Dans le tour d'horizon de cette semaine, CTI explique en quoi l'opération de ransomware « TargetCompany » menace les serveurs ESXi à l'aide d'une nouvelle variante Linux. Dans la suite de cet article, le CTI enquête sur un acteur d'espionnage jusqu'alors inconnu, désormais identifié sous le nom de LilacSquid, qui serait impliqué dans plusieurs attaques aux États-Unis, en Europe et en Asie. Enfin, CTI examine comment les auteurs de la menace DarkGate commencent à délaisser les scripts AutoIt pour se tourner vers AutoHotkey afin d'exécuter la charge utile finale.
1. La variante Linux de TargetCompany menace les environnements ESXi à l'aide de nouvelles méthodes
L'opération de ransomware « TargetCompany » s'attaque désormais aux serveurs ESXi à l'aide d'une nouvelle variante Linux de « » : (s'ouvre dans un nouvel onglet).
La dernière variante utilise un script shell personnalisé pour déployer et exécuter des charges utiles, puis exfiltrer des données vers deux serveurs distincts contrôlés par les attaquants à des fins de sauvegarde.
Qu'est-ce que TargetCompany ?
Le groupe de ransomware TargetCompany a été découvert pour la première fois en 2021 et gère un site de divulgation de données sous le nom de « Mallox ».
À l'instar de nombreuses opérations de ransomware, TargetCompany n'a cessé de faire évoluer ses tactiques, techniques et procédures (TTP), en introduisant notamment des scripts PowerShell pour contourner l'Antimalware Scan Interface (AMSI) et en exploitant des packers-obfuscateurs totalement indétectables (FUD).
Trend Micro a découvert la variante Linux de cette opération dans le cadre d'une mission de recherche de menaces.
La variante Linux de TargetCompany
La version Linux vérifiera si le fichier exécutable dispose des droits d'administrateur. Elle ne pourra se poursuivre que si elle dispose d'un accès administrateur.
Une fois exécuté, il créera un fichier contenant des informations sur la victime, intitulé « TargetInfo.txt ». Le contenu de ce fichier est également envoyé à un serveur C2 sous la forme d'un fichier nommé « ap.php ». Ce comportement est similaire à celui de la variante Windows de TargetCompany.
Destiné aux environnements ESXi
TargetCompany s'attaque désormais aux serveurs de virtualisation afin de causer davantage de dégâts et de perturbations.
Cette variante permet de déterminer si une machine fonctionne dans un environnement VMware ESXi. Si le système fonctionne sous l'hyperviseur ESXi de VMware, les fichiers portant les extensions suivantes seront chiffrés : vmdk, vmem, vswp, vmsn, vmx et nvram. Cette variante ajoutera l'extension « .locked » aux fichiers chiffrés et placera une note de rançon.
Exécution d'un script Shell
L'enquête menée par Trend Micro (s'ouvre dans un nouvel onglet) sur la charge utile a révélé qu'un script shell est utilisé à la fois pour télécharger et pour exécuter la charge utile du rançongiciel. Ce script a été spécialement conçu pour exécuter cette variante. Ce script est également capable d'exfiltrer des données vers un serveur.
Comme indiqué, cette variante envoie les données volées à deux serveurs différents, ce qui, selon les chercheurs, s'explique par des raisons de redondance. Le script supprimera ensuite la charge utile « TargetCompany ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
TargetCompany semble cibler les environnements Linux d' , (s'ouvre dans un nouvel onglet),et afin d'élargir son vivier de cibles. Parallèlement, TargetCompany transfère des données vers deux serveurs différents afin d'augmenter ses chances de réussite — très probablement pour disposer d'un serveur de secours au cas où l'un d'entre eux serait compromis ou deviendrait indisponible. Cela pourrait s'expliquer par la multiplication des opérations de démantèlement menées par les forces de l'ordre au cours des derniers mois.
2. LilacSquid cible plusieurs secteurs
Un acteur d'espionnage jusqu'alors inconnu, désormais identifié sous le nom d' , LilacSquid (s'ouvre dans un nouvel onglet), est mis en cause dans plusieurs attaques aux États-Unis, en Europe et en Asie.
La campagne « LilacSquid » menée par l’ , accessible via (s’ouvre dans un nouvel onglet),et , vise à établir un accès à long terme dans le but de dérober des données d’intérêt. Ces attaques exploitent un outil de gestion à distance open source ainsi qu’une version personnalisée de QuasarRAT après avoir compromis des serveurs d’applications vulnérables ou utilisé des identifiants RDP compromis.
Qu'est-ce que LilacSquid ?
On estime que cet acteur malveillant, spécialisé dans l'espionnage, est actif depuis au moins 2021 et qu'il privilégie une stratégie à long terme, en s'assurant un accès durable afin de voler des données.
- Cisco Talos a signalé au moins trois attaques menées avec succès par cet acteur malveillant.
- Pour obtenir un premier accès, cet acteur exploitera soit des vulnérabilités, soit des identifiants RDP compromis.
- Une fois l'accès obtenu, l'acteur utilisera une application open source de gestion à distance, MeshAgent, ainsi qu'une variante personnalisée de QuasarRAT, identifiée sous le nom de PurpleInk.
Les chaînes d'infection de LilacSquid
La première chaîne d'infection LilacSquid commence par l'exploitation d'une application web vulnérable, tandis que la seconde débute par l'utilisation d'identifiants RDP compromis.
Dans les deux cas, une intrusion réussie entraînera le déploiement d'outils à double usage tels que MeshAgent, SSF, InkLoader et PurpleInk, qui est une version fortement personnalisée de QuasarRAT. PurpleInk fait l'objet d'un développement actif depuis 2021 et n'a cessé d'évoluer pour devenir un logiciel malveillant à part entière. Ce logiciel malveillant est obscurci et dispose de nombreuses fonctionnalités de type RAT, notamment la capacité de répertorier les processus et d’envoyer des données au C2, de mettre fin à un processus, de lancer une nouvelle application, d’obtenir des informations sur un disque, de répertorier un répertoire donné, de lire un fichier spécifié par un C2 puis d’en exfiltrer le contenu, et de remplacer ou d’ajouter du contenu à un fichier spécifié.
Ce logiciel malveillant dispose également de plusieurs moyens pour communiquer avec ses serveurs proxy, notamment en se connectant à un nouveau serveur, en envoyant des données à un serveur proxy nouveau ou existant, en se déconnectant, ainsi qu’en recevant des données provenant d’un autre serveur proxy connecté et en les traitant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'utilisation de MeshAgent par LilacSquid présente des similitudes avec celle d'un autre acteur malveillant nord-coréen appelé Andariel, qui est un sous-groupe du groupe Lazarus. D'autres similitudes entre les TTP et ce groupe suscitent certes des interrogations, mais aucun lien définitif n'a encore été établi. Cependant, le groupe Lazarus a déjà mené des attaques de grande envergure visant la chaîne d'approvisionnement (s'ouvre dans un nouvel onglet) , comme l'opération « 3CX », qui ont été rendues possibles grâce à leur accès non autorisé de longue durée.
Cela dit, l’objectif de LilacSquid, qui consiste à maintenir un accès à long terme, pourrait aller au-delà des activités d’espionnage et « ouvrir la voie à des atteintes à la chaîne d’approvisionnement ».
3. Le logiciel malveillant DarkGate remplace AutoIt par AutoHotkey dans ses dernières attaques
Selon Trellix (s'ouvre dans un nouvel onglet), les attaques exploitant le logiciel malveillant DarkGate (s'ouvre dans un nouvel onglet) commencent à délaisser les scripts AutoIt pour se tourner vers la boîte à outils AutoHotkey afin d'exécuter la charge utile finale.
Une analyse plus approfondie des campagnes utilisant cette nouvelle technique a également permis de mettre au jour certains serveurs hébergeant à la fois des échantillons de DarkGate et de PikaBot, ce qui laisse penser que l'auteur pourrait utiliser l'un comme solution de secours pour l'autre.
Le développeur du MaaS DarkGate, RastaFarEye, a été banni de plusieurs forums clandestins vers la fin de l'année 2023 , à la suite de nombreuses plaintes concernant ses services. Malgré cela, le logiciel malveillant DarkGate a continué à se propager et à être détecté dans la nature. On pense que RastaFarEye aurait adopté d'autres noms pour continuer à commercialiser sa gamme de produits ainsi que de nouveaux articles.
La chaîne d'exécution de DarkGate
Les campagnes DarkGate évoluent fréquemment afin de s'adapter à l'évolution du paysage des menaces. Par exemple, ce logiciel malveillant a déjà eu recours au chargement latéral de fichiers AutoIt3 ou DLL pour déployer la charge utile finale. Dans des campagnes plus récentes, le logiciel malveillant utilise AutoHotkey, un interpréteur de scripts, pour se déployer en trois étapes :
- La première phase de l'attaque varie selon chaque campagne. Dans le cadre de ses dernières campagnes, , l'acteur utilise des e-mails de hameçonnage contenant des pièces jointes au format Excel ou HTML qui incitent la victime à cliquer sur un bouton permettant de télécharger une macro VBScript.
- La deuxième étape est le script VBScript, qui ne contient que quatre lignes de code proprement dit, chargées d'exécuter une commande PowerShell.
- La troisième étape consiste en un script PowerShell chargé de télécharger trois fichiers : l'interpréteur légitime d'AutoHotkey, un script AutoHotkey et un fichier en texte brut. Ces fichiers servent à récupérer la charge utile de DarkGate.
À propos de DarkGate v6
DarkGate v6 a bénéficié de la plus importante mise à jour depuis la quatrième version, avec des modifications apportées à la configuration, aux techniques d'évasion et aux commandes prises en charge. Le changement le plus important réside dans la refonte de l'ensemble du code principal et dans la manière dont les commandes sont traitées.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le logiciel malveillant DarkGate continue d'évoluer et de s'adapter aux nouvelles tendances, comme en témoigne l'abandon progressif d'AutoIt.
Ce qui est intéressant, c'est que ces campagnes reposent toujours sur une interaction manuelle de l'utilisateur pour activer les macros d'un document et déclencher ainsi la chaîne d'infection. Ainsi, même si le logiciel malveillant lui-même est susceptible d'évoluer, la chaîne d'attaque — ou du moins l'accès initial — semble provenir d'.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
