Cette semaine, la CTI couvre la bataille en cours entre Sophos et plusieurs acteurs chinois malveillants. Ensuite, CTI enquête sur une nouvelle campagne appelée CRON#TRAP qui commence par un simple e-mail d’hameçonnage. Enfin, la CTI conclut par un aperçu d’une nouvelle campagne d’hameçonnage qui recherche des informations d’identification bancaires à l’aide de Microsoft Bing.
Sophos lutte contre plusieurs acteurs chinois malveillants
Sophos a récemment divulgué des détails sur sa bataille en cours contre plusieurs acteurs chinois malveillants. Depuis plus de cinq ans, les acteurs ciblent les appareils réseau dans le monde entier, y compris ceux de Sophos. L’entreprise a attribué certains groupes d’activités aux acteurs, notamment Volt Typhoon, APT31 et APT41.
Évolution des comportements des attaquants
Sophos a identifié trois comportements d’attaquants en constante évolution :
- La première est un changement de focalisation sur les attaques bruyantes généralisées qui étaient opportunistes avec le ciblage pour des attaques plus furtives contre des cibles spécifiques.
- La deuxième observation est l’évolution de la furtivité et de la persistance, avec une attention accrue portée à la vie hors de la terre, aux cours Java rétroportés et aux chevaux de Troie à mémoire seule.
- La dernière observation porte sur les améliorations apportées à la sécurité des opérations (OPSEC).
Intrusion et reconnaissance initiales
La première attaque observée, qui s’est produite en 2018, n’était pas contre un appareil réseau, mais contre une installation de Sophos en Inde. L’attaque s’est appuyée sur un rootkit complexe, plus tard appelé Cloud Snooper, et une technique pour basculer vers l’infrastructure cloud via des agents AWS SSM mal configurés.
À l’époque, l’attaque n’était pas attribuée à un acteur particulier. Aujourd’hui, les chercheurs pensent que cette attaque était un effort chinois pour recueillir des informations afin d’aider d’autres attaques et de créer des logiciels malveillants pour cibler les appareils réseau.
Passer à la furtivité
En 2022, les acteurs ont changé de tactique pour être plus ciblés et concentrés sur des secteurs spécifiques. Les attaques utilisaient divers TTP et davantage une approche antagoniste active au lieu de l’automatisation impliquant l’exécution manuelle de commandes et de logiciels malveillants. Des techniques de persistance furtives et l’exploitation des CVE ont été utilisées tout au long de ces attaques.
Améliorations de l’OPSEC
Ces acteurs se sont améliorés pour masquer leurs activités en bloquant l’envoi de données des appareils à Sophos. À partir de 2020, les acteurs ont essayé de saboter le mécanisme de hotfix des appareils compromis et ont ensuite commencé à cibler le système de télémétrie des appareils. Globalement, les pratiques de sécurité des opérations se sont améliorées au fil du temps.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants parrainés par l’État chinois sont depuis longtemps une menace, d’autant plus qu’ils ont tendance à partager des outils et des techniques entre eux. Sophos explique que ces acteurs sont « bien dotés en ressources, patients, créatifs et inhabituellement bien informés sur l’architecture interne du firmware de l’appareil ».
Les appareils réseau Edge sont susceptibles de continuer à rester des cibles de haute valeur pour les acteurs.
CRON#TRAP infecte Windows avec une MV Linux
Dans une campagne appelée CRON#TRAP, un acteur malveillant utilise des e-mails d’hameçonnage pour déployer une boîte Linux d’émulateur rapide émulé (QEMU) personnalisée.
Selon Securonix, un fichier LNK dans l’e-mail d’hameçonnage lancera l’environnement Linux qui émule QEMU. L’instance Linux dans l’attaque est fournie avec une backdoor préconfigurée pour se connecter automatiquement au serveur C2 de l’acteur.
Infection initiale
Bien que non confirmée, Securonix pense que l’attaque a commencé avec un e-mail d’hameçonnage contenant un lien pour télécharger un fichier .zip. Le fichier .zip lui-même était sur le thème de l’enquête et volumineux à 285MB.
Une fois que la victime a extrait le fichier, un raccourci et un répertoire « données » contenant le répertoire d’installation QEMU s’affichent. Le fichier de raccourci renvoie à PowerShell et exécute une commande pour extraire le fichier téléchargé et exécuter un fichier par lots. Ce fichier batch affiche une fausse erreur de serveur pour l’utilisateur lors de l’exécution du processus QEMU pour initier l’environnement Linux.
Document Lure/QEMU
Une fausse erreur de serveur apparaît à la victime comme un attrait convaincant. Bien que le processus QEMU ait été renommé, il est légitime et signé numériquement avec un certificat valide.
PivotBox : environnement Linux de l’attaquant
Securonix a pu interagir avec le système d’exploitation car la connexion automatique était activée. La bannière de message affiche la « boîte pivot » et une commande « options ». Cette commande d’options affiche deux commandes pour interagir avec l’hôte.
Par défaut, Linux stocke un journal de toutes les commandes exécutées dans le répertoire de profil de l’utilisateur. Les chercheurs ont pu suivre un enregistrement des commandes utilisées, ce qui signifie que cet acteur manquait d’une sécurité opérationnelle de base et n’avait pas effacé l’historique.
Une liste complète des commandes se trouve dans le rapport de Securonix. À un niveau élevé, il y avait des commandes pour installer des outils, manipuler et exécuter des charges utiles, établir la persistance, exfiltrer des données, etc.
Ciseau
Un binaire est exécuté lorsque l’instance QEMU Linux démarre. Les chercheurs ont déterminé que ce fichier binaire est un « client Chisel préconfiguré conçu pour se connecter à un serveur C2 distant via WebSockets ».
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne est rapidement passée d’un simple e-mail d’hameçonnage à un environnement Linux émulé. Ce n’est pas la première fois qu’un acteur abuse de QEMU, mais cela semble être l’une des premières fois qu’il est utilisé pour des choses en dehors de l’exploration cryptographique.
Le fait que la campagne commence probablement par le phishing peut permettre aux défenseurs et aux utilisateurs finaux d’identifier la menace avant qu’elle n’aille trop loin.
Les acteurs malveillants tirent parti de Bing pour l’hameçonnage
Malwarebytes a récemment identifié une nouvelle campagne d’hameçonnage qui recherche des informations d’identification bancaires. La campagne cible les victimes à l’aide d’une publicité malveillante, en particulier sur le moteur de recherche Bing de Microsoft.
Les pages d’hameçonnage sont renvoyées sur la première page des résultats et, dans certains cas, comme résultats de recherche principaux.
Malwarebytes a identifié la campagne d’hameçonnage sur 29 novembre. Si un utilisateur recherche la « connexion KeyBank » à l’aide de Bing, le premier résultat est un lien malveillant qui prétend être le site de connexion KeyBank légitime. Le domaine a été enregistré environ deux semaines auparavant.
Indexation et masquage
Les robots d’indexation Web et les scanners qui visitent le lien malveillant sont dirigés vers un site destiné aux utilisateurs que l’acteur malveillant n’est pas intéressé par ces robots d’indexation et scanners raclent et indexent le contenu de cette page et l’identifient comme une page propre. Cependant, les victimes sont immédiatement redirigées vers le véritable site malveillant en fonction des attributs de l’utilisateur, y compris l’adresse IP.
Le véritable site d’hameçonnage utilise la marque KeyBank légitime et imite étroitement la véritable page de connexion. Le remplissage du formulaire sur ce site envoie immédiatement les données à l’acteur malveillant.
Contournement de la MFA
De nombreuses campagnes d’hameçonnage tentent de contourner l’ authentification multifacteur (AMF). Dans cette campagne, la page d’hameçonnage affiche un message à la victime indiquant que sa connexion Internet est mauvaise. Ce message est une distraction pour cacher ce qui se passe réellement.
Dans les coulisses, l’acteur se connecte au compte de la victime et est invité à saisir un code MFA. Sur un autre écran, la victime est invitée à saisir le code d’accès à usage unique, qui est immédiatement envoyé à l’acteur malveillant.
Pour aller plus loin, cette campagne d’hameçonnage demande également à la victime de saisir/répondre à ses questions de sécurité. L’acteur malveillant peut encore abuser de ces informations.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Bien que cette campagne soit spécifique à Bing, des schémas d’hameçonnage similaires sont désormais menés sur la plupart des moteurs de recherche.
Une chose que Malwarebytes souligne est la rapidité avec laquelle un site malveillant peut atteindre le sommet des résultats de recherche. Dans ce cas, il n’a fallu que deux semaines pour être affiché avant le site Web légitime de la banque.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
