Dans le tour d'horizon de cette semaine, CTI analyse une campagne de logiciels malveillants sophistiquée qui déploie ces derniers en exploitant la fonctionnalité de recherche de Windows intégrée au code HTML. CTI se penche ensuite sur le téléchargeur RAT Remcos, qui est diffusé via des fichiers UUE compressés. Enfin, le CTI enquête pour déterminer si une opération menée par le ransomware Black Basta a exploité une faille de sécurité de Windows permettant l'escalade des privilèges.
1. Un logiciel malveillant exploite la fonctionnalité de recherche de Windows dans le code HTML
Une campagne de logiciels malveillants sophistiquée exploite la fonctionnalité de recherche de Windows (s'ouvre dans un nouvel onglet) au sein d'un code HTML afin de déployer des logiciels malveillants.
Selon Trustwave, l'auteur de cette campagne semble avoir une connaissance approfondie des vulnérabilités des systèmes et des comportements des utilisateurs, ce qui lui permet de mener une campagne de hameçonnage plus sophistiquée.
Cette campagne débute par un e-mail de hameçonnage de type « » (s'ouvre dans un nouvel onglet) , qui contient une pièce jointe au format HTML. Le fichier HTML est inclus dans une archive ZIP afin de contourner les scanners de sécurité de messagerie les plus courants.
Trustwave souligne que cette campagne a, jusqu'à présent, été de faible ampleur, les chercheurs n'ayant observé que quelques cas concrets.
La pièce jointe au format HTML
La pièce jointe au format HTML semble simple à première vue, mais elle est conçue pour lancer une attaque sophistiquée.
Lorsque la victime ouvre le fichier, celui-ci détourne les protocoles Web standard pour exploiter les fonctions du système Windows. Le code contient un attribut qui demande au navigateur de recharger la page et de rediriger vers une nouvelle URL. Le code contient également un délai défini, qui est généralement fixé à zéro afin que la redirection s'effectue instantanément.
Le code HTML comprend également une balise d'ancrage qui sert de solution de secours. Si l'actualisation ne s'effectue pas, l'utilisateur peut toujours cliquer sur un lien pour déclencher manuellement la suite de la chaîne.
Exploitation du protocole de recherche
Une fois le code HTML chargé, le navigateur vous demandera généralement d'autoriser l'action de recherche.
Des mesures de sécurité ont été mises en place pour empêcher que des commandes non autorisées n'exécutent certaines opérations nuisibles sans le consentement de l'utilisateur. Dans ce cas, l'URL de redirection utilise le protocole « search: », qui permet à une application d'interagir avec la fonction de recherche de l'Explorateur Windows.
Une fois que l'utilisateur aura cliqué pour autoriser l'action de recherche, la fonction récupérera plusieurs fichiers depuis un serveur distant — dont un seul apparaîtra dans les résultats de recherche. Ce fichier est un fichier LNK qui pointe vers un script batch situé sur le même serveur et qui déclenche d'autres opérations malveillantes. Les chercheurs n'ont pas pu se procurer ce script batch.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque nécessite une interaction de la part des victimes, ce qui, espérons-le, limitera son succès.
Il convient de noter, concernant cette attaque, qu'elle utilise un délai de démarrage nul, ce qui signifie que la page redirigera immédiatement l'utilisateur sans lui laisser beaucoup de temps pour réagir. Cet attribut pourrait être modifié à l'avenir pour les redirections différées.
2. Le RAT Remcos se propage via des fichiers UUE
Le téléchargeur Remcos RAT de l' , (s'ouvre dans un nouvel onglet) , est diffusé via des fichiers UUE compressés avec Power Archiver. Ce logiciel malveillant, qui continue d'être diffusé par le biais d'e-mails de hameçonnage, joint désormais des fichiers UUE malveillants à un leurre se présentant sous la forme d'une facture.
À propos de la méthode UUE
L'acteur explore de nouvelles façons de diffuser un script VBS ; il encode désormais ce script sous forme de pièce jointe UUE.
UUE est l'abréviation de « Unix-to-Unix encoding » (encodage de Unix à Unix) et sert à partager des données entre des systèmes Unix. Un fichier UUE type comporte un en-tête, des données encodées et une fin.
L'acteur malveillant utilise UUE pour échapper à la détection. Un script VBS obscurci est révélé une fois que le fichier de l'acteur a été décodé.
Le programme de téléchargement
Le script VBS ainsi généré enregistre un script PowerShell dans le répertoire Temp et le nomme « Talehmmedes.txt »
Ce script est exécuté ; il va télécharger « Haartoppens.eft » et exécuter un script PowerShell supplémentaire. Ce script PowerShell obfusqué sert principalement à charger un code shell dans le processus wab.exe. Le shellcode chargé assure la persistance en créant une entrée dans le registre et finira par exécuter le RAT Remcos.
Le logiciel malveillant Remcos RAT lui-même ne semble pas avoir subi de modifications majeures. Il continue à collecter des informations système et à les enregistrer dans le répertoire %AppData& en vue de leur exfiltration vers son serveur C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet acteur semble consacrer davantage de temps et d'efforts à la recherche de nouveaux vecteurs de diffusion qu'à la mise à jour du logiciel malveillant lui-même.
Cette approche est astucieuse dans la mesure où l'acteur peut, dans un premier temps, s'introduire dans le réseau sans être détecté. Toutefois, en l'absence de modifications apportées au logiciel malveillant lui-même, celui-ci risque davantage d'être détecté par les systèmes de défense, en particulier ceux qui disposent de mécanismes de détection des tactiques, techniques et procédures (TTP) connues ainsi que des indicateurs de compromission (IOC).
Cela dit, cette étude n'en reste pas moins intéressante, car elle met en avant les fichiers UUE comme de nouveaux mécanismes de diffusion.
3. Black Basta exploite une faille de sécurité de Windows permettant l'escalade de privilèges
Les chercheurs estiment que l'opération de ransomware « Black Basta » menée par l' , (s'ouvre dans un nouvel onglet) , pourrait avoir exploité une vulnérabilité de Windows permettant l'escalade des privilèges, référencée sous le numéro CVE-2024-26169.
Cette faille, classée comme très grave, a potentiellement fait l'objet d'une exploitation sous la forme d'une attaque de type « zero-day » de type « » (s'ouvre dans un nouvel onglet) avant la publication d'un correctif dans le cadre de la mise à jour « Patch Tuesday » de mars de Microsoft.
Qu'est-ce que le CVE-2024-26169 ?
CVE-2024-26169 (s'ouvre dans un nouvel onglet) : il s'agit d'une faille permettant l'élévation de privilèges dans le service de rapport d'erreurs de Windows. Lorsqu'un attaquant exploite cette vulnérabilité, il peut élever ses privilèges au niveau SYSTEM.
La vulnérabilité CVE-2024-26169 présente un score CVSS élevé de 7,8, ce qui indique qu'il s'agit d'une vulnérabilité grave.
Exploitation
De nouvelles recherches indiquent que le groupe de cybercriminels Cardinal (également connu sous les noms de Storm-1811, UNC4393 et comme les opérateurs du ransomware Black Basta) aurait pu exploiter cette vulnérabilité de Windows.
Le rapport initial concernant cette vulnérabilité indiquait qu'il n'existait aucune preuve d'exploitation dans la nature. Toutefois, l'analyse d'un outil d'exploitation utilisé lors d'attaques récentes révèle qu'il aurait pu être compilé avant la publication du correctif, ce qui signifie que la vulnérabilité aurait pu être exploitée en tant qu' « zero-day » (s'ouvre dans un nouvel onglet) .
Liens vers « Black Basta »
Symantec a analysé un outil d'exploitation récemment utilisé dans le cadre d'une tentative d'attaque par ransomware. Bien que l'attaque ait finalement échoué, les chercheurs ont pu l'associer à l'opération « Black Basta » en raison des techniques, tactiques et procédures (TTP) utilisées lors de celle-ci.
Outil d'exploitation
Selon Symantec, cet outil d'exploitation « tire parti du fait que le fichier Windows werkernel.sys utilise un descripteur de sécurité nul lors de la création de clés de registre ».
L'outil créera une clé de registre et définira la valeur « debugger » sur le chemin d'accès à son propre fichier exécutable. Ce faisant, l'exploit permet d'exécuter un shell doté de privilèges d'administrateur.
La première variante de l'outil utilisé lors de l'attaque porte l'horodatage de compilation « 27 février 2024 », soit plusieurs semaines avant la publication d'un correctif. Une autre variante de cet outil a été découverte sur Virus Total, avec une date et une heure de compilation indiquant « 18 décembre 2023 ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ces derniers mois, le groupe de ransomware Black Basta a détourné des produits Microsoft légitimes, tels que Quick Assist et Teams. Compte tenu de cela, il semble plausible que l'auteur ait pu tenter d'exploiter une faille « zero-day » dans un autre produit Microsoft avant cette opération. L'outil d'exploitation analysé par Symantec aurait été utilisé dans le cadre d'une attaque qui a échoué, ce qui est plutôt rare de la part de ce groupe particulièrement actif.
Black Basta a, par le passé, modifié ses méthodes, techniques et procédures (TTP) assez rapidement (s'ouvre dans un nouvel onglet), ce qui laisse penser que cette tentative infructueuse n'est probablement qu'une parmi tant d'autres à venir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
