Dans le résumé de cette semaine, CTI se penche sur les logiciels malveillants Realst qui sont utilisés dans une grande campagne ciblant les ordinateurs Apple. Ensuite, la CTI met en évidence un rapport sur la manière dont les acteurs malveillants vendent des journaux d’infovol de logiciels malveillants sur les canaux dark web et Telegram. Enfin, CTI fournit un aperçu d’une nouvelle campagne de logiciels malveillants d’accès initial à l’azote qui usurpe l’identité d’un logiciel légitime pour infecter les victimes avec Cobalt Strike et des charges utiles de ransomware.
1. Le programme malveillant de vol d’informations le plus réel vise macOS Sonoma avant sa publication publique
SentinelOne a récemment analysé 59 échantillons Mach-O malveillants du logiciel malveillant Realst infostealer qui est utilisé dans une grande campagne ciblant les ordinateurs Apple.
Des chercheurs ont trouvé des échantillons de ce nouveau logiciel malveillant Rust ciblant déjà la prochaine version du système d’exploitation d’Apple, macOS 14 Sonoma. Le logiciel malveillant infecte à la fois les utilisateurs Windows et macOS via de faux jeux blockchain qui sont promus sur les réseaux sociaux.
Distribution en temps réel
L’ infostealer Realst est distribué via des sites malveillants qui font la publicité de jeux de blockchain contrefaits tels que Brawl Earth, WildWorld, Dawnland, Destruction, Evolion, Pearl, Olymp of Reptiles et SaintLegend.
Chaque version du faux jeu est hébergée sur son propre site Web avec ses propres comptes Twitter et Discord associés. Des acteurs malveillants ont également été observés en contactant directement des victimes potentielles par le biais de messages directs sur les réseaux sociaux.
À propos des programmes d’installation malveillants Realst
Certaines versions de l’infostealer sont distribuées par Evolion.pkg, qui est un programme d’installation .pkg qui contient un Mach-O malveillant et trois scripts associés.
- Un script est un infostealer Firefox multiplateforme.
- Un autre script est une copie du brise-chaîne de projet open source. Ce script extrait les mots de passe, clés et certificats de la base de données du porte-clés macOS.
- Le troisième script est un script de désinstallation barebones sans comportement malveillant réel.
Les autres versions de Realst sont distribuées via des images de disque .dmg. Des développeurs ont été observés en train d’emballer le logiciel malveillant dans les applications Electron et les bundles d’applications natives macOS.
Certains échantillons ont été coconçus avec un ID de développeur Apple spécifique qui a depuis été révoqué. D’autres échantillons sont cosignés ad hoc et continueront à être lancés, car ces signatures ne peuvent pas être révoquées à distance.
Analyse dynamique des variantes Realst
D’un point de vue comportemental, les échantillons Realst semblent similaires pour toutes les variantes. Parfois, ils utilisent différents appels d’API et ont des dépendances de variantes. Mais en fin de compte, ils exfiltrent tous les données de navigateur, les portefeuilles cryptographiques et les bases de données de porte-clés. Realst cible les navigateurs Firefox, Chrome, Opera, Brave et Vivaldi. Il peut également cibler Telegram.
La plupart des variantes Realst tentent d’obtenir le mot de passe de l’utilisateur via l’usurpation d’osascript et d’AppleScript et effectuent des vérifications pour confirmer que le périphérique hôte n’est pas une machine virtuelle. L’infostealer collecte les données et les dépose dans un dossier nommé « données ». Ce dossier apparaît à l’un des emplacements suivants, en fonction de la version du logiciel malveillant. Si le logiciel malveillant peut accéder à la permission de capture d’écran, il enregistre également une capture d’écran du bureau de la victime au même emplacement de fichier.
Analyse statique des variantes Realst
SentinelOne a identifié 16 variants différents sur 59 échantillons Realst au total et les a divisés en quatre grandes familles. Cependant, il existe de nombreux chevauchements qui leur permettraient de tracer la ligne différemment. Cela dit, ils ont choisi leur taxonomie de panne en fonction des artefacts de chaîne qui aideraient les chasseurs de menaces à identifier et détecter.
- Famille de variantes A : 31/03 échantillons tombent dans la variante A. La caractéristique déterminante de ces variantes est l’inclusion de chaînes entières liées à l’usurpation d’AppleScript. L’usurpation d’AppleScript est utilisée dans ces variantes pour saisir le mot de passe administrateur de l’utilisateur en texte clair. Il utilise l’option « réponse masquée » pour empêcher l’utilisateur de voir les caractères qu’il saisit en les remplaçant par des puces. En arrière-plan, le mot de passe est capturé et connecté en texte clair par la boîte de dialogue AppleScript. Ces échantillons incluent également des chaînes complètes liées à l’anti-analyse via la détection de MV sous la forme de hw.model.
- Famille de variantes B : 28/11 échantillons tombent dans la variante B. Ces variantes sont distinctives car elles divisent les chaînes en unités plus petites, susceptibles d’échapper à une simple détection statique. En dehors de cela, ces échantillons sont très similaires à la variante A.
- Famille de variantes C : 28/08 échantillons tombent dans la variante C. Ces variantes sont distinctives en ce qu’elles introduisent une référence au disjoncteur de chaîne dans le binaire Mach-O.
- Famille de variantes D : 29/05 échantillons tombent dans la variante D. Dans cette variante, la capture de mot de passe est plutôt gérée par une invite dans la fenêtre Terminal. Dans certains cas, le logiciel malveillant a également utilisé le mot de passe raclé pour élever les privilèges avec la commande sudo et installer le package Python pycryptodome.
Realst se prépare pour macOS 14 Sonoma
Environ un tiers des échantillons identifiés par SentinelOne contenaient des chaînes ciblant macOS 14 Sonoma.
Les artefacts de chaîne sont apparus dans la moitié des échantillons de variante A et dans tous les échantillons de variante B, mais pas dans la variante C ou D. À ce stade, on ne sait pas clairement comment la différence entre Sonoma et Ventura affecterait l’exécution de Realst.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« En tenant compte du nombre d’échantillons de Realst qui ont été identifiés et des variations entre ces échantillons, nous pouvons dire que l’acteur malveillant a investi beaucoup d’efforts dans l’infostealer.
Nous pouvons déjà voir que l’acteur malveillant planifie et se prépare pour la prochaine version du système d’exploitation d’Apple. Il est probable que nous verrions d’autres variantes de Realst entre aujourd’hui et la publication de Sonoma, car l’acteur malveillant semble modifier continuellement ses logiciels malveillants. »
2. La croissance exponentielle des logiciels malveillants infostealer : plus de 300 000 informations d’identification d’entreprise à vendre
L’entreprise de cybersécurité Flare a récemment analysé 20 millions d’ infovols de journaux de logiciels malveillants à vendre sur les canaux dark web et Telegram. Leur analyse révèle environ 375 000 journaux contenant l’accès aux informations d’identification commerciales pour des applications populaires telles que Salesforce, QuickBooks, AWS, Google Cloud, DocuSign, etc.
L’utilisation des logiciels malveillants infostealer a connu une croissance exponentielle, ce qui en fait l’une des principales tendances du secteur au cours des dernières années. Diverses variantes d’infostealer collectent des données à partir d’appareils compromis, puis regroupent et vendent ces journaux de vol sur le dark web et Telegram. L’analyse de Flare examine plusieurs ensembles de données et totalise plus de 19,6 millions de journaux voleurs.
Les niveaux d’accès aux infostealers
Flare décompose les journaux voleurs en trois niveaux en fonction du type d’informations d’identification contenues dans le journal et du type d’accès que l’acteur malveillant cherche probablement à obtenir en tirant parti de ces informations d’identification.
Journaux de niveau 1 : informations d’identification d’entreprise de grande valeur
Les gens enregistrent souvent des mots de passe dans leurs navigateurs pour en faciliter l’utilisation. Lorsqu’un programme malveillant infostealer infecte un appareil, il compromet simultanément toutes les informations d’identification enregistrées dans le navigateur. Cela peut inclure des CRM, des informations d’identification pour RDP, VPN, l’accès aux applications SaaS, etc. Les acteurs malveillants apprécient les informations d’identification de l’entreprise pour des raisons évidentes. Les courtiers d’accès initiaux (IAB) ciblent également souvent ces informations d’identification pour les revendre sur des forums web sombres.
Pour déterminer si un appareil infecté avait un accès d’entreprise à grande échelle, Flare a identifié certains indicateurs qui, selon eux, sont probablement corrélés à l’accès d’entreprise.
- Infrastructure informatique d’entreprise : Flare a commencé par rechercher des journaux pour les connexions qui avaient accès à AWS Management et Google Cloud Consoles. Cela a abouti à 181 785 journaux, dont 179 411 étaient des informations d’identification de la console AWS. Environ 75 % de ces informations d’identification apparaissaient dans des salles Telegram publiques et privées, 24 % sur le marché russe et moins de 1 % sur le marché Genesis.
- Contacts commerciaux et applications financières : une autre classification utilisée par Flare était les applications financières commerciales telles qu’Intuit QuickBooks et DocuSign. 80 099 journaux ont été identifiés avec un accès à l’une de ces applications, dont 64 000 étaient des informations d’identification DocuSign.
- Applications CRM et de données client : Flare a examiné deux des plus grands fournisseurs CRM, notamment Salesforce et Hubspot, et a trouvé 66 000 journaux contenant l’accès au CRM au total, dont environ 23 000 contenaient l’accès aux comptes Salesforce.
- OpenAI et ChatGPT : Flare a également recherché des journaux voleurs contenant openai[.]com] et a trouvé plus de 200 000 journaux.
Journaux de niveau 2 : services bancaires et financiers
Ces journaux incluent des informations d’identification pour les grandes banques qui sont à leur tour utilisées par les acteurs malveillants pour voler de l’argent sur les comptes des consommateurs. Ceux-ci sont vendus pour une moyenne de 112 USD sur Genesis Market, contre une moyenne de 15 USD sur tous les journaux.
Selon Flare, il s’agit du deuxième type de journaux voleurs le plus apprécié. Flare a analysé 213 entreprises de services financiers pour déterminer quel pourcentage disposait de journaux avec leurs domaines inclus dans un journal voleur et comment le prix de ces journaux différait. Ils ont découvert que l’appareil infecté moyen à vendre sur Genesis Market qui comprenait une connexion aux services financiers était répertorié pour environ 112 USD, contre seulement 14 USD pour ceux qui n’en avaient pas. Les 50 principales banques américaines disposent d’environ 200 000 journaux de vol associés aux connexions bancaires des consommateurs.
Journaux de niveau 3 : applications grand public
Les acteurs malveillants utilisent ces journaux pour accéder aux applications VPN grand public, aux services de streaming et à d’autres applications. Il s’agit des journaux les moins valorisés, et ils se vendent généralement entre 10 et 15 USD par fichier journal.
Flare a analysé les 50 domaines les plus courants dans son échantillon de journaux voleurs. Google, Gmail, Facebook et Microsoft se classent en haut de la liste et ont généralement des journaux voleurs associés. Amazon, Netflix, Instagram, PayPal et plusieurs autres personnes se sont également rapprochées du sommet de la liste.
Où les journaux des voleurs sont-ils distribués ?
Les journaux des voleurs sont répartis en quatre catégories, y compris les canaux de journaux Telegram publics, les canaux Telegram privés, le marché russe et le marché Genesis.
- Les « journaux » de télégramme publics sont des canaux de télégramme accessibles au public qui fournissent des téraoctets de journaux voleurs par mois. Cela inclut principalement les journaux de niveau 3 .
- Les canaux de télégramme privés sont hébergés par des acteurs malveillants pour distribuer de grandes quantités de journaux avec un modèle d’abonnement mensuel pour monétiser l’accès. Il s’agit généralement de journaux de plus grande valeur, et le canal est uniquement sur invitation et généralement limité à seulement 25 à 30 utilisateurs.
- Russian Market est un marché en ligne sombre spécialisé dans la vente d’accès aux appareils et aux informations. Le forum tarife tous les journaux de manière égale à 10 USD par journal.
- Genesis Market fonctionnait comme un marché Web clair avant son récent retrait par les forces de l’ordre. Elle a plus récemment fonctionné entièrement sur Tor. Ce forum fournissait des données de journal plus structurées et analysées et disposait d’une interface permettant aux acteurs malveillants de cloner l’empreinte digitale du navigateur d’une victime. Les prix des journaux sur ce forum variaient en fonction du journal.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il y a eu de nombreuses campagnes d’infostealer à l’honneur ces dernières années, il n’est donc pas surprenant que les recherches de Flare aient fait monter un nombre aussi élevé de journaux voleurs sur diverses plateformes couramment utilisées par les acteurs malveillants.
Le rapport de Flare n’entre pas dans les détails des journaux provenant de quelle variante d’infostealer, ce qui est probablement dû au fait qu’il y a tant d’infostealers de nos jours, de nouvelles variantes émergeant régulièrement. Même sans ces informations, il est époustouflant de voir combien d’argent un acteur malveillant gagne sur une seule information d’identification. Cela met en perspective à quel point ces opérations sont lucratives pour les cybercriminels. »
3. Google Ads lance de nouveaux programmes malveillants à l’azote pour les attaques par ransomware
Sophos a publié un rapport sur une nouvelle campagne de logiciels malveillants d’accès initial à l’azote qui exploite la publicité malveillante et usurpe l’identité de logiciels légitimes pour infecter les victimes avec Cobalt Strike et des charges utiles de ransomware. La campagne est principalement opportuniste et cible les utilisateurs recherchant des outils informatiques spécifiques sur Google ou Bing.
À propos de la famille des logiciels malveillants Nitrogen
Sophos a découvert une nouvelle famille de logiciels malveillants d’accès initial appelée Nitrogen pendant son enquête. Le nom Azote est dérivé des composants des informations de débogage qui ont été trouvées dans de nombreux échantillons, indiquant que les développeurs font référence à ce projet comme Azote ou Azote.
Les principaux composants utilisent les noms de classe suivants : NitrogenStager, MsfPythonStager, NitronetNativeStager et NitroInstaller.
La chaîne d’infection commence par une mauvaise publicité via des publicités Google ou Bing. Il tente d’attirer les victimes vers des sites WordPress compromis ou des pages d’hameçonnage. Les sites se font souvent passer pour des sites de distribution de logiciels pour inciter les utilisateurs à télécharger des programmes d’installation ISO trojantés. Ces installateurs chargent ensuite latéralement la DLL NitrogenInstaller malveillante, qui contient une application logicielle légitime groupée avec un environnement d’exécution Python malveillant. La campagne dépose une coque Meterpreter et des balises Cobalt Strike sur le système ciblé.
La campagne exploite les publicités Google et Bing à la demande pour se faire passer pour des sites Web. Il semble cibler les utilisateurs informatiques, car les sites usurpés incluent les installateurs VPN AnyDesk, WinSCP et Cisco AnyConnect. Une instance exploite également un programme d’installation trojanisé pour TreeSize Free.
- Exemple WinSCP : lorsqu’un utilisateur a recherché Google pour WinSCP, une publicité Google faisait référence à « Transfert de fichiers sécurisé – pour Windows » sur une page d’hameçonnage qui usurpe l’identité des conseils pour les administrateurs système. Lorsque l’utilisateur clique sur la publicité sur cette page, elle les redirige vers une fausse page de téléchargement pour WinSCP et dépose un fichier ISO malveillant sur le système.
- Exemple Cisco AnyConnect : Outre les pages d’hameçonnage, l’acteur malveillant a également hébergé des logiciels malveillants sur des sites WordPress compromis. Dans un cas, ils ont utilisé un site compromis pour imiter le site de téléchargement Cisco légitime pour Cisco AnyConnect. Le lien de téléchargement sur ce site redirigerait ensuite vers une page d’hameçonnage, fournissant le package d’azote malveillant.
Chargement latéral DLL
Lorsque les victimes téléchargent les programmes d’installation trojantés, ils tombent sous forme d’images ISO sur la machine infectée. Ces fichiers se montent ensuite dans l’Explorateur Windows et peuvent être mappés sur un lecteur où le contenu sera alors disponible. L’un des fichiers de l’image ISO est l’outil Windows msiexec.exe renommé install.exe ou setup.exe.
Lorsque cela est exécuté, il chargera latéralement le fichier msi.dll malveillant (alias NitrogenInstaller) qui est stocké dans la même image. Dans cette campagne, l’acteur malveillant utilise la proxying DLL en transmettant les fonctions exportées vers le fichier msi.dll légitime.
Installateur d’azote
Le fichier msi.dll chargé latéralement, appelé NitrogenInstaller, supprimera un programme d’installation propre pour l’application de décoy légitime ainsi que deux packages Python, l’un étant légitime et l’autre malveillant. Le package Python légitime est nécessaire pour exécuter le code Python plus tard dans la chaîne d’infection. Elle tentera également d’élever ses privilèges en exécutant un bypass UAC qui est courant dans diverses familles de logiciels malveillants et de rançongiciels. La DLL NitrogenInstaller créera ensuite une clé d’exécution de registre pour établir la persistance.
Pour charger la DLL NitrogenStager dans le package Python malveillant, les acteurs malveillants ont exploité le préchargement de la DLL. Cela tire parti de l’ordre de recherche DLL de Windows lorsqu’une application tente de charger une bibliothèque sans spécifier de chemin complet. NitrogenStager n’est pas en mesure d’exécuter des scripts Python, car sa fonction principale est remplacée par un code de reconnexion malveillant.
C2 préproduction
Le code de reconnexion malveillant dans la fonction Py_Main s’exécutera automatiquement lors de l’exécution. On observe que NitrogenStager se connecte à C2 serveurs à l’aide de quatre protocoles différents : TCP, TCP sur SSL, HTTP et HTTPs. Le package contient un script distinct pour chaque protocole, chacun pouvant se connecter au serveur C2 , décoder les réponses et les exécuter.
Coque Meterpreter
Le script de l’étape suivante, téléchargé par la DLL NitrogenStager, est une personnalisation d’un script Meterpreter. Une fois exécuté, le script Python établit une shell TCP inverse Meterpreter, permettant aux acteurs malveillants d’exécuter à distance le code sur le système.
Sessions manuelles
Dans un cas, les acteurs malveillants ont invoqué plusieurs commandes via la session ouverte, passant à l’activité clavier pratique.
Les commandes manuelles ont récupéré un fichier ZIP à partir d’un serveur C2 . Il a également téléchargé et exécuté un environnement Python supplémentaire pour invoquer une série de scripts Python qui entraînent l’exécution en mémoire des balises Cobalt Strike. Des commandes manuelles ont également été exécutées pour effectuer la découverte et énumérer le domaine. Les sessions manuelles suspectées font référence aux scripts Python que les acteurs malveillants ont téléchargés à partir d’un serveur Cobalt Strike C2 .
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le détournement est de plus en plus populaire parmi les acteurs malveillants de nos jours, ils doivent donc clairement trouver qu’il s’agit d’une entreprise lucrative. Cette campagne de logiciels malveillants à l’azote, bien qu’elle reste plutôt opportuniste, cible les utilisateurs à la recherche d’utilitaires informatiques spécifiques qui sont couramment utilisés dans les entreprises.
Étant donné que ces publicités ont tendance à apparaître comme résultats promus dans les moteurs de recherche, CTI recommande d’éviter de cliquer sur les résultats promus, en particulier lorsque vous recherchez des téléchargements. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
