Dans le tour d'horizon de cette semaine, CTI se penche sur la découverte d'un cheval de Troie d'accès à distance (RAT) jusqu'alors inconnu, que les chercheurs en cybersécurité ont baptisé « SharpRhino ». Par la suite, CTI met en avant un rapport de Sophos qui explique en détail comment les groupes d'auteurs de ransomware se montrent de plus en plus agressifs. Enfin, CTI enquête sur une nouvelle campagne d'hameçonnage qui utilise Google Drawings et des liens WhatsApp pour échapper à la détection.
1. Le RAT SharpRhino menace les administrateurs informatiques
L'équipe d'intervention en cas d'incident informatique de Quorum a récemment découvert un logiciel malveillant jusqu'alors inconnu, que le groupe a désormais baptisé « SharpRhino ».
Cette attaque a été attribuée à un groupe dénommé « Hunters International ». Le groupe diffuse le RAT SharpRhino « » auprès de ses victimes à l'aide d'un domaine de typosquatting se faisant passer pour l'outil open source Angry IP Scanner.
Qui est Hunters International ?
According to Quorum Cyber, Hunters International is the 10th most active ransomware group in 2024. Ce groupe, qui a été observé pour la première fois en 2023, serait lié à l'opération de ransomware « Hive », désormais dissoute, dont le siège se trouvait en Russie.
Hunters International fonctionne comme de nombreuses opérations de type « ransomware-as-a-service » (RaaS) de type « », en chiffrant les fichiers et en exfiltrant des données depuis les environnements des victimes. Le programme de chiffrement du groupe a été développé en Rust et présente un haut niveau de sophistication. Hunters International s'est tourné vers des organisations du monde entier et issues de divers secteurs.
Analyse du RAT SharpRhino
Le logiciel malveillant initial — un fichier nommé « “ipscan-3,9,1-setup.exe » — est un programme d'installation Nullsoft contenant une archive auto-extractible.
- Programme d'installation NSIS : les victimes téléchargent SharpRhino en pensant installer le programme d'installation légitime d'AngryIP. Le programme d'installation contient une archive protégée par mot de passe qui est décompressée à l'aide des fichiers intégrés 7za.exe et 7za.dll.
- Persistance : le logiciel malveillant assure sa persistance en modifiant une clé d'exécution du registre. Il modifie le registre en y ajoutant un raccourci vers « Microsoft.AnyKey.exe », qui est intégré au logiciel légitime Microsoft Visual Studio 2019.
- Installations multiples : le programme d'installation crée deux répertoires, à savoir « WindowsUpdater24 » et « LogUpdateWindows ». Ces deux répertoires contiennent des binaires et des fichiers qui seront utilisés ultérieurement pour la communication C2 . La création de deux répertoires au lieu d'un seul vise probablement à garantir une meilleure persistance.
- Exécution : le code C# du logiciel malveillant est fortement obscurci. Le code source est chargé dans un environnement de développement intégré (IDE) et, une fois exécuté, envoie une requête HTTP POST contenant des données de requête au format JSON. Quorum Cyber a déterminé que ce logiciel malveillant répond à deux commandes codées en dur, à savoir « delay » et « exit ». La commande « delay » « reconfigurera le temporisateur avant que le logiciel malveillant n'envoie une nouvelle requête POST pour récupérer la commande suivante », tandis que la commande « exit » met simplement fin à la boucle.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Hunters International s'est révélé être une menace importante, avec déjà 134 attaques à son actif sur 2024.
L'une des raisons pour lesquelles ce fournisseur de RaaS connaît un tel succès tient au fait qu'il enrichit régulièrement son offre de nouvelles fonctionnalités, comme SharpRhino.
Cette technique n'est pas particulièrement sophistiquée sur le plan technique, mais elle se généralise de plus en plus ; elle nous rappelle donc qu'il faut faire preuve de vigilance et de prudence lorsque vous recherchez des fichiers à télécharger.
2. Les groupes de ransomware intensifient la pression sur leurs cibles
Selon un rapport de Sophos intitulé « » (), les groupes de ransomware se montrent de plus en plus agressifs pour convaincre leurs victimes de payer.
Les groupes d'auteurs de ransomware ont désormais recours à une combinaison de tactiques anciennes et nouvelles, ce qui témoigne d'une évolution manifeste de leur approche. Sophos classe ces tactiques en différentes catégories, notamment la législation et les procédures judiciaires, l'éthique, l'atteinte à la réputation, l'embarras, les données sensibles et le « swatting ».
Législation et stratégies contentieuses
Sophos a constaté plusieurs cas dans lesquels des auteurs de ransomware ont utilisé la législation à des fins malveillantes ou ont incité des victimes indirectes, telles que des clients ou des employés, à intensifier la pression sur les organisations ciblées en intentant des actions en justice. Un exemple de ce type est l'affaire BlackCat, dans l'affaire « novembre 2023 », où l'auteur de l'attaque a déposé une plainte auprès de la SEC contre l'une des victimes, affirmant que l'entreprise n'avait pas signalé la violation à l'agence.
Un autre exemple concernait le groupe de ransomware Monti. Cette opération a révélé qu'un employé de l'une des organisations piratées recherchait du contenu inapproprié, en présentant l'historique de navigation à l'appui ainsi qu'une fenêtre PowerShell affichant le nom d'utilisateur du présumé contrevenant. Le groupe d'auteurs de ce rançongiciel a ensuite déclaré qu'il dénoncerait l'utilisateur aux autorités si la rançon n'était pas versée.
Les auteurs de ransomware encouragent également les personnes dont les données à caractère personnel (DCP) ont été exposées à la suite d'une violation de données à se joindre à une action en justice, et citent nommément des individus qu'ils désignent comme responsables.
Éthique, atteinte à la réputation et tactiques visant à mettre dans l'embarras
Ces tactiques sont fréquemment observées lorsque les auteurs de ransomware se présentent comme des acteurs « éthiques », se font passer pour des testeurs d'intrusion ou prétendent mener des audits de sécurité. Les acteurs soulignent souvent que leurs victimes étaient « irresponsables » ou « négligentes », dans l'espoir que le public perçoive l'organisation sous un jour défavorable et considère l'acteur comme bienveillant.
Sophos a constaté plusieurs cas dans lesquels des acteurs ont menacé de contacter les clients ou les partenaires d'une organisation piratée afin d'exercer davantage de pression. Dans ces cas-là, l'acteur a exercé des pressions sous plusieurs angles, notamment par le biais des médias, des consommateurs, des clients ou des autorités de régulation.
Données sensibles, « swatting » et bien plus encore
Les groupes d'auteurs de ransomware publient souvent les informations volées à la suite de leurs attaques. Des acteurs ont divulgué des informations médicales, notamment des dossiers relatifs à la santé mentale, des dossiers médicaux d'enfants, des résultats d'analyses sanguines, etc.
Dans un cas extrême, le groupe de ransomware Qiulong a publié des photos de pièces d'identité appartenant à la fille d'un PDG, accompagnées d'un lien direct vers son profil Instagram. Plus récemment, dans l'affaire « janvier 2024 », un cybercriminel a menacé de « swat » des patients d'un hôpital spécialisé dans le cancer.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme l'indique le rapport de Sophos, les auteurs de ransomware se montrent de plus en plus agressifs dans leurs campagnes. Cela montre également comment les groupes d'auteurs de ransomware évoluent et recourent à la fois à des tactiques anciennes et nouvelles pour intimider leurs victimes.
Bon nombre de ces nouvelles tactiques, telles que les appels téléphoniques et le « swatting », montrent à quel point ces acteurs sont prêts à « transposer les menaces de la sphère numérique vers le monde réel ». Ces tactiques montrent à quel point les auteurs de ransomware gagnent en sophistication en recourant à plusieurs stratégies pour menacer leurs victimes.
3. Une nouvelle arnaque par hameçonnage exploite Google Drawings et des liens WhatsApp
Menlo Security a découvert une nouvelle campagne de hameçonnage qui utilise , Google Drawings et des liens raccourcis WhatsApp pour échapper à la détection.
Dans le cadre de cette campagne, l'auteur de la menace envoie un e-mail de hameçonnage de type « » à l'adresse et demande à la victime de confirmer les informations relatives à son compte Amazon. Ils comprennent également un graphique hébergé sur Google Drawings. Ce site frauduleux finit par récupérer les identifiants, les informations de carte bancaire et d'autres données personnelles des victimes.
L'e-mail de hameçonnage
Les victimes reçoivent un e-mail de hameçonnage leur demandant de vérifier leur compte Amazon, sous prétexte que celui-ci a été suspendu en raison d'une activité de connexion inhabituelle.
L'auteur de la menace tentera de créer un sentiment d'urgence en accordant à la victime 24 heures pour vérifier son compte, sous peine de voir celui-ci suspendu définitivement.
Le site de hameçonnage
Si l'utilisateur clique sur un bouton pour vérifier son compte, il est redirigé vers un site de hameçonnage qui imite la page de connexion officielle d'Amazon. Ce lien a été créé à l'aide d'un raccourcisseur d'URL WhatsApp. L'URL raccourcie est également associée à un autre service de raccourcissement d'URL destiné aux codes QR dynamiques.
Vol de données
Une fois que l'utilisateur a saisi ses identifiants de connexion Amazon, il est redirigé vers quatre pages différentes, chacune ayant pour but de le convaincre qu'il effectue une démarche visant à sécuriser son compte.
Sur chacune de ces pages, l'auteur de la menace recueille diverses informations. Menlo souligne que la victime n'a pas besoin d'aller jusqu'au bout des quatre pages pour que ses données soient volées, car les informations sont transmises après chaque page.
Voici le détail de la procédure :
- La page « Bilan de sécurité » vous demandera de saisir des informations telles que le nom de jeune fille de votre mère, votre date de naissance et votre numéro de téléphone.
- L'utilisateur sera ensuite redirigé vers une page de paiement et devra saisir les informations relatives à sa carte bancaire.
- Une fois ces quatre pages remplies, ils sont redirigés vers la page d'hameçonnage d'origine.
- Menlo a confirmé que « une fois les identifiants saisis et validés, la page Web n'est plus accessible depuis la même adresse IP ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne de hameçonnage est un peu plus élaborée que les campagnes traditionnelles. Non seulement l'auteur de la menace tente de collecter des identifiants et des informations de carte bancaire, mais il cherche également à obtenir des réponses à des questions de sécurité courantes, telles que le nom de jeune fille de leur mère. Cette information, associée à d'autres données de base volées, pourrait permettre à un acteur malveillant de se connecter à d'autres comptes qui posent des questions de sécurité similaires.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
