Cette semaine, CTI enquête sur un groupe d’espionnage chinois appelé typhon de soie, qui cible désormais les solutions informatiques pour l’accès initial. Ensuite, CTI examine une campagne où les acteurs malveillants envoient de fausses notes de rançon aux cadres par courrier physique. Enfin, CTI explore une campagne d’hameçonnage de type ClickFix visant à déployer un agent Havoc Demon modifié.
Le typhon de la soie change ses tactiques
Microsoft a récemment observé un changement dans le ciblage et les tactiques, techniques et procédures (TTP) par le groupe Silk Typhoon, une organisation chinoise d’espionnage. Le groupe redirige son attention vers les services informatiques courants, y compris les outils de gestion à distance et les applications cloud, pour un accès initial.
Par exemple, le groupe abuse des clés et informations d’identification d’API volées, en particulier celles associées à la gestion des privilèges d’accès (PAM), aux fournisseurs d’applications cloud et aux entreprises de gestion des données cloud, pour compromettre les chaînes d’approvisionnement.
Le groupe a également été observé en train de prendre plusieurs mesures post-vol qui lui permettent de s’infiltrer davantage et d’exploiter les chaînes d’approvisionnement compromises, entraînant des impacts plus larges sur plusieurs organisations, notamment :
- Accès aux clients ou locataires en aval
- Utilisation de l’accès pour effectuer une reconnaissance pour l’espionnage
- Réinitialisation des comptes admin par défaut
- Implantation des web shells
- Création d’utilisateurs supplémentaires
Selon Microsoft, les victimes de l’activité en aval étaient principalement associées aux gouvernements étatiques et locaux et au secteur informatique.
Qui est le typhon de la soie ?
Silk Typhoon est un groupe chinois de cyberespionnage actif depuis au moins 2020 ans. Le groupe est connu pour « opérationnaliser rapidement les exploits pour les vulnérabilités zero-day découvertes dans les appareils Edge », selon Microsoft.
Auparavant suivi sous le nom d’hafnium, le groupe cible principalement les organisations aux États-Unis dans divers secteurs, y compris la technologie, les agences gouvernementales, etc.
Comme le note Microsoft, le groupe est incroyablement sophistiqué et « détient l’une des plus grandes empreintes de ciblage parmi les acteurs malveillants chinois. » Le ciblage large est principalement le résultat de l’approche opportuniste du groupe, qui implique la sélection de victimes potentielles parmi les opérations d’analyse des vulnérabilités. Ce groupe a démontré sa compréhension des environnements cloud par sa capacité à fonctionner avec succès au sein de ceux-ci.
Pulvérisation et utilisation abusive des mots de passe
Microsoft a également observé cet acteur obtenir un accès initial via des attaques par pulvérisation de mots de passe et d’autres techniques liées aux mots de passe.
[Lire également : la nouvelle réflexion sur la sécurité des mots de passe pourrait vous surprendre]
L’acteur mènera une activité de reconnaissance en utilisant des mots de passe d’entreprise ayant fait l’objet d’une fuite.
PTT récents
Lors de récentes attaques par typhon de soie, l’acteur obtient un accès initial en créant des exploits zero-day ou en identifiant et en ciblant les instances de services vulnérables. L’acteur semble se concentrer sur le ciblage des fournisseurs informatiques, la gestion des identités, la gestion des accès privilégiés et les solutions RMM. En janvier 2025, Microsoft a observé l’acteur exploiter spécifiquement un jour zéro dans le VPN Pulse Connect d’Ivanti.
Après avoir obtenu l’accès initial, l’acteur est connu pour utiliser des tactiques courantes pour passer du site au cloud. Pour ce faire, l’acteur est observé déverser Active Directory, voler des mots de passe dans des coffres-forts clés et faire remonter les privilèges. Microsoft a également vu l’acteur ciblant les serveurs Microsoft AADConnect (Entra Connect) à ce stade d’attaque.
Le groupe a été observé en train d’abuser des principaux de service et des applications OAuth pour exfiltrer les données d’e-mail, OneDrive et SharePoint via MSGraph. De plus, Microsoft a observé des cas où le typhon de soie compromettait les applications multi-locataires. De plus, le groupe est connu pour tirer parti des réseaux cachés pour masquer ses activités malveillantes.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’un des points clés à retenir est que les acteurs réalisent à quel point il est bénéfique pour eux de cibler une organisation qui a des clients en aval pour encore plus de compromis, augmentant considérablement la menace.
De plus, Silk Typhoon n’utilise pas d’infrastructure dédiée. Au lieu de cela, le groupe utilisera des réseaux compromis, des proxys, etc., ce qui facilitera le mélange de leurs activités malveillantes et des opérations légitimes. Cela, associé au ciblage opportuniste du groupe, fait certainement du typhon de la soie un sujet à surveiller. Il est également possible que nous commencions à voir d’autres acteurs refléter le ciblage et les TTP du typhon de la soie.
Microsoft a partagé des recommandations utiles, des conseils de recherche, des requêtes et diverses alertes Defender qui peuvent aider à identifier l’activité associée.
[Lire également : Qu’est-ce que la chasse aux menaces ? Vue d’ensemble avec un exemple concret]
Les acteurs malveillants ciblent les dirigeants avec des notes de rançon physiques
GuidePoint Security a reçu plusieurs rapports de différentes organisations concernant une fausse note de rançon envoyée par courrier physique. Ces lettres sont envoyées depuis les adresses américaines aux cadres et comprennent des détails souvent contenus dans les notes de rançon reçues numériquement.
Que contient la fausse lettre de rançon ?
Le contenu de chaque lettre est comme des notes de rançon généralement déposées sur des appareils compromis. La première partie de la lettre indique que l’acteur a eu accès aux systèmes d’entreprise de la victime et a lentement exfiltré des informations sensibles. Comme c’est le cas avec la plupart des notes de rançon, cette lettre demande au destinataire d’effectuer un paiement. Dans ce cas, le paiement est demandé sous forme de Bitcoin et inclut un code QR avec l’adresse du portefeuille. GuidePoint a vu des demandes de rançon comprises entre 250 000 USD et 350 000 USD.
Les enveloppes physiques sont marquées d’une « LECTURE SENSIBLE AU TEMPS IMMÉDIATEMENT » et comprennent un timbre drapeau américain Forever.
Indicateurs de notes de rançon
L’auteur de la lettre prétend être associé au groupe BianLian. Cependant, GuidePoint pense que cette lettre ne provient pas du groupe BianLian légitime.
Le plus grand indicateur douteux est le fait que ce serait la première fois qu’un groupe de ransomwares envoie une lettre de rançon physique. De plus, la formulation et le contenu réels de la lettre diffèrent des notes de rançon précédemment envoyées par BianLian, celle-ci ayant des structures de phrases presque parfaites en anglais et complexes.
Une autre différence notable est que cette lettre ne fournit pas de moyen de négocier des rançons ou de se connecter à l’acteur par e-mail ou sur le dark web. Enfin, GuidePoint signale que les adresses de portefeuille Bitcoin ont été nouvellement créées et n’ont pas été précédemment liées à des groupes.
[Lire également : L’art de la négociation par ransomware]
Plus important encore, GuidePoint note que « dans les cas où nous avons vu la livraison de ces lettres, nous n’avons pas observé d’activité d’intrusion connue ou suspectée reflétant les opérations de ransomware ».
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
C’est étrange de voir les acteurs malveillants revenir à des techniques très basiques et anciennes, comme l’envoi de notes par courrier physique. Généralement, les acteurs malveillants envoient des clés USB par e-mail physique qui chargeront les logiciels malveillants lorsqu’ils se connectent à un appareil.
Dans ce développement intéressant, l’acteur malveillant envoie du contenu d’ingénierie sociale par courrier physique plutôt que par un contenu véritablement malveillant. Cependant, il ne s’agit peut-être pas d’une touche d’originalité sur un classique, mais plutôt d’un autre acteur qui se contente de se faire passer pour une opération de ransomware bien connue.
Actuellement, il n’y a aucune confirmation que l’opération de ransomware BianLian envoie ces lettres. Il peut s’agir simplement d’un autre acteur malveillant qui tente de gagner un dollar rapide sans avoir à exécuter des aspects techniquement sophistiqués d’une attaque normale.
Les pirates informatiques utilisent l’astuce ClickFix pour déployer un agent Havoc Demon modifié
Fortinet a découvert une campagne d’hameçonnage de type ClickFix qui tente de déployer un agent Havoc Demon modifié.
Ce qui distingue cette campagne, c’est que l’acteur malveillant utilise SharePoint pour dissimuler chaque étape du logiciel malveillant et utilise l’API Microsoft Graph pour intégrer ses communications C2 de manière transparente.
Accès initial
Selon Fortinet, l’attaque commence par un e-mail d’hameçonnage traditionnel qui contient une pièce jointe de fichier HTML. L’e-mail lui-même crée un sentiment d’urgence en indiquant au destinataire qu’il peut être confronté à des « défis opérationnels » s’il ne consulte pas l’avis joint. Le fichier joint, Documents.html, est une attaque ClickFix typique. Il comporte un faux message d’erreur qui incitera la victime à copier, coller et exécuter PowerShell malveillant.
La charge utile
La charge utile, qui est un script PowerShell, est hébergée dans SharePoint. Lorsque la victime exécute ce script, elle confirmera d’abord s’il s’exécute dans un environnement sandbox avant de supprimer les clés de registre sous « HKCU :\Software\Microsoft » qui commencent par « zr_ » dans le nom.
Il ajoutera ensuite sa propriété spécifiée en tant que marqueur d’infection. Le script passera à l’interprétation Python, python.exe, sur l’appareil et obtiendra et exécutera le script Python distant. Cela est exécuté dans des fenêtres cachées pour éviter de faire part de soupçons à la victime.
Chargeurs Shellcode
Fortinet note que le script Python est également hébergé sur SharePoint, contient des informations de débogage et est écrit en russe. Ce script fonctionne comme un chargeur de shellcode et est exécuté via l’interprète Python dans le terminal.
Un chargeur de shellcode GitHub appelé « KaynLdr » chargera de manière réfléchissante une DLL intégrée. Son objectif principal est de compliquer l’analyse car elle utilise le hachage d’API avec un algorithme DJB2 modifié et des API ntdll résolues pour le mappage et l’allocation de mémoire.
À propos de Havoc Demon DLL
Havoc est un cadre C2 open source couramment utilisé dans les engagements d’équipe rouge.
Dans ce cas, l’acteur malveillant combine Havoc avec l’API Microsoft Graph pour masquer C2 communications. L’acteur utilise une DLL Havoc Demon modifiée et une deuxième fonction qui exploite l’API Graph pour initialiser les fichiers sur le site SharePoint.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il est intéressant que les attaques de type ClickFix deviennent de plus en plus populaires, car elles dépendent fortement de l’interaction avec les victimes. Non seulement la victime doit être piégée à l’aide d’un e-mail d’hameçonnage, mais elle doit également continuer à copier, coller et exécuter un PowerShell malveillant.
Cette attaque particulière utilise également une autre tactique populaire : tirer parti de services légitimes tels que Microsoft Graph API et SharePoint. Ces sources légitimes et familières peuvent contribuer à des taux de réussite plus élevés.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
