvez prendre des décisions plus éclairées lors de l'élaboration d'une stratégie globale de cyber-résilience. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
