Cette semaine, CTI se penche sur un nouveau partenariat entre le groupe malveillant Scattered Spider et RansomHub , une opération de ransomware en tant que service (RaaS) (s'ouvre dans un nouvel onglet). Dans la suite de cet article, CTI examine comment les logiciels de vol d'informations évoluent pour contourner le chiffrement lié aux applications mis en place par Google dans Chrome. Enfin, CTI explique comment l'acteur malveillant « Evasive Panda » utilise un ensemble d'outils post-compromission jusqu'alors non documenté, appelé « CloudScout », dans le cadre de ses attaques visant à voler des cookies.
Scattered Spider s'associe à RansomHub
Un incident récent lié à la cybersécurité révèle que le groupe malveillant Scattered Spider collabore désormais avec RansomHub pour mener ses attaques.
Selon ReliaQuest (s'ouvre dans un nouvel onglet), l'acteur a atteint la phase de chiffrement dans les six heures qui ont suivi l'obtention d'un premier accès à deux comptes d'employés grâce à une technique d'ingénierie sociale (s'ouvre dans un nouvel onglet) ciblant le service d'assistance de l'organisation visée.
Qu'est-ce que « Scattered Spider » ?
Le groupe malveillant « Scattered Spider » est actif depuis au moins mai 2022. Les chercheurs estiment que ce groupe compte actuellement environ 1 000 acteurs malveillants anglophones.
Depuis sa création, les membres du groupe n'ont cessé de perfectionner leurs compétences en ingénierie sociale et de les associer à des variantes de ransomware liées à la Russie pour mener leurs attaques.
Ce groupe était auparavant affilié à l'opération de ransomware BlackCat, avant que celle-ci ne soit dissoute. Le groupe Scattered Spider utilise désormais le ransomware RansomHub dans le cadre de ses attaques.
Analyse des attaques
ReliaQuest a observé plusieurs comportements intéressants au cours de cet incident, notamment :
- L'acteur a fait preuve d'une ingénierie sociale persistante. L'accès initial a été obtenu en recourant à des techniques d'ingénierie sociale à l'encontre des membres du service d'assistance, ce qui a permis de pirater le compte du directeur financier. Après s'être rendu compte que ce compte ne disposait pas des autorisations nécessaires pour mener à bien la suite de l'attaque, l'auteur s'est tourné vers le service d'assistance et a utilisé la même technique d'ingénierie sociale pour compromettre un compte d'administrateur de domaine.
- Parmi les autres comportements notables, on peut citer l'utilisation abusive des infrastructures de télécommunications, la création d'une machine virtuelle au sein de l'environnement ESXi à des fins de déplacement latéral, ainsi que la rapidité avec laquelle les conséquences se font sentir. L'acteur a réussi à pirater le compte du directeur financier et celui de l'administrateur du domaine moins d'une heure après avoir contacté le service d'assistance.
Analyse approfondie de la tactique d'ingénierie sociale de Scattered Spider
L'auteur de l'attaque a appelé le service d'assistance informatique de l'organisation et a réussi à convaincre ses responsables de réinitialiser le mot de passe d'un compte appartenant au directeur financier de l'entreprise. Ils ont ensuite appelé le service d'assistance, ont été mis en relation avec un autre collaborateur et l'ont convaincu de réinitialiser les paramètres d'authentification multifactorielle (MFA) de (s'ouvre dans un nouvel onglet) sur le compte du directeur financier, ce qui a permis à l'acteur malveillant d'enregistrer son propre appareil pour l'authentification multifactorielle.
Après avoir constaté que ce compte ne disposait pas des autorisations nécessaires pour mener à bien une attaque, ils ont effectué une recherche sur l'ensemble du site SharePoint de l'organisation afin d'identifier un compte d'administrateur de domaine qui leur permettrait d'obtenir ce dont ils avaient besoin. Dans cette optique, l'acteur a de nouveau contacté le service d'assistance et a demandé que le mot de passe de ce compte d'administrateur de domaine, doté des privilèges de super-administrateur Okta, soit réinitialisé.
Demande de rançon via Microsoft Teams
L'acteur a mené une attaque de double extorsion en chiffrant l'environnement ESXi, en exfiltrant des données, en ciblant les solutions de sauvegarde, en chiffrant les sauvegardes sur site, en supprimant les sauvegardes dans le cloud et, enfin, en exigeant une rançon (s'ouvre dans un nouvel onglet). L'acteur a réussi à exfiltrer plusieurs gigaoctets de données via Mega Cloud.
La note de rançon différait également des attaques traditionnelles du ransomware « » (s'ouvre dans un nouvel onglet). Dans ce cas précis, l'auteur de la menace a envoyé un message Microsoft Teams à partir d'un compte d'administrateur de domaine qui avait été compromis auparavant. Ce message comportait un lien vers la demande de rançon. L'acteur a également envoyé un e-mail depuis ce même compte, dont l'objet était : « Mise à jour urgente concernant la cyberattaque ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne « Scattered Spider » comporte de nombreux éléments intéressants. Avant tout, il est évident que cet acteur évolue rapidement et que son rythme ne cesse de s'accélérer. Leurs techniques d'ingénierie sociale semblent également anodines, mais elles s'avèrent pourtant incroyablement efficaces.
De plus, la note de rançon présentée dans cet exemple n'a pas été transmise sous la forme d'un fichier README classique. Au lieu de cela, l'acteur a transmis le message via Teams et par e-mail.
ReliaQuest souligne également que des acteurs malveillants russophones et anglophones collaborent désormais, comme en témoigne ce tout dernier partenariat. D'un point de vue historique, ces deux groupes n'ont pas souvent collaboré.
Scattered Spider et RansomHub ne sont pas des menaces à prendre à la légère, surtout lorsqu’ils agissent de concert.
Les logiciels d'espionnage contournent les mesures de protection de Chrome mises à jour
Au début de cette année, Google a mis en place un chiffrement lié aux applications pour son navigateur Chrome afin de renforcer la protection des cookies contre les logiciels malveillants. Cette mesure a été mise en place principalement pour faire face à la recrudescence des logiciels malveillants de type « infostealer » visant le vol de cookies.
Elastic Security Labs (s'ouvre dans un nouvel onglet) a depuis analysé l'impact de cette évolution sur le paysage des menaces, identifiant des logiciels de vol d'informations dotés d'un nouveau code permettant de contourner cette protection et de rester compétitifs.
Contexte et chronologie
Des chercheurs ont identifié plusieurs techniques utilisées par quelques logiciels malveillants pour contourner la fonctionnalité de chiffrement liée aux applications de Google, notamment Stealc/Vidar, MetaStealer, Phemedrone, XenoStealer et Lumma.
Parmi ces méthodes figurent notamment le débogage à distance via DevTools, la lecture de la mémoire du processus du service réseau de Chrome, ainsi que l'élévation des privilèges vers le compte « » (SYSTEM) , puis le déchiffrement de la clé « » (app_bound_encryption_key).
Examinons l'évolution chronologique de ces types de logiciels malveillants et leur mode de fonctionnement :
- Stealc/Vidar : . Fin septembre, Elastic a détecté dans le logiciel malveillant Stealc, spécialisé dans le vol d'informations, un nouveau code spécifiquement lié à cette technique de contournement des cookies, quelques mois seulement après l'annonce de Google (s'ouvre dans un nouvel onglet). Ces échantillons différaient des précédents échantillons Stealc comportant des vérifications conditionnelles.
Un fichier binaire intégré crée un bureau caché, analyse et met fin à tous les processus chrome.exe, puis crée un nouveau processus chrome.exe sur ce nouveau bureau. Le logiciel malveillant sélectionnera le modèle de signature approprié pour la fonctionnalité Chromium appelée « CookieMonster ». Ce logiciel malveillant est en fin de compte responsable de l'extraction de valeurs de cookies non chiffrées dans l'un des processus enfants de Chrome. - Metastealer : Ce logiciel malveillant destiné au vol d'informations a été observé en train de mettre à jour son code afin de voler des données de Chrome, même après les nouvelles mesures d'atténuation mises en place par Google. Sur 30 septembre, l'auteur de Metastealer a annoncé sur Telegram qu'il avait amélioré sa capacité à voler des cookies, malgré les dernières modifications apportées à Chrome.
- Phemedrone : Ce logiciel de vol de données open source a fait beaucoup parler de lui pour avoir exploité la vulnérabilité Windows SmartScreen il y a peu de temps (s'ouvre dans un nouvel onglet).
Une nouvelle version du logiciel malveillant signalée en septembre semble intégrer une nouvelle fonctionnalité de vol de cookies spécialement conçue pour Chrome. - Xenostealer : Il s'agit d'un autre logiciel malveillant de type « stealer » open source, dont le développement se poursuit activement. Elastic précise que la fonctionnalité de contournement de Chrome a été introduite sur 26 septembre.
- Lumma : À la mi-octobre, une nouvelle version de Lumma a introduit des méthodes supplémentaires permettant de contourner les nouvelles fonctionnalités de protection contre les cookies de Chrome.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il s'agit là d'un excellent exemple du cycle sans fin qui oppose les acteurs malveillants et les défenseurs : les acteurs malveillants découvrent des moyens de contourner les contrôles et les fonctionnalités, les défenseurs et les éditeurs développent de nouvelles fonctionnalités pour empêcher ce type d'activité, et les acteurs malveillants mettent au point de nouvelles stratégies de contournement en réponse.
Elastic a identifié plusieurs familles de logiciels malveillants qui s'emploient activement à mettre au point des moyens de contourner le chiffrement lié aux applications de Chrome. Il est fort probable que d'autres familles de logiciels malveillants fassent bientôt preuve de capacités similaires.
Evasive Panda utilise CloudScout dans ses dernières attaques par cookies
Selon ESET (s'ouvre dans un nouvel onglet), l'acteur responsable de menaces persistantes avancées (APT) connu sous le nom d'Evasive Panda utilise désormais dans ses attaques un ensemble d'outils post-compromission jusqu'alors non répertorié, appelé CloudScout.
La suite d'outils CloudScout récupère des données (s'ouvre dans un nouvel onglet) à partir de divers services cloud à l'aide de cookies de session Web volés, et s'intègre au cadre de logiciels malveillants caractéristique de l'acteur, MgBot.
À propos d'Evasive Panda
Evasive Panda est actif depuis au moins 2012, se consacrant principalement à des campagnes de cyberespionnage.
Au début de l'article « 2023 » (s'ouvre dans un nouvel onglet), l'acteur a déployé trois modules .NET jusqu'alors inconnus, conçus pour accéder à des services de cloud public en détournant des sessions Web authentifiées. Cette technique consiste à voler des cookies dans la base de données d'un navigateur et à les utiliser d'une certaine manière pour accéder aux services cloud.
Analyse technique
CloudScout est un framework .NET dédié aux logiciels malveillants, composé de plusieurs modules ciblant divers services cloud.
À ce jour, ESET a identifié sept modules de CloudScout, bien que ces sept modules n'aient pas encore été observés sur des machines compromises. CloudScout porte la mention « copyright 2020 », ce qui laisse supposer qu'il a pu être développé à cette époque.
ESET a identifié une clé de chiffrement commune « RC4 » entre trois des modules qu'elle a analysés. Ils s'en sont servis pour déterminer que l'un des modules, CGM, avait été déployé par un plugin MgBot utilisé par Evasive Panda.
Module CommonUtilities
Au cœur de CloudScout se trouve un module appelé CommonUtilities. Ce package comprend les bibliothèques de bas niveau nécessaires au fonctionnement de chaque module. Le paquet est stocké dans la section « resources » des modules et est chargé lors de l'exécution de la fonction « ModuleStart ».
CommonUtilities comprend de nombreuses bibliothèques développées sur mesure, bien qu'il existe de nombreuses alternatives open source similaires. Ces bibliothèques offrent aux développeurs de logiciels malveillants une plus grande flexibilité et un meilleur contrôle sur le fonctionnement interne de leur implant, contrairement à d'autres solutions open source.
Authentification et récupération des données
Les plateformes Web ne fournissent pas toujours des informations claires sur les cookies. CloudScout peut récupérer les cookies de Google Drive, Gmail et Outlook si la session est toujours valide. Une fois l'authentification effectuée, l'outil explorera les services compromis à l'aide de ses modules, qui contiennent différentes requêtes Web codées en dur.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Evasive Panda » est un acteur malveillant sophistiqué, et ce depuis un certain temps déjà. Bien que la suite d'outils CloudScout semble complexe et puisse avoir un impact considérable, il convient de noter que Google a depuis intégré à Chrome des fonctionnalités de protection destinées à lutter contre les logiciels malveillants visant à voler des cookies, à l'instar de CloudScout.
Comme le souligne ESET, cela pourrait rendre cet outil obsolète. Cependant, comme pour tout le reste, si les acteurs y voient un intérêt, ils continueront à chercher des moyens de contourner ces mesures.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
