Cette semaine, CTI dévoile les détails d'une campagne d'hameçonnage qui a piégé des employés à l'aide d'un message émanant du service des ressources humaines et contenant une fausse notification de congé obligatoire. Dans la suite de cet article, CTI se penche sur la dernière version de Zloader et ses mises à jour les plus récentes. Enfin, le CTI fournit les dernières informations concernant l'acteur étatique russe connu sous le nom de « Secret Blizzard ».
Des cybercriminels se font passer pour des responsables des ressources humaines dans le cadre d'une campagne de hameçonnage
Cofense (s'ouvre dans un nouvel onglet) a récemment intercepté un e-mail de hameçonnage (s'ouvre dans un nouvel onglet) qui prétendait provenir du service des ressources humaines d'une organisation. Cet e-mail, qui contient une fausse notification de congé obligatoire, tente d'inciter les victimes à cliquer sur un lien malveillant qui télécharge le logiciel malveillant FormBook.
Détails techniques
- Selon Cofense, 55 des 72 fournisseurs présents sur VirusTotal ont signalé cet échantillon de logiciel malveillant comme étant malveillant. Ces fournisseurs indiquent que l'échantillon correspond soit à l'injecteur AutoIt, soit au logiciel malveillant FormBook.
- Une fois que la victime a cliqué sur le lien malveillant contenu dans l'e-mail, un fichier .zip se télécharge dans son répertoire de téléchargement par défaut. Le fichier utilise une double extension
.xls.zipafin de faire croire à la victime qu'il s'agit simplement d'une feuille de calcul contenant des informations qu'elle devrait ouvrir. - Le fichier .zip contient un exécutable compilé avec AutoIt. Cet exemple utilise AutoIt comme processus parent pour injecter un script dans le processus cible.
- Dans le cas analysé par Cofense, le processus ciblé était «
UtilMan.exe». Ceci sert ensuite à exécuter le logiciel malveillant FormBook en mémoire.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le montre cette campagne, les auteurs de menaces choisissent souvent leurs leurres en fonction de l'actualité mondiale. Cofense qualifie cet exemple précis de « pertinence saisonnière ».
Ce type de leurre est courant et peut s'avérer efficace. C'est pourquoi il est important de se tenir informé des dernières techniques de hameçonnage afin d'éviter des erreurs coûteuses.
Zloader bénéficie de nouvelles fonctionnalités et capacités
Des chercheurs de Zscaler (s'ouvre dans un nouvel onglet) ont découvert une nouvelle version de Zloader dotée de fonctionnalités supplémentaires. La dernière variante intègre de nouvelles fonctionnalités anti-analyse, un shell interactif et un tunnel DNS pour les communications C2 .
Qu'est-ce que Zloader ?
Zloader a été initialement conçu pour commettre des fraudes bancaires. Depuis, cette technique a évolué et est désormais utilisée pour l'accès initial.
L'année dernière, le logiciel malveillant « » a refait surface après deux ans d'absence (s'ouvre dans un nouvel onglet) , doté de nouvelles fonctionnalités. Zscaler a depuis identifié une version mise à jour de ce logiciel malveillant, la version 2,9,4,0, dotée de fonctionnalités encore plus nombreuses, notamment un nouveau protocole de tunneling DNS.
Vecteur d'infection
Selon Zscaler, la diffusion de Zloader s'effectue désormais à plus petite échelle et de manière plus ciblée — une tendance qui gagne en popularité parmi les courtiers en accès initial.
Des chercheurs ont constaté que Zloader était diffusé dans le cadre d'une chaîne d'infection qui commence par des outils de surveillance et de gestion à distance (RMM) tels que , AnyDesk (s'ouvre dans un nouvel onglet),, et Microsoft Quick Assist. Zscaler a également détecté une charge utile supplémentaire, baptisée GhostSocks, au cours de cette attaque.
Configuration de Zloader
Zscaler a découvert que la configuration statique du logiciel malveillant avait changé dans cette version et qu'elle n'était plus chiffrée à l'aide d'une clé codée en dur et en texte clair. Dans cette version, la clé doit être calculée à l'aide d'une opération XOR.
Zscaler déchiffre la configuration et met en évidence deux nouvelles sections liées à la nouvelle fonctionnalité de tunneling DNS.
Les capacités anti-analyse de Zloader
Cette nouvelle version de Zloader intègre plusieurs fonctionnalités anti-analyse :
- La première consiste en une vérification de l'environnement que l'on retrouve dans de nombreux échantillons de logiciels malveillants.
- Le deuxième point concerne la résolution des API, qui a été mise à jour dans cette version. Le résultat de la résolution de l'API est désormais calculé à l'aide d'une opération XOR.
Interprète interactif
Zscaler a également identifié un nouveau shell interactif qui permet à l'auteur de la menace d'exécuter des fichiers binaires et du shellcode, de voler des données, d'arrêter des processus, et bien plus encore. Cela permet à l'acteur malveillant d'intervenir directement sur le clavier.
Communication réseau
The malware still uses HTTPS with POST as its primary C2 communication method. Le changement le plus notable apporté au protocole C2 concerne l'ajout d'une technique de tunneling DNS. Ce logiciel malveillant utilise un protocole personnalisé s'appuyant sur le DNS et le protocole IPv4 pour acheminer le trafic TLS chiffré via un tunnel. Zloader est capable de créer et d'analyser des paquets DNS sans avoir à recourir à une bibliothèque tierce ni à l'API Windows.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Zloader a considérablement évolué depuis son apparition en 2015 dans le cadre de fraudes bancaires. La dernière version révèle une attention accrue portée à la capacité à échapper à la détection, ce qui s'inscrit dans la tendance observée cette année chez de nombreuses autres familles de logiciels malveillants.
Ces nouvelles fonctionnalités font de Zloader une solution de choix pour les acteurs malveillants à la recherche d'un courtier en accès initial. Comme le souligne Zscaler à propos de ces dernières mises à jour, « les entreprises doivent veiller à contrôler non seulement le trafic Web, mais également le trafic réseau lié au DNS ».
De nouveaux détails sont révélés au sujet de « Secret Blizzard »
Microsoft a récemment établi (s'ouvre dans un nouvel onglet) que Secret Blizzard utilisait les outils et l'infrastructure d'au moins six acteurs malveillants. Par ailleurs, Secret Blizzard cible les infrastructures utilisées par d'autres acteurs malveillants pour stocker temporairement les données exfiltrées.
Qu'est-ce que « Secret Blizzard » ?
Secret Blizzard a été associé au Centre 16 « » du Service fédéral de sécurité russe (FSB) (s'ouvre dans un nouvel onglet). Cet acteur est connu pour cibler divers secteurs à travers le monde, dans le but notamment d'obtenir un accès à long terme à des activités d'espionnage. On a observé des opérations au cours desquelles l'acteur exploitait des outils ou des infrastructures compromises appartenant à d'autres acteurs malveillants.
Activités liées à la compromission et à la phase post-compromission
Microsoft observe « Secret Blizzard » depuis le novembre 2022, alors que ce dernier utilise l'infrastructure « C2 » d'un autre acteur. L'autre acteur est un groupe d'espionnage basé au Pakistan, identifié sous le nom de Storm-0156.
Secret Blizzard a utilisé Storm-0156’s portes dérobées pour déployer ses propres portes dérobées et installer ses outils sur des serveurs privés virtuels (VPS) servant à stocker temporairement Storm-0156’s données exfiltrées. À l'heure actuelle, on ignore quel mécanisme d'accès initial Secret Blizzard utilise pour accéder à l'infrastructure de Storm-0156’s .
Les portes dérobées secrètes de Blizzard
Secret Blizzard a déployé plusieurs portes dérobées différentes sur l'infrastructure Storm-0156’s . Il s'agit notamment d'une variante de la porte dérobée TinyTurla, d'un téléchargeur personnalisé appelé TwoDash, d'un cheval de Troie personnalisé appelé Statuezy et d'un téléchargeur personnalisé appelé MiniPocket.
Dans le cadre de la campagne analysée par Microsoft, il a été constaté que Storm-0156 utilisait plusieurs portes dérobées, notamment des variantes de Wainscot, pour cibler Windows, Linux et CrimsonRAT.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Alors que la plupart des acteurs malveillants ciblent des particuliers ou des organisations, Secret Blizzard s'en prend aux infrastructures et aux outils d'autres acteurs malveillants. En substance, cet acteur cherche à tirer parti du travail déjà effectué par d'autres acteurs malveillants et à trouver un moyen facile de voler des données sans participer à l'attaque initiale.
Comme le souligne Microsoft, les données de cet acteur pourraient ne pas correspondre à ses intérêts en matière d'espionnage. Cela soulève la question suivante : pourquoi l'acteur ne passe-t-il pas par un courtier d'accès initial (IAB) ?
Microsoft a depuis publié un deuxième article intitulé « » () (s'ouvre dans un nouvel onglet) qui mérite d'être lu.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
