Pour commencer ce tour d'horizon hebdomadaire, CTI analyse en détail un rapport de Sophos concernant une nouvelle opération de « ransomware-as-a-service » (RaaS) qui exploite le nom de l'entreprise à son propre profit. Nous allons maintenant vous présenter en détail comment l'acteur malveillant FIN8 , motivé par l'appât du gain, utilise désormais une porte dérobée Sardonic modifiée pour diffuser le ransomware BlackCat et maximiser ses profits. Enfin, le CTI examine comment les groupes chinois de cyberespionnage évoluent afin de réduire au minimum le risque d'être détectés et de compliquer l'attribution de ces actes.
1. Le ransomware SophosEncrypt se fait passer pour la société de cybersécurité Sophos
Un rapport récent intitulé « » () , publié par la société de cybersécurité Sophos en réponse à une découverte rendue publique par un tweet de MalwareHunterTeam ( 17 juillet) , met au jour une nouvelle opération de ransomware-as-a-service (RaaS) baptisée « SophosEncrypt », qui exploite le nom de l’entreprise à son propre profit.
Au départ, ce ransomware aurait été considéré comme faisant partie d'un exercice de « red team » mené par Sophos. Cependant, l'équipe Sophos X-Ops a rapidement réagi au tweet ci-dessus, remerciant MalwareHunterTeam pour cette alerte et précisant que ses chercheurs avaient déjà découvert un échantillon de ce rançongiciel sur VirusTotal plus tôt dans la journée.
, de BleepingComputer, rapporte que le service ID Ransomware de MalwareHunterTeam fait état d'un cas signalé par une victime infectée par ce nouveau logiciel malveillant — ce qui indique clairement que cette opération RaaS est active. Bien que les chercheurs en sachent encore peu sur le fonctionnement de ce logiciel et sur la manière dont il est diffusé, un échantillon de ce logiciel de chiffrement a été découvert par MalwareHunterTeam, ce qui leur a permis d’avoir « un premier aperçu de son fonctionnement ».
Qu'est-ce que SophosEncrypt ?
L'échantillon inédit en question a été découvert par un analyste de Sophos X-Ops lors d'une recherche de routine sur VirusTotal. L'analyste a remarqué que ce variant utilise le terme « Sophos » dans l'interface utilisateur d'un panneau utilisé par son ransomware pour avertir ses victimes que leurs fichiers ont été chiffrés. Il semblait également ajouter l'extension « .sophos » aux fichiers chiffrés.
En ce qui concerne le fichier exécutable du ransomware lui-même, les chercheurs de Sophos ont pu établir qu'il avait été compilé à l'aide de MinGW et qu'il contenait des bibliothèques Rust liées. Sophos le décrit également comme étant « d'un style inhabituellement rétro » en termes de fonctionnalités.
Source : Sophos :
« Dans la plupart des incidents liés aux ransomwares actuels, les auteurs de ces logiciels malveillants développent un outil conçu explicitement et exclusivement dans le but de chiffrer des fichiers, sans y intégrer de nombreuses autres fonctionnalités. » La plupart des ransomwares auxquels nous sommes confrontés aujourd'hui sont des fichiers exécutables à usage unique qui n'offrent que peu, voire aucune, fonctionnalité supplémentaire.
« D’après toutes les indications, les rapports de VirusTotal concernant ces fichiers semblent indiquer, et notre analyse le confirme, que l’un des échantillons est capable d’effectuer de nombreuses opérations allant bien au-delà du chiffrement des fichiers, ce qui est inhabituel. »
Les chercheurs vont jusqu’à affirmer que les capacités de « » () des fichiers du logiciel malveillant font qu’il s’apparente davantage à un cheval de Troie d’accès à distance (RAT) polyvalent, doté de la capacité de chiffrer des fichiers et de générer des demandes de rançon, qu’à une variante typique et contemporaine de ransomware.
Ces activités consistent notamment à intercepter le pilote du clavier afin d'enregistrer les frappes et à analyser le profil du système à l'aide de commandes WMI. Cependant, à l’instar de nombreuses autres familles de ransomwares, SophosEncrypt dispose d’une liste de répertoires à exclure du chiffrement (car ceux-ci pourraient soit empêcher le système de démarrer, soit contenir des fichiers sans importance jugés inutiles à chiffrer). Et comme tant d’autres familles de ransomwares, SophosEncrypt effectue la vérification habituelle des paramètres linguistiques du système et refuse de s’exécuter s’il constate que ces paramètres sont configurés pour utiliser la langue russe.
Afin de faciliter les négociations relatives à la rançon, les développeurs du ransomware préfèrent que leurs victimes utilisent des moyens de communication auxquels la plupart des groupes de ransomware actuels ne recourent plus. On peut citer, par exemple, le courrier électronique et la plateforme de messagerie instantanée Jabber.
Analyse des différences entre les échantillons
Le rapport de Sophos fait référence à un autre échantillon connu qui présente moins des caractéristiques non propres aux ransomwares décrites ci-dessus. Cela dit, ces deux variantes se connectent via Internet à un serveur de commande et de contrôle (C2), la connexion faisant référence à une adresse Tor sur le dark web (bien que Sophos admette qu’aucun des échantillons analysés n’ait établi de connexion Tor).
Par ailleurs, ces deux échantillons contiennent une adresse IP codée en dur à laquelle ils se connectent. Selon Sophos, l'adresse en question est associée depuis plus d'un an à la fois à des activités liées à Cobalt Strike C2 et à des attaques automatisées visant à infecter des appareils accessibles au public avec des logiciels de minage de cryptomonnaies.
Ces deux exemples sont conçus pour être exécutés via la ligne de commande Windows. Lorsqu’il est exécuté dans l’application « Invite de commandes », le ransomware invite l’opérateur du ransomware à saisir une chaîne de caractères qui permet de configurer le comportement du logiciel malveillant, ainsi que la note de rançon qu’il affiche finalement sur l’appareil de la victime.
Selon Sophos, le programme invite également son utilisateur à saisir un mot de passe crypté de 32 caractères, suivi de ce qui semble être un jeton, ainsi qu'une adresse e-mail et l'adresse d'un compte de messagerie instantanée Jabber. Une fois que l'attaquant a saisi les informations avec succès, le programme invite le contrôleur à choisir l'une des options suivantes :
- Cryptez tous les fichiers présents sur le disque dur.
- Chiffrer une seule lettre de lecteur.
- Quittez le programme.
Si l'attaquant choisit la première ou la deuxième option, le ransomware renomme les fichiers chiffrés en utilisant la valeur du jeton dans le nouveau nom de fichier, une fois le chiffrement terminé.
L'adresse e-mail et l'adresse Jabber indiquées sont toutes deux ajoutées à la demande de rançon, qui est transmise à la victime sous la forme d'un fichier d'application HTML (.hta) placé dans n'importe quel répertoire où le chiffrement a été effectué avec succès.
Ce fichier affiche simplement la demande de rançon, accompagnée des coordonnées fournies par le pirate informatique lors de la phase initiale de l'attaque.
Tout comme pour la première variante décrite ci-dessus, le rançongiciel ajoute, à la fin du processus, un identifiant unique de l'ordinateur, l'adresse e-mail saisie par le pirate lors de la configuration, ainsi que le suffixe « .sophos » à la fin du nom de chaque fichier qu'il chiffre.
Sophos souligne également que si le processus de chiffrement est interrompu, le rançongiciel ne laissera pas de note de rançon et ne remplacera pas le fond d'écran par celui qu'il est configuré pour récupérer depuis le serveur d'images public. Sinon, en supposant que le processus de chiffrement se déroule sans accroc, le rançongiciel récupère une image sur un site web public hébergeant une bibliothèque d’images, puis l’utilise pour modifier le fond d’écran de Windows de la victime, le remplaçant par un écran sur lequel s’affiche « Sophos ». De plus, la bannière Sophos qui apparaît désormais sur le bureau de la victime ne reproduit pas fidèlement le logo, les couleurs ni l'identité visuelle utilisés par la véritable entreprise de cybersécurité. Au lieu de cela, la victime se voit présenter un logo représentant un cadenas vert, accompagné d'instructions lui indiquant comment trouver et utiliser la demande de rançon pour contacter les pirates et entamer les négociations.
Enregistrement de ses propres performances
Lorsque SophosEncrypt s'exécute dans la console, il génère une liste détaillée présentant les résultats de la journalisation de débogage et indique le temps nécessaire au chiffrement de chaque fichier, en millisecondes. Curieusement, le ransomware affiche le message « SUCCESS » même lorsque la solution de sécurité Sophos Intercept X empêche le chiffrement des fichiers.
Un examen des propriétés du fichier exécutable du rançongiciel révèle qu’il s’agit respectivement des « versions 0,0,8 et 0,0,9 du programme ». « Aucun des deux fichiers exécutables n'est signé, et tous deux demandent une élévation de privilèges via l'UAC lorsqu'ils sont exécutés. »
À propos du jeton du ransomware
Comme l'explique Sophos, ce jeton entre en jeu lorsque le rançongiciel effectue une analyse sommaire du système sur l'ordinateur. Il récupère l'adresse IP publique du réseau de la cible et envoie une requête HTTP POST à l'adresse IP 179,43,154[.]137 sur le port 21119/tcp, qui transmet le jeton ainsi que des informations de profilage concernant l'ordinateur. La session n'est pas cryptée.
Si le serveur n'accepte pas la valeur du jeton, l'application affichera un message d'erreur dans la console indiquant que le jeton n'est pas valide. À ce stade, l'application se fermera. Si le ransomware s'exécute sur un ordinateur hors ligne, il affichera le message « utilisation locale du programme » et poursuivra son exécution, en invitant l'utilisateur à saisir un mot de passe de 32 octets ainsi que ses coordonnées avant de procéder au chiffrement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce n’est pas la première fois que le nom d’une société de sécurité apparaît dans un logiciel malveillant créé par un adversaire. » Ce n'est pas une évolution surprenante, car nous avons constaté que des acteurs malveillants se faisaient passer pour des chercheurs en sécurité et créaient de fausses entreprises de cybersécurité afin d'attirer des talents dans le domaine du piratage informatique et de recueillir des renseignements.
Dans cette optique, se faire passer pour le logiciel d'une entreprise spécialisée dans la cybersécurité semble être la suite logique. « Selon BleepingComputer, les chercheurs continuent d'analyser SophosEncrypt afin de déterminer si certaines failles pourraient permettre de récupérer gratuitement les fichiers chiffrés. »
2. FIN8 utilise une porte dérobée « Sardonic » modifiée pour le ransomware BlackCat
Un nouveau rapport de Symantec révèle comment l'acteur malveillant à motivation financière FIN8 utilise une version remaniée d'une porte dérobée appelée « Sardonic » pour diffuser le ransomware BlackCat. Les chercheurs de Symantec estiment que cette évolution constitue une tentative de la part de FIN8’s de diversifier ses activités et de maximiser ses bénéfices.
À propos de FIN8
- FIN8 est un groupe malveillant à motivation financière actif depuis au moins janvier 2016. Ce groupe cible les entreprises des secteurs de l'hôtellerie-restauration, du commerce de détail, du divertissement, de l'assurance, des technologies, de la chimie et de la finance.
- Ce groupe a toujours eu recours à des tactiques consistant à « vivre de ce que le terrain offre », en exploitant des outils intégrés tels que PowerShell et WMI. Ses méthodes d'accès initiales privilégiées sont les suivantes : (ingénierie sociale), et (spear phishing),.
- Au départ, le groupe FIN8 s'était spécialisé dans les attaques visant les terminaux de point de vente (TPV), mais on a depuis constaté qu'il utilisait différentes menaces de ransomware dans le cadre de ses attaques. Par exemple, dans le cadre de l'opération « juin 2021 », le groupe FIN8 a été observé en train d'installer le ransomware Ragnar Locker sur des appareils qu'il avait compromis au sein d'une entreprise du secteur des services financiers plus tôt dans l'année. Dans le cadre de l'opération « janvier 2022 », ce groupe a été observé en train d'utiliser le ransomware White Rabbit lors de ses attaques. Puis, dans le cadre de l'opération « décembre 2022 », Symantec a constaté que ce groupe tentait de déployer le ransomware BlackCat lors de ses attaques.
Comment FIN8 utilise des portes dérobées
Le groupe FIN8 a pour habitude de faire de longues pauses entre ses attaques, probablement afin d'améliorer ses tactiques, techniques et procédures (TTP). En 2021, Bitdefender a publié des informations détaillées sur la nouvelle porte dérobée « Sardonic » d' et l'a mise en relation avec l'affaire FIN8. La porte dérobée « Sardonic » permet de collecter des informations sur le système et d'exécuter des commandes. Il dispose également d'un module complémentaire permettant de charger et d'exécuter des charges utiles malveillantes supplémentaires fournies sous forme de DLL.
L'attaque « décembre 2022 » observée par Symantec utilisait une porte dérobée remaniée pour déployer le ransomware BlackCat. Bien que la porte dérobée « Sardonic » utilisée dans cette campagne présente des similitudes avec celle analysée par Bitdefender, la majeure partie de son code a été réécrite, ce qui lui confère une nouvelle apparence. Il convient notamment de noter que le code n'utilisait plus la bibliothèque standard C++ et que la plupart des fonctionnalités orientées objet ont été remplacées par une implémentation en C pur.
Activité des attaquants
Au cours de l'incident « décembre 2022 », l'auteur de la menace s'est connecté via PsExec pour exécuter la commande « quser » et afficher les détails de la session. Il a ensuite exécuté une commande PowerShell supplémentaire pour lancer la porte dérobée. L'auteur de la menace s'est connecté à la porte dérobée et a vérifié les informations relatives à l'ordinateur affecté avant d'exécuter une commande visant à assurer la persistance.
Le lendemain, l'auteur de la menace s'est connecté à la porte dérobée, désormais permanente, mais a suspendu son activité après avoir exécuté quelques commandes simples. Trente minutes plus tard, l'activité a repris, et l'auteur de la menace a utilisé le script « wmiexec.py » issu d'Impacket pour démarrer un processus visant à installer une nouvelle porte dérobée. Cette nouvelle porte dérobée a été utilisée au cours des heures qui ont suivi. Le nouveau script PowerShell de porte dérobée utilise un nouveau nom de fichier et simplifie la ligne de commande en supprimant l'argument de clé de déchiffrement.
Script PowerShell
L'une des principales différences entre cette attaque et les FIN8 attaques précédentes réside dans la technique utilisée pour déployer la porte dérobée.
Dans ce cas précis, la porte dérobée a été intégrée de manière indirecte dans un script PowerShell et utilisée pour infecter les machines cibles. Le script PowerShell utilisé dans cette campagne comporte plusieurs éléments clés. La première ligne du script a pour but de supprimer le fichier de script PowerShell lui-même. La deuxième ligne vérifie l'architecture du processus en cours avant de sélectionner la version 32 bits ou 64 bits du chargeur .NET encodé. La troisième ligne décode le fichier binaire du chargeur .NET et le charge dans le processus en cours. La dernière ligne de code lance la fonctionnalité principale du chargeur, au cours de laquelle l'injecteur et la porte dérobée sont déchiffrés.
- .Chargeur .NET : Le chargeur est une DLL .NET obfusquée et contient deux blobs. Les blobs sont déchiffrés à l'aide de l'algorithme RC4 , en utilisant une clé de déchiffrement codée en dur, avant d'être décompressés. Les blocs décompressés sont ensuite copiés dans un bloc de mémoire contigu. Le chargeur transfère ensuite le contrôle au deuxième blob, l'injecteur, en lui transmettant comme paramètres l'emplacement en mémoire et la taille du premier blob, la porte dérobée.
- Injecteur : L'injecteur se présente sous la forme d'un shellcode. Cet injecteur a pour but de déclencher la porte dérobée dans un processus WmiPrvSE.exe nouvellement créé. Lors de la création de ce processus, l'injecteur tentera de le lancer dans la session 0 à l'aide d'un jeton qu'il subtilise au processus lsass.exe.
La porte dérobée « Sardonic »
La porte dérobée Sardonic se présente également sous la forme d'un shellcode.
- Sessions interactives : L'une des caractéristiques intéressantes de cette porte dérobée concerne les sessions interactives, au cours desquelles le pirate exécute cmd.exe ou d'autres processus interactifs sur l'appareil compromis. L'échantillon permet d'ouvrir jusqu'à 10 sessions simultanément. Lors du lancement de chaque processus individuel, l'acteur malveillant peut utiliser un jeton de processus volé à partir d'un identifiant de processus spécifique, qui est différent pour chaque session.
- Extensions : Une autre caractéristique notable de cette porte dérobée réside dans la prise en charge de trois formats différents permettant d’étendre ses fonctionnalités. Le premier format concerne les plugins DLL PE que la porte dérobée charge au sein de son propre processus. Le deuxième format pris en charge par la porte dérobée se présente sous la forme de shellcode, chaque plugin s’exécutant dans son propre processus dédié. Le troisième format se présente également sous la forme d'un shellcode, mais avec une convention différente pour le passage des arguments.
- Communication réseau : Pour communiquer avec son serveur de commande et de contrôle (C2), le cheval de Troie échangera des messages de taille variable en utilisant la structure ci-dessous. La taille du champ « body » peut être déterminée à partir du contenu du champ d'en-tête.
- Message initial : Une fois que la porte dérobée se connecte à son serveur C2 , elle envoie un message initial de 0x10C octets dont la valeur du champ d'en-tête est 0xFFFFFCC0 (codée en dur) et dont le champ de pied de page n'est pas initialisé.
- taille du corps est égal à 0x80 pour chaque message entrant dont la valeur du champ d'en-tête est 0xFFFFFE78 (valeur fixe), et
- Dans tous les autres cas, la taille du corps correspond simplement à la valeur du champ d'en-tête.
Le contenu des champs « corps » et « pied de page » est chiffré avec RC4 en utilisant rc4_key comme clé de chiffrement. Le flux de clés est réutilisé lors du chiffrement de chaque champ.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est clair que le groupe “FIN8 continue d'améliorer ses capacités en affinant et en actualisant ses méthodes, techniques et procédures. Le fait que ce groupe ait utilisé une version modifiée de la porte dérobée « Sardonic » plusieurs mois après l'apparition de celle-ci confirme une fois de plus que celle-ci fait l'objet d'améliorations et de mises à jour régulières.
Comme le souligne Symantec, le fait que ce groupe soit passé des attaques visant les terminaux de paiement au déploiement de rançongiciels met en évidence sa détermination et sa volonté de maximiser ses profits. »
3. Les acteurs chinois de l'espionnage informatique font évoluer leurs tactiques pour éviter d'être détectés
Mandiant observe les différentes stratégies mises en œuvre par les groupes de cyberespionnage chinois afin de réduire au minimum les risques de détection et de compliquer l'attribution de la responsabilité. D'après leur analyse, des groupes chinois exploitent des failles « zero-day », ciblent les routeurs et recourent à d'autres méthodes pour acheminer et dissimuler le trafic interne et externe au sein des réseaux de leurs victimes.
La Chine se concentre sur les logiciels de réseau, de sécurité et de virtualisation
Mandiant estime que, dans les incidents 2021 et 2022, les attaques de cyberespionnage menées par des acteurs chinois ont exploité des vulnérabilités « zero-day » ciblant principalement les technologies de sécurité, de réseau et de virtualisation.
Le fait de cibler ces appareils offre de nombreux avantages tactiques à un acteur malveillant. Les dispositifs de sécurité et de mise en réseau étant des périphériques de périphérie — c'est-à-dire accessibles depuis Internet —, un acteur malveillant peut y obtenir un accès initial sans qu'aucune intervention humaine ne soit nécessaire. Cela réduit les risques d'être repéré.
Comme le souligne Mandiant, les appareils périphériques et les logiciels de virtualisation peuvent être plus difficiles à surveiller. Certaines ne prennent peut-être pas en charge les solutions EDR, ce qui réduit encore davantage les chances de détection. Deux campagnes relativement récentes mettent en évidence les stratégies remarquables auxquelles ont recours les acteurs malveillants chinois pour optimiser leur discrétion.
La UNC3886 e a exploité deux failles « zero-day » lors d'opérations complexes menées contre des cibles difficiles
Mandiant a enquêté sur des incidents survenus en 2022 , au cours desquels l'acteur de cyberespionnage UNC3886 a utilisé plusieurs vecteurs d'attaque et deux failles « zero-day » pour s'assurer une présence persistante et accéder à des environnements virtualisés. Cet acteur malveillant a principalement ciblé des entreprises du secteur de la défense, des technologies et des télécommunications aux États-Unis et en Asie.
Cet acteur malveillant a limité sa présence sur les réseaux aux dispositifs de sécurité Fortinet et aux technologies, dispositifs et plateformes de virtualisation VMware, qui ne disposent généralement pas de solutions EDR. Les logiciels malveillants et les exploits sur mesure de l'acteur malveillant visaient en priorité à contourner les journaux et les contrôles de sécurité ; ils effaçaient et modifiaient les journaux et désactivaient la vérification du système de fichiers au démarrage.
UNC4841’s : l'exploitation de la faille Barracuda ESG commence discrètement, puis devient agressive
L'acteur présumé de cyberespionnage chinois « UNC4841 » a exploité une vulnérabilité « zero-day » dans les appliances Barracuda ESG dans le cadre d'une campagne visant à la fois des organismes publics et des entreprises privées à travers le monde. À plusieurs reprises, Mandiant a constaté que l'acteur recherchait des données de messagerie présentant un intérêt avant de les préparer en vue de leur exfiltration.
L'acteur malveillant a cherché à dissimuler certains aspects de ses activités de multiples façons.
- L'auteur de la menace a envoyé des e-mails contenant des fichiers TAR spécialement conçus pour exploiter la vulnérabilité de Barracuda, ce qui lui a permis d'exécuter des commandes système arbitraires avec les privilèges élevés du produit ESG.
- Le groupe a également développé des logiciels malveillants sur mesure en utilisant des conventions de nommage similaires à celles des fichiers ESG légitimes, avant d'insérer un code de porte dérobée personnalisé dans des modules Barracuda légitimes.
- Dans certains cas, l'auteur de la menace a utilisé des certificats SSL temporaires légitimes et auto-signés, fournis sur les appareils ESG à des fins de configuration, ainsi que des certificats volés dans les environnements des victimes, afin de dissimuler le trafic C2 .
L'acteur malveillant a réagi de manière assez agressive face aux mesures correctives mises en place et à la divulgation publique de ces faits. Après la divulgation de la vulnérabilité « Barracuda » et la mise en œuvre des premières mesures correctives, l'acteur malveillant a réagi en modifiant rapidement son logiciel malveillant sur mesure, en recourant à des mécanismes de persistance supplémentaires et en effectuant des déplacements latéraux afin de conserver son accès.
Autres exemples
Les deux incidents décrits ci-dessus ne constituent qu'une infime partie d'une liste de plus en plus longue de campagnes de cyberespionnage chinoises exploitant des failles « zero-day » dans des produits de sécurité et de réseau.
- Mandiant a signalé l'exploitation de la vulnérabilité CVE-2022-42475 (une vulnérabilité dans le SSL-VPN FortiOS de Fortinet), les premières traces remontant à octobre 2022.
- Dans le rapport « décembre 2022 », Citrix a signalé l'exploitation active de la faille CVE-2022-27518 dans son contrôleur de livraison d'applications (ADC), que l'Agence nationale de sécurité américaine (NSA) a attribuée à APT5.
- Dans l'article « mars 2022 », Sophos a signalé une exploitation active de la vulnérabilité CVE-2022-1040 dans son pare-feu, que Volexity a associée à des acteurs chinois pratiquant le cyberespionnage.
- Mandiant a enquêté sur plusieurs intrusions survenues entre le août 2020 et le mars 2021 , qui impliquaient l'exploitation de la vulnérabilité CVE-2021-22893 dans les VPN Pulse Secure.
- Dans le rapport « mars 2021 », Mandiant a identifié trois vulnérabilités « zero-day » qui ont été exploitées dans le produit Email Security (ES) de SonicWall ( ) (CVE-2021-20021, CVE-2021-20022, CVE-2021-20023). “
Des acteurs chinois dissimulent leur trafic externe et interne à l'aide de botnets et de tunnels
Mandiant recense de plus en plus souvent des cas d'opérations de cyberespionnage chinoises exploitant des botnets composés d'appareils IoT, d'appareils connectés et de routeurs compromis afin de masquer le trafic externe entre l'environnement de la victime et l'infrastructure C2 .
Ils constatent également de plus en plus souvent l'utilisation de plusieurs familles de logiciels malveillants capables de relayer discrètement le trafic des acteurs malveillants au sein d'un réseau compromis. Ces tactiques sont probablement utilisées pour échapper à la détection et compliquer l'attribution.
Un botnet servant de paravent
Des chercheurs ont identifié plusieurs exemples de groupes chinois spécialisés dans le cyberespionnage qui utilisent des botnets pour masquer le trafic entre l'acteur malveillant et le réseau de la victime. Cette activité a été observée chez APT41, APT31, APT15, TEMP.hex, Volt Typhoon et d'autres.
En voici quelques exemples :
- Dans « mai 2023 », Microsoft a fait état, sur , d’activités liées au groupe « Volt Typhoon » visant des organisations gérant des infrastructures critiques aux États-Unis. L'acteur malveillant a utilisé un botnet composé d'appareils SOHO compromis pour acheminer son trafic réseau.
- En 2023, Check Point a analysé l'acteur malveillant « Camaro Dragon » ( ) et son utilisation d'une porte dérobée personnalisée appelée « Horse Shell ». Cette opération visait des organisations européennes chargées des affaires étrangères et a permis à l'auteur de la menace de mettre en place un proxy SOCKS chiffré via SSH et de transférer des fichiers.
- En 2022, PwC a publié un rapport sur le logiciel malveillant BPFDOOR, qui recevait des commandes provenant de serveurs VPS contrôlés par un réseau de routeurs compromis basés à Taïwan. Mandiant estime que cette activité est liée à celle du groupe APT41.
- PwC a également signalé avoir observé le logiciel « » ( ) de Red Vulture et son utilisation d'un réseau de proxys partagés, baptisé « RedRelay » dans les rapports 2021 et 2022. Ce groupe correspondrait aux numéros APT15, APT25 et Ke3chang.
- Les autorités françaises et américaines ont publié des rapports mettant en évidence l'exploitation, par des acteurs soutenus par l'État chinois, de périphériques réseau pour acheminer le trafic entre l'infrastructure « C2 » et les réseaux des victimes. La note d'alerte n° 2022 des États-Unis a mis en garde contre l'exploitation de la faille « » affectant les périphériques de stockage en réseau (NAS) . La note d'information n° 2021 décrivait une campagne spécifique attribuée à la APT31e.
- ESET a fait état, dans un article intitulé « février 2021 », de la découverte d'une porte dérobée sous Linux, baptisée SideWalk, qui a été utilisée pour compromettre une université de Hong Kong. Mandiant attribue la majeure partie de cette activité à APT41.
Mandiant a également relevé des indices laissant supposer que des acteurs chinois spécialisés dans le cyberespionnage déploient des logiciels malveillants sur mesure afin de dissimuler le trafic au sein des réseaux des victimes en recourant au détournement des protocoles DNS, HTTP et TCP/IP.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La plupart des tactiques susmentionnées ne sont pas nouvelles pour les acteurs chinois de l'espionnage informatique, et elles ne leur sont pas non plus propres. » Mandiant a rassemblé ces informations dans le but de mettre en évidence la manière dont les acteurs chinois du cyberespionnage recourent à ces tactiques dans le cadre d’une « évolution plus large vers des opérations plus ciblées, plus discrètes et plus efficaces ».
Les incidents que Mandiant décrit ci-dessus constituent tous des campagnes couronnées de succès. « Cela montre que les efforts déployés par ces acteurs pour faire évoluer leurs techniques, tactiques et procédures (TTP) afin d'échapper à la détection portent leurs fruits. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur , , le forum de discussion de Taniumet pour lancer une conversation.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
