Dans le résumé de cette semaine, CTI met en évidence un conseil mondial sur les menaces concernant l’acteur lié à la Chine connu sous le nom de APT40. Ensuite, CTI examine un nouvel acteur de menace d’espionnage suivi sous le nom de CloudSorcerer qui cible les organisations avec des logiciels malveillants qui peuvent modifier son comportement en fonction de l’environnement dans lequel il est exécuté. Vous trouverez également un aperçu d’Eldorado, une opération de ransomware en tant que service (RaaS) qui a émergé en mars.
1. APT40 exploite rapidement les vulnérabilités du réseau
Les agences de cybersécurité d’Australie, d’Allemagne, du Japon, de Nouvelle-Zélande, de Corée du Sud, du Royaume-Uni et des États-Unis ont publié un avis conjoint concernant le APT40 lié à la Chine.
APT40 existe depuis longtemps et a ciblé un large éventail de secteurs et de pays. Selon le dernier conseil, APT40 peut rapidement exploiter les vulnérabilités nouvellement identifiées, souvent dans les heures ou jours suivant leur publication.
L’avis détaille l’artisanat qui a été observé dans les réseaux australiens. Le groupe effectue régulièrement des efforts de reconnaissance contre les réseaux d’intérêt pour rechercher une opportunité d’attaque.
PTT notables
- APT40 a tendance à utiliser des appareils compromis comme infrastructure opérationnelle et redirecteurs de dernier saut pour les opérations en Australie, et probablement ailleurs.
- Le groupe cible souvent les appareils de petit bureau/bureau à domicile (SOHO) qui sont en fin de vie ou non corrigés et sont donc de bons candidats pour l’exploitation des vulnérabilités.
- Après avoir compromis l’appareil, l’acteur l’utilise pour lancer des attaques et se fondre dans le trafic légitime.
Deux études de cas
Le conseil conjoint propose deux études de cas qui démontrent les capacités APT40’s .
- Étude de cas 1 : Les agences de sécurité ont examiné un compromis réussi qui s’est produit en 2022 et qui met en évidence le métier de l’acteur.
Dans cet exemple, l’acteur a été observé en dénombreant les hôtes pour créer leur propre carte du réseau, en déployant des web shells comme moyen d’exécuter des commandes et en déployant des outils supplémentaires. APT40 s’est déplacé latéralement sur le réseau, ce qui a été facilité par le fait que le réseau avait une structure plutôt plate.
- Étude de cas 2 : Le conseil a également examiné une attaque supplémentaire de APT40 dans laquelle une organisation a identifié des logiciels malveillants sur l’un de ses serveurs Internet qui ont servi de portail de connexion pour sa solution d’accès à distance.
APT40 hôtes répertoriés, applications Internet exploitées, shells Web exploitées, vulnérabilités logicielles exploitées et informations d’identification collectées pour obtenir un mouvement latéral supplémentaire.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
APT40 peut rapidement exploiter de nouvelles vulnérabilités grâce à ses activités de reconnaissance réseau régulières et de routine.
Le groupe peut avoir une liste de victimes qu’il cherche à cibler plutôt que d’être de nature plus opportuniste, ce dernier étant souvent le cas de l’exploitation des vulnérabilités.
La capacité APT40’s à prendre un POC de vulnérabilité et à l’utiliser avec succès dans un délai aussi court souligne la sophistication du groupe.
2. CloudSorcerer APT cible les organisations russes
Un nouvel acteur de menace d’espionnage, qui est suivi sous le nom de CloudSorcerer, cible activement les organisations avec des logiciels malveillants qui peuvent modifier son comportement en fonction de l’environnement dans lequel il est exécuté.
CloudSorcerer cible actuellement principalement les organisations russes et s’appuie fortement sur les services de cloud public pour ses opérations de commande et de contrôle.
Qu’est-ce que CloudSorcerer ?
Cet acteur a été découvert pour la première fois en mai 2024. Le groupe s’engage dans la surveillance, la collecte de données et l’exfiltration de données via des services tels que Microsoft Graph, Yandex Cloud et Dropbox. L’acteur est connu pour utiliser ces services de cloud public pour son C2 et y accédera via des API à l’aide de jetons d’authentification.
Selon SecureList, le logiciel malveillant doit être exécuté manuellement par l’acteur malveillant sur une machine déjà infectée. Sa fonction changera en fonction du processus dans lequel elle est exécutée. Lorsqu’il est exécuté, il appelle une fonction pour déterminer dans quel processus il s’exécute. Le nom du processus renvoyé est comparé à un ensemble codé en dur de chaînes et le logiciel malveillant activera une fonction différente en fonction du résultat de cette comparaison.
Si le nom du processus est mspaint.exe, le logiciel malveillant fonctionnera comme une porte dérobée et collectera des données et exécutera le code. Si le nom du processus s’avère être msiexec.exe, le logiciel malveillant lancera son module de communication C2 . Si le nom du processus contient la chaîne « navigateur » ou s’il ne correspond pas à une chaîne spécifique, il essaiera d’injecter le shellcode dans msiexec.exe, mspaint.exe ou explorer.exe avant de tuer le processus initial.
Module backdoor de CloudSorcerer
Le module backdoor collecte des informations sur la machine, les stocke et les écrit dans un tuyau nommé qui est connecté au C2. Il lit les données entrantes et exécute une action en conséquence. Certaines des actions qu’il peut exécuter comprennent la collecte d’informations supplémentaires, l’exécution de commandes shell, la copie/le déplacement/le changement de nom/la suppression de fichiers, etc.
Il peut également exécuter des tâches supplémentaires telles que l’effacement du cache DNS, la création de processus, la suppression de clés de registre, le dénombrement des partages, la suppression d’utilisateurs, le dénombrement des RDP, etc.
Module C2 de CloudSorcerer
Le module C2 créera un nouveau tuyau Windows et configurera une connexion au serveur C2 . Pour ce faire, il fournira des arguments à une séquence de fonctions API Windows. Le serveur C2 est une page GitHub et sera lu dans une mémoire tampon par le logiciel malveillant. L’acteur essaie également d’obtenir des données d’un site d’hébergement de photos basé sur le cloud russe. Ce module interagira avec les services cloud pour lire les données, recevoir des commandes, décoder les commandes et les envoyer au module backdoor.
Infrastructure
L’acteur a été observé en tirant parti des URL cloud de Yandex Cloud, Microsoft Graph et Dropbox, en plus de la page GitHub et du site d’hébergement de photos basé sur le cloud russe.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
CloudSorcerer saute sur le fossé du cloud en tirant parti des services de cloud public pour des choses telles que C2. Il s’agit d’un thème courant dans l’ensemble du paysage des menaces en ce moment.
Ce qui est différent, c’est que le logiciel malveillant est exécuté manuellement et uniquement après qu’une machine a déjà été infectée. Il semble qu’il n’y ait pas beaucoup d’informations disponibles sur la manière dont cet acteur accède à une machine compromise.
Néanmoins, l’utilisation de logiciels malveillants qui choisissent sa fonction et son objectif principaux en fonction du processus dans lequel ils sont exécutés révèle un certain degré de sophistication.
3. Eldorado menace les systèmes Windows et Linux
Eldorado est une nouvelle opération de ransomware en tant que service (RaaS) qui a émergé en mars lorsqu’elle a publié sur des forums souterrains à la recherche de pentesters pour rejoindre son équipe. Il possède une variante Windows et Linux et a déjà revendiqué 16 victimes dans plusieurs secteurs depuis son émergence.
Émergence d’Eldorado
Un utilisateur qui passe par « $$$ » sur le forum souterrain RAMP a créé un programme d’affiliation pour le ransomware Eldorado à mi-mars 2024.
Les publications de cet utilisateur indiquent que l’acteur parle russe. Pour générer un échantillon de rançongiciel, les affiliés devront spécifier le nom de la société ciblée, le nom du fichier et le texte des notes de rançon, ainsi que le mot de passe administrateur du domaine.
La société de cybersécurité Group-IB basée à Singapour a pu obtenir un chiffreur et a signalé qu’elle est disponible pour esxi, esxi_64, win et win_64.
Ciblage et victimologie
Le ransomware Eldorado a ciblé au moins 16 entreprises dans plusieurs secteurs. Treize des 16 attaques ont eu lieu aux États-Unis, dont deux en Italie et une en Croatie.
Détails techniques
Le chiffrement a été écrit en Golang afin qu’il soit compatible avec plusieurs plateformes. Tous les fichiers qui sont chiffrés par Eldorado ont .00000001 en annexe.
Le rançongiciel déposera une note de rançon qui est écrite dans le dossier Documents and Desktop. Il contient des instructions pour que la victime contacte l’acteur via une URL particulière pour un chat en direct.
La variante Windows d’Eldorado
La variante Windows Eldorado peut accepter plusieurs paramètres de ligne de commande. Dans l’échantillon analysé par Group-IB, ils ont constaté que certains journaux étaient envoyés à une adresse IP particulière via des websockets. Pour le chiffrement, le ransomware utilise Chacha20 pour les fichiers et RSA-OAEP pour la clé générée.
Pour chaque fichier ciblé, il génère une clé de 32 octets et un nonce de 12 octets, tous deux cryptés avec RSA-OAEP. Le ransomware exécutera une commande PowerShell pour écraser le chiffrement, puis supprimera le fichier pour supprimer des traces de ses activités. Il supprimera également les copies de volume d’ombre. Le ransomware exclura certaines extensions de fichiers telles que .00000001, .exe, .dll, .sys, .msi, .ini, .inf et .lnk.
La variante Linux d’Eldorado
Le chiffrement Linux ne prend en charge que l’argument « -path » et est assez simple. Il parcourira de manière récurrente les fichiers d’un répertoire spécifié. L’algorithme de chiffrement pour cette variante est le même que la variante Windows.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Selon Group-IB, Eldorado est particulièrement unique, car il ne dépend pas de constructeurs précédemment divulgués tels que Babuk ou LockBit.
De nouvelles souches de ransomware apparaissent assez souvent, mais beaucoup d’entre elles sont modélisées sur la base de ces constructeurs qui ont fui. Le créateur d’Eldorado a clairement consacré plus de temps et d’efforts au ransomware, choisissant de le créer à partir de zéro.
Cela, ainsi que le fait qu’il existe déjà une variante Windows et Linux du rançongiciel, et le fait qu’il ait déjà revendiqué plusieurs victimes, font d’Eldorado une menace plus importante.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
