Cette semaine, CTI revient sur la lutte qui oppose actuellement Sophos à plusieurs acteurs malveillants chinois. CTI se penche ensuite sur une nouvelle campagne baptisée « CRON#TRAP », qui débute par un simple e-mail de hameçonnage de type « » : (s'ouvre dans un nouvel onglet). Enfin, CTI conclut par un aperçu d'une nouvelle campagne de hameçonnage visant à dérober des identifiants bancaires via Microsoft Bing.
Sophos lutte contre plusieurs acteurs malveillants chinois
Sophos a récemment publié (s'ouvre dans un nouvel onglet) des informations concernant sa lutte actuelle contre plusieurs acteurs malveillants chinois. Depuis plus de cinq ans, des pirates s'attaquent aux équipements réseau à l'échelle mondiale, y compris ceux de Sophos. La société a attribué certains groupes d'activités à des acteurs, notamment Volt Typhoon, APT31, ainsi que APT41.
L'évolution des comportements des attaquants
Sophos a identifié trois grands types de comportements des attaquants qui évoluent :
- Le premier est un changement d'orientation : on passe d'attaques généralisées et bruyantes, menées de manière opportuniste sans ciblage précis, à des attaques plus discrètes visant des cibles spécifiques.
- La deuxième observation concerne l'évolution des techniques de dissimulation et de persistance, avec une attention accrue portée à l'autonome, aux classes Java dotées de portes dérobées et aux chevaux de Troie fonctionnant uniquement en mémoire.
- La dernière remarque concerne les améliorations apportées à la sécurité des opérations (OPSEC).
Intrusion initiale et reconnaissance
La première attaque observée, qui s'est produite en 2018, ne visait pas un périphérique réseau, mais un site de Sophos en Inde. Cette attaque a exploité un rootkit complexe, baptisé par la suite « Cloud Snooper », ainsi qu’une technique permettant de s’introduire dans l’infrastructure cloud via des agents AWS SSM mal configurés.
À l’époque, cette attaque n’avait pas été attribuée à un acteur en particulier. Aujourd'hui, les chercheurs estiment que cette attaque s'inscrivait dans le cadre d'une opération chinoise visant à recueillir des renseignements afin de faciliter de futures attaques et de créer des logiciels malveillants destinés à cibler des équipements réseau.
Passer en mode furtif
En 2022, les acteurs ont changé de stratégie pour adopter une approche plus ciblée et se concentrer sur des secteurs spécifiques. Ces attaques ont fait appel à diverses techniques, tactiques et procédures (TTP) et ont privilégié une approche plus active de la part des attaquants, plutôt qu'une automatisation, impliquant l'exécution manuelle de commandes et de logiciels malveillants. Des techniques de persistance furtives et l'exploitation de vulnérabilités CVE ont été utilisées tout au long de ces attaques.
Améliorations en matière d'OPSEC
Ces acteurs parviennent de mieux en mieux à dissimuler leurs activités en bloquant l'envoi de données depuis les appareils vers Sophos. À partir de la version 2020, les pirates ont tenté de saboter le mécanisme de correctif d'urgence des appareils compromis, puis se sont tournés vers le système de télémétrie de ces appareils. Dans l'ensemble, les pratiques en matière de sécurité des opérations se sont améliorées au fil du temps.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs malveillants soutenus par l'État chinois constituent depuis longtemps une menace, d'autant plus qu'ils ont tendance à partager leurs outils et leurs techniques entre eux. Sophos explique que ces acteurs sont « dotés de ressources importantes, patients, créatifs et possèdent une connaissance exceptionnelle de l'architecture interne du micrologiciel de l'appareil ».
Les équipements réseau en périphérie devraient continuer à constituer des cibles de premier ordre pour les acteurs malveillants.
CRON#TRAP infecte Windows à l'aide d'une machine virtuelle Linux
Dans le cadre d’une campagne baptisée « » (CRON#TRAP), un acteur malveillant utilise des e-mails de hameçonnage pour déployer une machine Linux personnalisée utilisant un émulateur QEMU.
Selon Securonix, un fichier LNK contenu dans l’e-mail de hameçonnage lancera l’environnement Linux qui émule QEMU. L'instance Linux visée par l'attaque est équipée d'une porte dérobée préconfigurée permettant de se connecter automatiquement au serveur C2 de l'auteur de l'attaque.
Infection initiale
Bien que cela ne soit pas confirmé, Securonix estime que l'attaque a débuté par un e-mail de hameçonnage contenant un lien permettant de télécharger un fichier .zip. Le fichier .zip lui-même, dont le thème était lié à un sondage, était volumineux ( 285MB,
). Une fois que la victime a décompressé le fichier, elle découvre un raccourci et un répertoire « data » contenant le répertoire d'installation de QEMU. Le fichier de raccourci renvoie vers PowerShell et exécute une commande permettant d'extraire le fichier téléchargé et d'exécuter un fichier batch. Ce fichier batch affiche une fausse erreur de serveur à l'utilisateur pendant l'exécution du processus QEMU destiné à lancer l'environnement Linux.
Document Lure/QEMU
Une fausse erreur de serveur s'affiche à l'écran de la victime, lui servant de leurre convaincant. Bien que le processus QEMU ait été renommé, il est légitime et signé numériquement à l'aide d'un certificat valide.
PivotBox – Environnement Linux de l'attaquant
Securonix a pu interagir avec le système d'exploitation car la connexion automatique était activée. La bannière d'affichage indique « PivotBox » et comporte une commande « options ». Cette commande d'options affiche deux commandes permettant d'interagir avec l'hôte.
Par défaut, Linux enregistre un journal de toutes les commandes exécutées dans le répertoire de profil de l'utilisateur. Les chercheurs ont pu retrouver une trace des commandes utilisées, ce qui signifie que cet acteur ne respectait pas certaines règles élémentaires de sécurité opérationnelle et n’avait pas effacé l’historique.
Vous trouverez la liste complète des commandes dans le rapport de Securonix. D'une manière générale, il s'agissait de commandes permettant d'installer des outils, de manipuler et d'exécuter des charges utiles, d'assurer la persistance, d'exfiltrer des données, etc.
Ciseau à bois
Un fichier binaire s'exécute au démarrage de l'instance QEMU sous Linux. Les chercheurs ont établi que ce fichier binaire est un « client Chisel préconfiguré, conçu pour se connecter à un serveur C2 distant via WebSockets ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne est rapidement passée d'un simple e-mail de hameçonnage à un environnement Linux simulé. Ce n’est pas la première fois qu’un acteur malveillant exploite QEMU, mais il semble que ce soit l’une des premières fois où cet outil est utilisé à des fins autres que le minage de cryptomonnaies .
Le fait que la campagne commence probablement par une tentative d’hameçonnage peut permettre aux responsables de la sécurité et aux utilisateurs finaux d’identifier la menace avant qu’elle ne prenne trop d’ampleur.
Les cybercriminels utilisent Bing à des fins de hameçonnage
Malwarebytes a récemment identifié , une nouvelle campagne d'hameçonnage visant à dérober des identifiants bancaires. Cette campagne cible ses victimes à l'aide de publicités malveillantes, notamment sur le moteur de recherche Bing de Microsoft.
Les pages de hameçonnage apparaissent sur la première page des résultats et, dans certains cas, en tête des résultats de recherche.
Malwarebytes a identifié cette campagne de hameçonnage sur 29 novembre. Si un utilisateur effectue une recherche sur « connexion KeyBank » via Bing, le premier résultat est un lien malveillant qui se fait passer pour le site de connexion officiel de KeyBank. Le nom de domaine avait été enregistré environ deux semaines auparavant.
Indexation et cloaking
Les robots d'indexation et les scanners qui accèdent au lien malveillant sont redirigés vers un site destiné à des utilisateurs qui ne présentent aucun intérêt pour l'auteur de la menace. Ces robots et scanners extraient et indexent le contenu de cette page, puis l'identifient comme une page « saine ». Cependant, les victimes sont immédiatement redirigées vers le véritable site malveillant en fonction de leurs caractéristiques, notamment leur adresse IP.
Le véritable site de hameçonnage utilise l'identité visuelle officielle de KeyBank et imite fidèlement la véritable page de connexion. Lorsque vous remplissez le formulaire sur ce site, les données sont immédiatement transmises à l'auteur de la menace.
Contourner l'authentification à deux facteurs (MFA)
De nombreuses campagnes de hameçonnage tentent de contourner l'authentification multifactorielle (MFA) de . Dans le cadre de cette campagne, la page de hameçonnage affiche un message indiquant à la victime que sa connexion Internet est de mauvaise qualité. Ce message sert à détourner l'attention afin de dissimuler ce qui se passe réellement.
En coulisses, l'auteur de l'attaque se connecte au compte de la victime et se voit demander un code d'authentification multifactorielle (MFA). Sur un autre écran, on demande à la victime de saisir le code d'accès à usage unique, qui est immédiatement transmis à l'auteur de la menace.
Pour aller encore plus loin, cette campagne de hameçonnage demande également à la victime de saisir/répondre à ses questions de sécurité. L'auteur de la menace peut exploiter davantage ces informations.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que cette campagne concerne spécifiquement Bing, des tentatives d'hameçonnage similaires sont désormais menées sur la plupart des moteurs de recherche.
Malwarebytes souligne notamment la rapidité avec laquelle un site malveillant peut se hisser en tête des résultats de recherche. Dans ce cas précis, il n'a fallu que deux semaines pour que ce site s'affiche avant celui de la banque officielle.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d’informations sur les cybermenaces publiés sur .
