Dans le résumé de cette semaine, CTI examine la découverte d’un cheval de Troie d’accès à distance (Remote Access Trojan, RAT) précédemment inconnu, que les chercheurs en cybersécurité appellent SharpRhino. Ensuite, la CTI met en évidence un rapport Sophos qui détaille comment les groupes de ransomwares deviennent de plus en plus agressifs. Enfin, CTI enquête sur une nouvelle campagne d’hameçonnage qui exploite les liens Google Drawings et WhatsApp pour échapper à la détection.
1. SharpRhino RAT menace les administrateurs informatiques
L’équipe de réponse aux cyber-incidents de Quorum a récemment découvert un logiciel malveillant précédemment inconnu que le groupe appelle désormais SharpRhino.
L’attaque a été attribuée à un acteur nommé Hunters International. Le groupe fournit le RAT SharpRhino aux victimes à l’aide d’un domaine de typosquattage prétendant être l’outil open source Angry IP Scanner.
Qui est Hunters International ?
Selon Quorum Cyber, Hunters International est le 10e groupe de ransomwares le plus actif en 2024. Le groupe, qui a été observé pour la première fois en 2023, est considéré comme connecté à l’opération défunte de ransomware Hive basée en Russie.
Hunters International fonctionne comme de nombreuses opérations de ransomware en tant que service (RaaS), en chiffrant les fichiers et en exfiltrant les données des environnements victimes. Le chiffreur du groupe a été développé en rouille et a un haut niveau de sophistication. Hunters International a ciblé des organisations à travers le monde et dans divers secteurs.
Analyse RAT SharpRhino
Le logiciel malveillant initial, un fichier appelé “ipscan-3,9,1-setup.exe, est un programme d’installation Nullsoft avec une archive à extraction automatique.
- Programme d’installation NSIS : les victimes téléchargent SharpRhino pensant qu’elles installent le programme d’installation AngryIP légitime. Le programme d’installation contient une archive protégée par mot de passe qui est extraite à l’aide de 7za.exe et 7za.dll intégrés.
- Persistance : le logiciel malveillant établit la persistance en modifiant une clé d’exécution de registre. Il modifie le registre avec un raccourci pour « Microsoft.AnyKey.exe » qui est rempli du Microsoft Visual Studio 2019 légitime.
- Installations multiples : le programme d’installation crée deux répertoires, dont WindowsUpdater24 et LogUpdateWindows. Les deux répertoires ont des binaires et des fichiers qui sont ensuite utilisés pour la communication C2 . La création de deux répertoires au lieu d’un est susceptible d’entraîner une persistance supplémentaire.
- Exécution : le code C# du logiciel malveillant est fortement masqué. Le code source se charge dans un environnement de développement intégré (IDE) et, une fois exécuté, envoie une demande HTTP POST avec des données de demande JSON. Quorum Cyber a déterminé que le logiciel malveillant répond à deux commandes codées en dur, y compris « retard » et « sortie ». La commande de délai « reconfigurera le minuteur avant que le logiciel malveillant ne fasse une autre demande POST pour récupérer la commande suivante » et la commande de sortie existe simplement dans la boucle.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Hunters International s’est avéré être une menace importante, revendiquant déjà 134 attaques en 2024.
Une des raisons pour lesquelles le fournisseur RaaS est si performant est qu’il introduit régulièrement de nouvelles capacités à son offre, comme SharpRhino.
Cette technique n’est pas techniquement sophistiquée, mais devient incroyablement courante et est donc un rappel pour être vigilant et prudent lors de la recherche de téléchargements.
2. Les gangs de rançongiciels augmentent la pression sur les cibles
Selon un rapport de Sophos, les groupes de rançongiciels deviennent de plus en plus agressifs lorsqu’ils convainquent les victimes d’effectuer des paiements.
Les groupes de rançongiciels utilisent désormais une combinaison d’anciennes et de nouvelles tactiques, marquant une évolution claire de leur approche. Sophos décompose ces tactiques en différentes catégories, notamment la législation et les litiges, l’éthique, les dommages à la réputation, l’embarras, les données sensibles et la destruction des données.
Tactiques de législation et de contentieux
Sophos a observé plusieurs cas où les acteurs du ransomware ont une législation armée ou encouragé les victimes secondaires comme les clients ou les employés à augmenter la pression sur les organisations victimes en déposant des poursuites. Un tel exemple était un incident BlackCat dans novembre 2023 lequel l’acteur a déposé une plainte auprès de la SEC contre l’une des victimes affirmant que la société n’a pas informé l’agence de la violation.
Un autre exemple concernait le gang de ransomware Monti. Cette opération a prétendu qu’un employé de l’une des organisations compromises cherchait du matériel inapproprié, affichait l’historique du navigateur et une fenêtre PowerShell qui affichait le nom d’utilisateur de l’auteur présumé. Le gang de ransomware a ensuite déclaré qu’il signalerait l’utilisateur aux autorités si la rançon n’était pas payée.
Les acteurs des rançongiciels encouragent également les personnes dont les informations personnellement identifiables (PII) ont été exposées dans le cadre d’une violation à participer à un litige, et nomment des personnes spécifiques qu’ils prétendent responsables.
Éthique, atteinte à la réputation et tactiques d’embarras
Ces tactiques sont fréquemment observées lorsque les acteurs du ransomware prétendent être éthiques, se faire passer pour des testeurs de stylos ou se faire passer pour des audits de sécurité. Les acteurs remarqueront souvent que leurs victimes étaient « irresponsables » ou « négligentes » dans l’espoir que le public verra l’organisation sous un mauvais jour et considérera l’acteur comme bienveillant.
Sophos a observé plusieurs cas où des acteurs ont menacé de contacter des clients ou des partenaires d’une organisation compromise pour créer plus de pression. Dans ces cas, l’acteur a appliqué une pression sous plusieurs angles, y compris les médias, les clients ou les organismes de réglementation.
Données sensibles, puissance et plus encore
Les groupes de rançongiciels publient souvent des informations volées après leurs attaques. Les acteurs ont publié des informations médicales, notamment des dossiers de santé mentale, des dossiers médicaux d’enfants, des données d’analyses sanguines, etc.
Dans un exemple extrême, le groupe de rançongiciels Qiulong a publié des images de documents d’identité appartenant à la fille d’un PDG, ainsi qu’un lien direct vers son profil Instagram. Plus récemment, dans le cadre d’ janvier 2024 une menace, un acteur a menacé d’« écraser » des patients dans un hôpital spécialisé dans le cancer.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme l’indique le rapport Sophos, les opérateurs de ransomwares deviennent de plus en plus agressifs dans leurs campagnes. Il montre également comment les groupes de ransomware évoluent et utilisent des tactiques anciennes et nouvelles pour intimider les victimes.
Un grand nombre de nouvelles tactiques, telles que les appels téléphoniques et la puissance, révèlent comment les acteurs sont prêts à « déplacer les menaces de la sphère numérique vers le monde réel ». Ces tactiques montrent comment les acteurs des rançongiciels deviennent plus sophistiqués en utilisant plusieurs angles pour menacer les victimes.
3. Une nouvelle escroquerie par hameçonnage exploite Google Drawings et les liens WhatsApp
Menlo Security a découvert une nouvelle campagne d’hameçonnage qui exploite les liens raccourcis Google Drawings et WhatsApp pour échapper à la détection.
Dans cette campagne, l’acteur malveillant déploie un e-mail d’hameçonnage et demande à la victime de confirmer les informations de son compte Amazon. Elles comprennent également un graphique hébergé sur Google Drawings. Le faux site récolte finalement les informations d’identification des victimes, les informations de carte de crédit et d’autres détails personnels.
L’e-mail d’hameçonnage
Les victimes reçoivent un e-mail d’hameçonnage leur demandant de vérifier leur compte Amazon tout en affirmant qu’elles ont été suspendues pour une activité de connexion inhabituelle.
L’acteur malveillant tentera de créer un sentiment d’urgence en donnant à la victime 24 heures pour vérifier le compte ou faire face à une suspension permanente.
Le site d’hameçonnage
Si l’utilisateur clique sur un bouton pour vérifier son compte, il est dirigé vers un site d’hameçonnage qui imite la page de connexion Amazon légitime. Le lien a été créé à l’aide d’un raccourcisseur d’URL WhatsApp. L’URL raccourcie est également ajoutée à un autre service de raccourcisseur d’URL pour les codes QR dynamiques.
Vol de données
Une fois que l’utilisateur a saisi ses informations d’identification de connexion Amazon, elles sont guidées à travers quatre pages différentes, chacune visant à convaincre l’utilisateur qu’il s’engage dans une sorte d’activité pour sécuriser son compte.
Sur chacune des pages, l’acteur malveillant collecte diverses informations. Menlo note que la victime n’a pas besoin de parcourir les quatre pages pour que ses données soient volées, car les informations sont envoyées après chaque page.
Voici une ventilation du processus :
- La page Contrôle de sécurité demandera à la victime de saisir des informations telles que le nom de jeune fille de la mère, sa date de naissance et son numéro de téléphone.
- L’utilisateur sera ensuite dirigé vers une page de facturation et il lui sera demandé des informations de carte de crédit.
- Après avoir terminé les quatre pages, elles sont redirigées vers la page d’hameçonnage d’origine.
- Menlo a confirmé que « une fois les informations d’identification saisies et validées, la page Web n’est plus accessible à partir de la même adresse IP. »
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne d’hameçonnage est légèrement plus complète que les campagnes traditionnelles. Non seulement l’acteur malveillant tente de collecter des informations d’identification et des informations de carte de crédit, mais il pose également des questions de sécurité courantes comme le nom de jeune fille de sa mère. Cette information, lorsqu’elle est combinée à d’autres informations volées de base, pourrait permettre à un acteur malveillant de se connecter à d’autres comptes qui posent des questions de sécurité similaires.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
