Cette semaine, CTI se penche sur une campagne en cours menée par un acteur malveillant motivé par l'appât du gain, capable de se connecter au réseau TOR et d'échapper à la détection. Ensuite, CTI passe en revue un nouveau groupe de ransomware-as-a-service (RaaS) « » (s'ouvre dans un nouvel onglet) appelé Lynx, qui gère désormais un programme d'affiliation sophistiqué. Enfin, CTI présente un résumé du dernier rapport de Cisco Talos concernant le quatrième trimestre de l'année 2024.
Une campagne en cours utilise la porte dérobée TorNet
Cisco Talos a découvert (s'ouvre dans un nouvel onglet) une campagne à grande échelle qui est en cours depuis juillet 2024. Cet acteur diffuse toute une série de charges utiles connues ainsi qu'une porte dérobée jusqu'alors inconnue, baptisée TorNet, permettant de se connecter au réseau TOR.
L'acteur utilise le phishing comme vecteur d'attaque initial et exécute des tâches planifiées pour assurer la persistance. De plus, l'acteur déconnecte l'appareil du réseau avant d'y introduire et d'exécuter le logiciel malveillant, puis le reconnecte une fois l'opération terminée.
Comment fonctionne cette campagne de hameçonnage ?
Les attaques commencent par un e-mail de hameçonnage de type « » (s'ouvre dans un nouvel onglet) qui se fait passer pour un établissement financier ou une entreprise du secteur de la fabrication et de la logistique. Cet e-mail attire le destinataire à l'aide de fausses confirmations de virement bancaire et de faux reçus de commande.
Jusqu'à présent, la plupart des e-mails ont été rédigés en polonais et en allemand, ce qui laisse penser que les auteurs de ces menaces pourraient cibler les utilisateurs de ces pays. Cependant, certains e-mails de hameçonnage ont également fait leur apparition en anglais.
Les pièces jointes des e-mails portent également l'extension de fichier « .tgz » , ce qui signifie qu'elles sont compressées au format GZIP. Le destinataire doit ouvrir la pièce jointe du courriel, la décompresser, puis exécuter le fichier exécutable de chargement qui y figure. Ce chargeur est chargé de télécharger le logiciel malveillant PureCrypter, qui s'exécute dans la mémoire système.
Comment cette attaque de hameçonnage utilise-t-elle le logiciel malveillant PureCrypter ?
Cisco Talos a analysé les fichiers joints compressés et a constaté qu'ils contenaient un fichier exécutable .NET de grande taille. Cet exécutable est configuré pour télécharger des exécutables supplémentaires ou charger un binaire intégré. Certains échantillons ont téléchargé les fichiers binaires du logiciel malveillant PureCrypter et les ont enregistrés sous des noms de fichiers arbitraires et avec différentes extensions. Dans certains cas, PureCrypter était directement intégré au chargeur.
Ce logiciel malveillant PureCrypter est une bibliothèque de liens dynamiques Windows, obscurcie à l'aide d'Eziriz .NET Reactor. Il vise à créer un mutex sur l'appareil infecté et à exécuter une commande permettant de libérer l'adresse IP DHCP actuellement attribuée. Il assurera la persistance, effectuera des tâches de contrecoup et de détection, déposera et exécutera la charge utile, puis lancera une commande pour renouveler l'adresse IP. Cette technique est moins courante, mais elle est probablement utilisée pour échapper à la détection.
Qu'est-ce que la porte dérobée TorNet ?
Dans certains cas, Cisco Talos a constaté que le logiciel malveillant PureCrypter déployait une porte dérobée jusque-là inconnue, appelée TorNet. Cette porte dérobée établit une connexion avec le serveur C2 et relie l'appareil infecté au réseau TOR. Il peut également charger et exécuter des assemblages .NET dans la mémoire de la machine.
Le logiciel malveillant décode une chaîne de caractères afin d'obtenir le numéro de port, le domaine C2 et une chaîne de 16 caractères (5e7a81857a353068). À l'instar de PureCrypter, il effectuera également plusieurs vérifications visant à contourner les systèmes anti-débogage, anti-malware, anti-VM et de sandbox.
Cisco Talos n'a pas pu obtenir de réponse de la part du C2 au cours de son analyse. Elle a toutefois constaté que la réponse serait un code d'assemblage .NET arbitraire, ce qui élargissait encore davantage la surface d'attaque. La porte dérobée connecte l'appareil infecté au réseau TOR en téléchargeant le pack « TOR Expert », en le décompressant, puis en l'exécutant en tant que processus d'arrière-plan.
Le blog Cisco Talos contient des informations supplémentaires ainsi que des détails techniques concernant TorNet (s'ouvre dans un nouvel onglet).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'une des techniques les plus intéressantes utilisées dans cette campagne consiste à déconnecter l'appareil de la victime du réseau en libérant son adresse IP, à mener des activités malveillantes, puis à le reconnecter au réseau. Cela pourrait permettre à l'acteur de passer inaperçu, en particulier si la détection se limite à des indicateurs spécifiques.
Cette technique, associée à la capacité de TorNet à anonymiser les communications vers le serveur C2 , met en évidence les mesures supplémentaires prises par l'acteur pour éviter d'être détecté.
Le groupe de ransomware Lynx gère un programme d'affiliation sophistiqué
Des chercheurs de Group-IB ont récemment publié des informations (s'ouvre dans un nouvel onglet) concernant le nouveau groupe Lynx, spécialisé dans les ransomwares en tant que service (RaaS), qui dispose d'une plateforme très bien organisée et d'un programme d'affiliation sophistiqué.
Le rapport de Group-IB apporte des informations très instructives sur Lynx, notamment des détails concernant le réseau d'affiliés du groupe, ses communications internes, ainsi que ses tactiques, techniques et procédures (TTP).
Ce qu'il faut savoir sur le réseau d'affiliation Lynx
Group-IB a réussi à infiltrer le groupe et à accéder à son panneau d'affiliation. Cette étude a révélé que le panneau comporte cinq sections :
- La rubrique « Actualités » constitue la plateforme centrale pour les différentes mises à jour et annonces, et fournit aux affiliés des informations sur les nouvelles fonctionnalités.
- La section « Entreprises » du site de fuites sert de plateforme aux affiliés pour gérer leurs victimes. Dans cette section, les affiliés peuvent créer des profils de victimes, générer des échantillons uniques de ransomware et mettre en place un chat dédié à chaque victime.
- La section « Chats » permet aux affiliés d'accéder aux discussions créées.
- La rubrique « Stuffers » propose aux affiliés un outil permettant de gérer leurs sous-affiliés ou les membres de leur équipe dans le cadre de projets collaboratifs.
- La rubrique « Leaks » ( ) permet aux affiliés de publier la liste des entreprises qu’ils ont réussi à attaquer, mais pour lesquelles ils n’ont pas encore reçu le paiement de la rançon (s’ouvre dans un nouvel onglet) .
Informations techniques concernant le ransomware Lynx
Le ransomware Lynx existe en deux versions : l'une pour Windows et l'autre pour Linux. Cette variante de Linux n'a pas encore été observée en milieu réel.
L'une des principales différences entre la dernière variante de Windows et celles observées l'année dernière réside dans une nouvelle option « mode », qui permet à l'attaquant de choisir le pourcentage d'un fichier à chiffrer. Cela permet à l'attaquant de déterminer le compromis entre la vitesse et le volume de données chiffrées. Cette variante procédera au chiffrement, remplacera le fond d'écran par une note de rançon et tentera même de l'imprimer.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe de ransomware Lynx s'appuie sur des compétences techniques de pointe et un logiciel sophistiqué. C'est un bon exemple qui montre à quel point les groupes spécialisés dans les ransomwares, en particulier les opérations de type « RaaS », fonctionnent de plus en plus comme des entreprises et de moins en moins comme des réseaux cybercriminels traditionnels.
Il convient également de souligner que ce groupe répertorie les imprimantes locales et tente d'envoyer la demande de rançon aux imprimantes connectées, ce qui est peu courant.
Group-IB conclut son rapport en indiquant que « seule une stratégie défensive proactive et adaptative permettra de protéger les données critiques et de préserver la résilience de l'entreprise ». Cette affirmation s'applique à de nombreuses menaces.
Cisco Talos publie son rapport sur les Q4 tendances en matière de réponse aux incidents
Cisco Talos a publié « » (s'ouvre dans un nouvel onglet) , son rapport trimestriel sur les tendances du Q4 2024, qui présente les principales observations issues des interventions de gestion d'incidents menées par (s'ouvre dans un nouvel onglet) au cours de cette période.
Cisco Talos a notamment constaté une forte augmentation tant de l'utilisation des « web shells » que de l'exploitation d'applications accessibles au public.
Picot des shells Web
Cisco Talos a constaté que les acteurs malveillants déploient des shells Web dans 35 % de leurs interventions de réponse aux incidents, en utilisant notamment des shells Web open source et accessibles au public contre des applications Web vulnérables ou non mises à jour (s'ouvre dans un nouvel onglet). Cela représente une hausse significative par rapport aux 10 % enregistrés au troisième trimestre de l'année 2024.
Tendances en matière de ransomware
Environ 30 % des interventions de Cisco Talos au quatrième trimestre concernaient des attaques par ransomware, des tentatives de ransomware et des cas d'extorsion par vol de données, soit une baisse par rapport aux 40 % enregistrés au trimestre précédent. Ils ont également constaté la présence d'un mélange de nouveaux acteurs du ransomware, tels qu'Interlock, et de ransomware déjà observés, tels que , Black Basta (s'ouvre dans un nouvel onglet),, et RansomHub.
Dans la plupart des incidents liés à des ransomwares sur lesquels Cisco Talos a enquêté, la durée de présence de l'attaquant variait entre 17 et 44 jours. Cisco Talos souligne que des durées de présence plus longues « peuvent indiquer qu'un attaquant tente d'étendre son accès, de contourner les défenses et/ou d'identifier les données présentant un intérêt en vue de leur exfiltration ».
Cisco Talos a également relevé que les auteurs d'attaques par ransomware avaient utilisé des outils d'accès à distance dans 100 % de leurs interventions liées à des incidents de ransomware au cours de ce trimestre. Ce chiffre représente une hausse significative par rapport au trimestre précédent, au cours duquel des outils d'accès à distance n'avaient été détectés que dans 13 % de ces interventions.
Secteurs ciblés
Pour le deuxième trimestre consécutif, le secteur de l'éducation (s'ouvre dans un nouvel onglet) a été la cible principale, suivi par les services financiers, la santé et l'administration publique.
Accès initial
Pour la première fois depuis plus d'un an, Cisco Talos a constaté que le principal moyen d'accès initial consistait à exploiter des applications accessibles au public. Ils ont constaté ce phénomène dans environ 40 % des interactions pour lesquelles ils ont pu déterminer la date de la première interaction.
Au cours des derniers trimestres, les comptes valides ont constitué le principal moyen d'accès initial. Au dernier trimestre, il est passé à la deuxième place. Depuis décembre, Cisco Talos a également constaté une recrudescence des attaques de type « password spraying », qui empêchent les utilisateurs d'accéder à leurs comptes ou leur refusent l'accès au VPN.
L'authentification multifactorielle : une faille de sécurité majeure
Selon Cisco Talos, l'absence d'authentification multifactorielle (MFA) (s'ouvre dans un nouvel onglet) figurait parmi les principales failles de sécurité au quatrième trimestre. Près de 40 % de l'ensemble des interventions ont révélé une authentification multifactorielle (MFA) mal configurée, peu sécurisée ou inexistante. Par ailleurs, 100 % des organisations victimes d'un rançongiciel n'avaient pas mis en place de procédure d'authentification multifactorielle (MFA) adéquate ou avaient vu cette dernière contournée par le biais de techniques d'ingénierie sociale.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Étonnamment, les incidents liés aux ransomwares ont représenté un nombre légèrement inférieur d'interventions par rapport au trimestre précédent. Même si cela ne signifie certainement pas que les ransomwares sont sur le point de disparaître, cela pourrait indiquer un changement d'orientation de la part des auteurs de menaces.
Par ailleurs, les cybercriminels semblent revenir à des tactiques éprouvées, telles que l'exploitation de failles de sécurité. Pour la première fois depuis plus d'un an, Cisco Talos a identifié l'exploitation d'applications accessibles au public comme la principale méthode d'accès initial.
Dans son rapport intitulé « », Cisco Talos formule également des recommandations (s'ouvre dans un nouvel onglet) visant à remédier aux failles de sécurité les plus importantes qu'il a constatées, notamment la mise en place de l'authentification multifactorielle (MFA) et l'application régulière des correctifs.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
