Dans son tour d'horizon de cette semaine, le CTI met en avant une alerte de menace mondiale concernant un acteur lié à la Chine, connu sous le nom de « APT40 ». CTI se penche ensuite sur un nouvel acteur malveillant, identifié sous le nom de CloudSorcerer, qui cible des organisations à l'aide d'un logiciel malveillant capable d'adapter son comportement en fonction de l'environnement dans lequel il est exécuté. Vous trouverez également un aperçu d'Eldorado, une opération de « ransomware-as-a-service » (RaaS) apparue en mars.
1. APT40 exploite rapidement les failles du réseau
Les agences chargées de la cybersécurité d’Australie, d’Allemagne, du Japon, de Nouvelle-Zélande, de Corée du Sud, du Royaume-Uni et des États-Unis ont publié un avis conjoint concernant le groupe APT40, lié à la Chine.
Le programme APT40 existe depuis longtemps et s'adresse à un large éventail de secteurs et de pays. Selon la dernière alerte, APT40 est capable d'exploiter rapidement les vulnérabilités récemment identifiées — souvent dans les heures ou les jours qui suivent leur divulgation publique.
Cette note d'information détaille les techniques d'espionnage qui ont été observées au sein des réseaux australiens. Le groupe mène régulièrement des opérations de reconnaissance à l'encontre de réseaux ciblés afin de repérer une occasion de lancer une attaque.
Pratiques, techniques et procédures notables
- Le groupe « APT40 » a tendance à utiliser des appareils piratés comme infrastructure opérationnelle et comme redirecteurs de dernier saut pour ses opérations en Australie, et probablement ailleurs.
- Ce groupe cible souvent les appareils destinés aux petites entreprises et aux particuliers (SOHO) qui sont en fin de vie ou pour lesquels aucun correctif n'a été installé, et qui constituent donc des cibles de choix pour l'exploitation de vulnérabilités.
- Après avoir compromis l'appareil, l'auteur s'en sert pour lancer des attaques et se fondre dans le trafic légitime.
Deux études de cas
Ce document consultatif conjoint présente deux études de cas illustrant les fonctionnalités de APT40’s .
- Étude de cas n° 1 : Les services de sécurité ont analysé une intrusion réussie survenue en 2022 , qui met en évidence les techniques utilisées par l'acteur malveillant.
Dans cet exemple, l’acteur a été observé en train de recenser les hôtes afin de créer sa propre cartographie du réseau, de déployer des shells Web pour exécuter des commandes, ainsi que de déployer des outils supplémentaires. APT40 s’est déplacé latéralement à travers le réseau, ce qui a été facilité par le fait que celui-ci présentait une structure relativement plate.
- Étude de cas n° 2 : L'avis a également examiné une APT40 e attaque au cours de laquelle une organisation a détecté un logiciel malveillant sur l'un de ses serveurs connectés à Internet, qui servait de portail de connexion pour sa solution d'accès à distance.
APT40 hôtes répertoriés, des applications exposées à Internet ont été exploitées, des shells Web ont été mis à profit, des failles logicielles ont été exploitées et des identifiants ont été collectés afin de poursuivre le mouvement latéral.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe APT40 est en mesure d'exploiter rapidement de nouvelles vulnérabilités grâce à ses activités régulières et systématiques de reconnaissance du réseau.
Il se peut que ce groupe dispose d'une liste de victimes qu'il compte cibler, plutôt que d'agir de manière plus opportuniste, ce qui est souvent le cas lors de l'exploitation de vulnérabilités.
APT40’s ability to take a vulnerability POC and use it in the wild successfully within such a short timeframe highlights the group’s sophistication.
2. Le groupe APT « CloudSorcerer » cible des organisations russes
Un nouvel acteur malveillant spécialisé dans l'espionnage, identifié sous les noms d' t CloudSorcerer, cible activement des organisations à l'aide d'un logiciel malveillant capable d'adapter son comportement en fonction de l'environnement dans lequel il est exécuté.
CloudSorcerer cible actuellement principalement des organisations russes et s'appuie fortement sur les services de cloud public pour ses opérations de commandement et de contrôle.
Qu'est-ce que CloudSorcerer ?
Cet acteur a été découvert pour la première fois dans « mai 2024 ». Ce groupe mène des activités de surveillance, de collecte de données et d'exfiltration de données via des services tels que Microsoft Graph, Yandex Cloud et Dropbox. L'acteur est connu pour utiliser ces services de cloud public pour son projet « C2 » et y accédera via des API à l'aide de jetons d'authentification.
Selon SecureList, le logiciel malveillant doit être exécuté manuellement par l'auteur de la menace sur un ordinateur déjà infecté. Sa fonction variera en fonction du processus dans lequel elle sera exécutée. Lorsqu'il sera exécuté, il appellera une fonction afin de déterminer dans quel processus il s'exécute. Le nom du processus renvoyé est comparé à un ensemble de chaînes de caractères codées en dur, et le logiciel malveillant active une fonction différente en fonction du résultat de cette comparaison.
Si le nom du processus est « mspaint.exe », le logiciel malveillant agira comme une porte dérobée, collectera des données et exécutera du code. Si le nom du processus s'avère être « msiexec.exe », le logiciel malveillant lancera son module de communication « C2 ». Si le nom du processus contient la chaîne « browser » ou s'il ne correspond pas à une chaîne spécifique, le programme tentera d'injecter du shellcode dans msiexec.exe, mspaint.exe ou explorer.exe avant de mettre fin au processus initial.
Le module de porte dérobée de CloudSorcerer
Le module de porte dérobée recueille des informations sur la machine, les stocke, puis les écrit dans un canal nommé relié au C2. Il lira les données entrantes et exécutera une action en conséquence. Parmi les actions qu'il peut effectuer, on peut citer la collecte d'informations supplémentaires, l'exécution de commandes shell, la copie, le déplacement, le renommage ou la suppression de fichiers, entre autres.
Il peut également effectuer des tâches supplémentaires telles que la vidange du cache DNS, la création de processus, la suppression de clés de registre, le recensement des partages, la suppression d'utilisateurs, le recensement des connexions RDP, et bien d'autres encore.
Le module « C2 » de CloudSorcerer
Le module C2 créera un nouveau canal Windows et configurera une connexion au serveur C2 . Pour ce faire, il transmettra des arguments à une série de fonctions de l'API Windows. Le serveur C2 est une page GitHub et sera chargé dans une mémoire tampon par le logiciel malveillant. L'acteur tente également d'obtenir des données provenant d'un site russe d'hébergement de photos dans le cloud. Ce module interagira avec des services cloud pour lire des données, recevoir des commandes, décoder ces dernières et les transmettre au module de porte dérobée.
Infrastructures
On a constaté que l'acteur utilisait Yandex Cloud, Microsoft Graph et des URL du cloud Dropbox, en plus de la page GitHub et du site russe d'hébergement de photos dans le cloud.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
CloudSorcerer prend le train du cloud en marche en tirant parti des services de cloud public pour des applications telles que C2. Il s'agit là d'un thème récurrent dans le paysage des menaces à l'heure actuelle.
La différence réside dans le fait que ce logiciel malveillant est exécuté manuellement et uniquement après que l'ordinateur a déjà été infecté. Il ne semble pas y avoir beaucoup d'informations disponibles sur la manière dont cet acteur parvient à accéder à une machine compromise.
Néanmoins, l'utilisation d'un logiciel malveillant qui détermine sa fonction et son objectif principaux en fonction du processus dans lequel il s'exécute témoigne d'un certain degré de sophistication.
3. Eldorado menace les systèmes Windows et Linux
Eldorado est une nouvelle opération de « ransomware-as-a-service » (RaaS) de type « » (rançongiciel de type « ransomware-as-a-service ») qui a fait son apparition en mars, lorsqu’elle a publié des annonces sur des forums clandestins afin de recruter des testeurs d’intrusion pour rejoindre son équipe. Il existe en versions Windows et Linux et a déjà fait 16 victimes dans divers secteurs depuis son apparition.
L'émergence d'Eldorado
Un utilisateur connu sous le pseudonyme « $$$ » sur le forum clandestin RAMP a mis en place un programme d'affiliation pour le ransomware Eldorado à la mi-mars 2024
Les publications de cet utilisateur indiquent que l'acteur parle russe. Pour générer un échantillon de ransomware, les affiliés devront indiquer le nom de l'entreprise ciblée, le nom du fichier et le texte des notes de rançon, ainsi que le mot de passe de l'administrateur du domaine.
La société de cybersécurité singapourienne Group-IB a réussi à se procurer un programme de chiffrement et a indiqué qu'il était disponible pour les versions esxi, esxi_64, win et win_64.
Ciblage et victimologie
Le ransomware Eldorado a pris pour cible au moins 16 entreprises issues de divers secteurs. Treize des 16 attentats ont eu lieu aux États-Unis, deux en Italie et un en Croatie.
Détails techniques
Le programme de chiffrement a été écrit en Golang afin d'être compatible avec plusieurs plateformes. Tous les fichiers chiffrés par Eldorado se voient ajouter l'extension .00000001 .
Le ransomware placera une note de rançon dans les dossiers « Documents » et « Bureau ». Il contient des instructions invitant la victime à contacter l'auteur de l'attaque via une URL spécifique afin de participer à un chat en direct.
La variante Windows d'Eldorado
La variante Windows d'Eldorado peut accepter plusieurs paramètres de ligne de commande. Dans l'échantillon analysé par Group-IB, il a été constaté que certains journaux étaient envoyés à une adresse IP spécifique via des connexions WebSockets. Pour le chiffrement, le ransomware utilise l'algorithme Chacha20 pour les fichiers et RSA-OAEP pour la clé générée.
Pour chaque fichier ciblé, il génère une clé de 32 octets et un nonce de 12 octets, tous deux chiffrés à l'aide de l'algorithme RSA-OAEP. Le rançongiciel exécutera une commande PowerShell pour écraser le programme de chiffrement, puis supprimera ce fichier afin d'effacer toute trace de ses activités. Cela supprimera également les copies de volume fantôme. Le ransomware exclura certaines extensions de fichiers telles que .00000001, .exe, .dll, .sys, .msi, .ini, .inf et .lnk.
La variante Linux d'Eldorado
L'outil de chiffrement Linux ne prend en charge que l'argument « -path » et est assez simple. Il parcourra de manière récursive les fichiers d'un répertoire spécifié. L'algorithme de chiffrement utilisé par cette variante est le même que celui de la variante Windows.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Selon Group-IB, Eldorado se distingue particulièrement par le fait qu’il ne s’appuie pas sur des générateurs déjà divulgués, tels que Babuk ou LockBit.
De nouvelles variantes de ransomware apparaissent assez souvent, mais bon nombre d'entre elles s'inspirent de ces générateurs qui ont fait l'objet de fuites. Le créateur d’Eldorado a manifestement consacré davantage de temps et d’efforts à ce ransomware, en choisissant de le développer entièrement de toutes pièces.
Ceci, ajouté au fait qu’il existe déjà des variantes de ce rançongiciel pour Windows et Linux, et au fait qu’il a déjà fait plusieurs victimes, fait d’Eldorado une menace d’autant plus sérieuse.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
