Dans le résumé de cette semaine, CTI souligne les dernières tactiques d’hameçonnage impliquant des codes QR. Ensuite, CTI examine le nouveau ransomware Babuk Locker 2,0 . Enfin, CTI conclut par une vue d’ensemble d’une récente attaque de la chaîne d’approvisionnement ciblant les clients en aval d’un MSP.
1. L’hameçonnage par code QR s’accélère à mesure que les tactiques évoluent
Palo Alto suit les nouvelles tactiques qui sont utilisées dans les documents d’hameçonnage contenant des codes QR.
Certaines des nouvelles tactiques comprennent l’exploitation des redirections ouvertes pour masquer la destination finale du phishing et la vérification humaine dans les redirections pour échapper à la détection et convaincre les victimes de saisir des informations d’identification.
Palo Alto a également observé des cas où les sites d’hameçonnage ciblent des victimes spécifiques, indiquant un certain niveau de reconnaissance avant l’attaque.
Qu’est-ce que l’hameçonnage par code QR ?
L’hameçonnage par code QR, ou quishing, implique la création de codes QR malveillants et incite les victimes à les scanner avec leurs appareils mobiles.
Avec l’hameçonnage par code QR, les acteurs malveillants tenteront d’exploiter les appareils contrôlés par l’utilisateur avec des contrôles de sécurité faibles. L’hameçonnage par code QR s’est avéré très efficace, c’est pourquoi il devient de plus en plus courant.
Redirection d’URL d’hameçonnage
Palo Alto a analysé les URL de code QR provenant de campagnes récentes et a déterminé qu’elles utilisaient souvent la redirection d’URL, ce qui implique d’exploiter les redirections ouvertes des sites Web légitimes. Cela diffère de l’intégration de liens qui pointent directement vers le site d’hameçonnage.
La redirection d’URL n’est pas une nouvelle tactique et fait partie de la raison pour laquelle les utilisateurs sont souvent formés à examiner l’URL d’un lien avant de cliquer dessus. La redirection des URL, lorsqu’elle est combinée avec des codes QR, devient difficile, car vous ne pouvez pas simplement passer le curseur sur le code QR avec votre souris pour voir l’URL.
Comme l’explique Palo Alto, les redirections permettent aux sites Web légitimes de rediriger facilement les utilisateurs vers des pages externes, tout en conservant la source d’origine. Les acteurs peuvent également inclure du texte supplémentaire dans l’URL de redirection Google afin que le véritable site d’hameçonnage soit masqué lors de l’analyse du code QR avec un téléphone.
Opérations d’hameçonnage
Palo Alto a découvert que ces opérations d’hameçonnage se déroulent en trois étapes, notamment la redirection, la vérification humaine et la collecte d’informations d’identification.
- Les redirections guident les victimes vers le véritable site. Certains acteurs utiliseront plusieurs redirections pour rendre plus difficile l’identification.
- La vérification humaine implique l’exploitation d’étapes de vérification légitimes que de nombreux utilisateurs connaîtront, telles que CAPTCHA et Cloudflare Turnstile. Pour utiliser Cloudflare Turnstile dans leurs attaques, tout ce qu’un acteur malveillant doit faire est de s’inscrire à l’abonnement gratuit au service.
- La collecte des informations d’identification se produit via des pages d’hameçonnage qui imitent les pages de connexion comme Microsoft 365. Certaines pages affichent le logo de l’entreprise et prérempliront même l’adresse e-mail de la victime, ce qui lui permettra de saisir uniquement le mot de passe.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les attaques de phishing et l’ingénierie sociale évoluent constamment, le rapport de Palo Alto mettant en évidence certaines des tendances les plus récentes.
Bien que les trois activités principales mises en évidence dans le rapport aient été observées individuellement au cours des derniers mois, Palo Alto les voit désormais utilisées en combinaison, n’augmentant que le taux de réussite potentiel.
Comme c’est toujours le cas avec les nouvelles tactiques d’hameçonnage, des solutions de sensibilisation et de sécurité sont nécessaires en tandem.
2. LockBit 3,0 est rebaptisé ransomware Babuk Locker 2,0
Rapid7 a récemment trouvé un canal de groupe de ransomwares prétendant être Babuk Loader, un groupe qui s’est arrêté en 2021.
Rapid7 ont découvert des forums et des canaux souterrains qui mentionnaient « Babuk Locker 2,0 », ainsi que certains acteurs qui se sont félicités pour les récentes attaques de ransomware. Ils ont finalement déterminé qu’il ne s’agissait pas d’une résurgence du groupe, mais plutôt de LockBit 3,0 sous un nouveau nom.
Opérateurs
Au cours de leur enquête, Rapid7 ont vu plusieurs discussions sur un retour potentiel de Babuk, dont la plupart étaient liées à deux groupes différents appelés « Skywave » et « Bjorka ».
Ces groupes ont revendiqué la responsabilité de certaines attaques par rançongiciel et même promu les fuites de Babuk. Rapid7 pense qu’il s’agit de sociétés affiliées ou d’opérateurs clés de Babuk 2,0.
Casier Babuk 2,0
Rapid7 ont identifié des dizaines de canaux Telegram dont les noms étaient liés à Babuk Locker 2,0. L’un des groupes précédemment mentionnés, Skywave, a revendiqué la propriété de plusieurs canaux, tandis que l’autre, Bjorka, a vu son contenu lié à Babuk amplifié.
Les chercheurs ont remarqué un chevauchement des victimes de Babuk et Bjorka et ont identifié une collaboration possible entre les acteurs après avoir observé les logos Skywave et Bjorka les uns à côté des autres sur une page de contact pour Babuk 2,0.
Détails techniques
Rapid7 a rencontré un échantillon supposé de Babuk 2,0 sur un canal Telegram. Après avoir analysé l’échantillon, ils ont déterminé qu’il n’était pas lié à Babuk et qu’il s’agissait plutôt de LockBit 3,0 ou de LockBit Black. Cela indique que Babuk 2,0 n’est qu’un nouveau nom ou une nouvelle marque pour LockBit 3,0.
Babuk ou LockBit 3,0 ?
Rapid7 a analysé un fichier « babuk.exe », qui est annoncé sous le nom de Babuk 2,0. Ils ont confirmé que cet échantillon est entièrement basé sur LockBit 3,0 et n’est pas lié au code Babuk précédemment divulgué.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’analyse Rapid7’s indique que Babuk Locker 2,0 ne provient pas réellement du groupe Babuk, mais qu’il s’agit simplement de LockBit 3,0 avec un nouveau nom.
Comme le note Rapid7 , « les groupes de rançongiciels ne disparaissent pas : ils changent simplement les noms, recyclent le code et continuent à encaisser. » Cela peut rendre l’attribution plus difficile, amenant les défenseurs à tourner des cycles sur de « nouveaux » ransomwares qui ne sont qu’un effort de changement de marque ou un moyen pour un acteur d’attirer un certain attention.
3. Les filiales de Qilin ciblent les clients en aval d’un MSP
Selon un rapport Sophos, en janvier, un administrateur MSP a reçu un e-mail d’hameçonnage prétendant être une alerte d’authentification pour l’outil RMM ScreenConnect. L’e-mail a finalement donné au groupe de menaces de ransomware Qilin l’accès aux informations d’identification de l’administrateur et a permis au groupe d’exécuter des attaques de ransomware contre les clients du MSP. Le groupe RaaS Qilin existe depuis 2022 et s’appelait auparavant « Agenda ». Ce groupe est connu pour recruter ses filiales dans des forums russes et utilise un site de fuite de données pour une double extorsion.
À propos de STAC4365
Sophos attribue ce dernier incident à une filiale de ransomware suivie comme STAC4365 en raison du chevauchement de l’infrastructure, des modèles de dénomination et de divers TTP utilisés par le groupe dans d’autres attaques.
STAC4365 est un groupe de menaces que Sophos a associé à « un modèle d’activités et d’indicateurs détenus en commun par un groupe de sites d’hameçonnage datant de novembre 2022. » Les sites utilisés par cet acteur usurpent généralement des URL légitimes de ScreenConnect. Cet acteur utilise un cadre AitM open source appelé « vilginx » pour collecter des informations d’identification d’hameçonnage et des cookies de session.
STAC4365’s Chaîne d’attaque Qilin
L’e-mail d’hameçonnage utilisé dans l’attaque a été adapté au compte administrateur du MSP pour usurper une alerte de connexion ScreenConnect. Lorsque l’administrateur a cliqué sur le lien dans l’e-mail pour se connecter et examiner ladite alerte, il a été dirigé vers une page d’hameçonnage via des redirections.
Sophos note que l’acteur a utilisé l’URL pour envoyer uniquement la victime prévue au site d’hameçonnage, en envoyant tous les autres visiteurs au site ScreenConnect légitime. À ce stade, l’acteur pourrait intercepter les informations d’identification et se connecter à son compte.
Après avoir obtenu l’accès au compte ScreenConnect de l’administrateur, l’acteur a transmis une instance gérée par un attaquant de ScreenConnect à plusieurs clients du MSP. Selon Sophos, cette instance a été utilisée pour l’énumération, la découverte des utilisateurs, la réinitialisation des informations d’identification du compte et pour accéder à d’autres outils. Après avoir eu un accès suffisant, l’acteur a collecté et exfiltré des fichiers des environnements client, téléchargeant les fichiers sur un site « easyupload[.]io » dans un onglet incognito.
Sophos révèle également plusieurs techniques de l’acteur, notamment l’identification et le ciblage des sauvegardes pour empêcher la restauration, le déploiement du ransomware Qilin auprès de plusieurs clients du MSP, la désactivation du service VSS (Volume Shadow Copy Service), la suppression des copies fantômes et des journaux d’événements Windows, la suppression de lui-même après l’exécution, et d’autres.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette attaque particulière a ciblé les clients d’un MSP, ce qui en fait une attaque de type chaîne d’approvisionnement, quelque chose qui devient de plus en plus courant.
Ce qui est intéressant, c’est la manière dont l’acteur a pu exfiltrer des données via un onglet incognito dans Chrome. Cela est rare et donne aux défenseurs une autre voie d’exfiltration à surveiller.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
