Dans le résumé de cette semaine, CTI examine un outil appelé Xeon Sender qui est désormais utilisé pour les campagnes d’ hameçonnage par SMS et de spam. Ensuite, CTI examine la dernière infrastructure d’un groupe d’acteurs nord-coréens parrainés par l’État et suivis sous le nom dUAT-5394. Enfin, CTI enquête sur une campagne d’extorsion à grande échelle qui exploite des fichiers de variable d’environnement (.env) accessibles au public contenant des informations d’identification associées aux applications cloud et de réseaux sociaux.
1. Xeon Sender cible les API cloud
Un acteur malveillant a récemment été observé à l’aide d’un outil d’attaque cloud appelé Xeon Sender dans le cadre de campagnes d’hameçonnage par SMS et de spam.
Xeon Sender, également connu sous le nom de XeonV5 et SVG Sender, permet aux acteurs malveillants de distribuer des messages via différents fournisseurs SaaS à l’aide d’informations d’identification valides. L'outil utilise plusieurs fournisseurs de services, notamment Amazon Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt et Twilio.
Xeon Sender existe depuis au moins 2022 et est actuellement distribué sur Telegram. Une autre version est hébergée sur un serveur Web avec une interface graphique, ce qui permet aux acteurs moins qualifiés d’accéder à l’outil et de l’utiliser.
Fonctionnement de Xeon Sender
Selon Sentinel One, Xeon Sender dispose d’une CLI simple qui permet à l’acteur de communiquer avec le service via des API et d’exécuter des attaques sans effort. Pour que l’acteur puisse utiliser l’outil, il doit disposer des clés API appropriées pour le service ciblé.
Chaque fournisseur nécessite plusieurs valeurs de l’opérateur ou de l’acteur, y compris la clé API, la clé secrète, la région AWS pour AWS SNS, l’ID client pour Telesign, l’ID d’expéditeur, le contenu du message et une liste de numéros de téléphone ciblés stockés dans un fichier texte. Ces valeurs sont utilisées dans une demande d’API vers le service ciblé. Le script passe en boucle dans le fichier texte des numéros de téléphone jusqu’à ce que chaque numéro de téléphone soit accédé, prenant un sommeil de 50 millisecondes entre chaque itération de la boucle.
Utilitaires associés
Xeon Sender dispose d’autres utilitaires connexes en plus des différentes méthodes d’envoi de SMS. Par exemple, les outils de vérification de compte valideront les informations d’identification pour les comptes Nexmo et Twilio. De plus, il dispose d’un générateur de numéro de téléphone qui utilisera Python pour générer un nombre d’une longueur donnée. Il dispose également d’un vérificateur de téléphone qui analysera un numéro de téléphone par rapport à l’API de vérification de numéro d’APILayer[.]com pour confirmer qu’un numéro est valide.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cet outil utilise des services légitimes pour effectuer des opérations en masse, ce qui rend la détection plus difficile.
L’utilisation de services légitimes est en plein essor, avec diverses souches de ransomwares et de logiciels malveillants abusant des services légitimes pour échapper à la détection.
2. Cisco Talos révèle l’infrastructure UAT-5394
Cisco Talos partage des détails sur l’infrastructure que l’on pense être utilisée par un groupe d’acteurs nord-coréens parrainé par l’État et suivi sous le nom d’ UAT-5394.
L’infrastructure est liée à une campagne qui utilise une variante du logiciel malveillant XenoRAT appelée MoonPeak. L’acteur utilise des machines virtuelles pour tester le logiciel malveillant avant le déploiement et s’est récemment éloigné de l’utilisation de services cloud légitimes.
Infrastructure UAT-5394
Les chercheurs ont découvert quelques nouveaux serveurs tout en cartographiant l’infrastructure de la campagne. L’infrastructure comprend un accès à distance et C2 serveurs, des sites pour héberger des charges utiles et des machines virtuelles pour tester le logiciel malveillant avant de le distribuer.
S’éloigner des services cloud
Selon Cisco Talos, l’acteur n’utilise plus de fournisseurs de stockage cloud légitimes pour héberger des charges utiles. En juin, l’acteur a commencé à utiliser ses propres serveurs et systèmes. Cisco Talos explore un grand nombre des serveurs utilisés dans l’attaque dans son rapport pour ceux qui sont intéressés par des détails plus techniques.
Machines virtuelles pour les tests
Une partie de la dernière infrastructure de cet acteur comprend des machines virtuelles hébergées sur des IP publiques. Celles-ci ont été observées en contactant divers serveurs MoonPeak C2 sur des ports configurés dans le logiciel malveillant lui-même.
Cisco Talos a déterminé que deux machines virtuelles étaient utilisées pour tester les infections MoonPeak sur les ports 9966, 9936, 8936 et 9999. Une troisième machine a également été utilisée pour tester les infections, mais a servi à double usage et a également été utilisée pour RDP sur C2 serveurs. Il s’agit d’une technique rare.
Évolution des logiciels malveillants MoonPeak
Sur la base de son analyse des récents échantillons MoonPeak, Cisco Talos a déterminé que le logiciel malveillant évoluait au fil du temps.
Cette évolution s’aligne sur la nouvelle infrastructure et sur les tests qui se produisent via des machines virtuelles. Chaque nouvel échantillon du logiciel malveillant introduit un peu plus d’obscurcissement et de petites variations dans les communications.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Le principal enseignement est que l’acteur est passé de l’hébergement de charges utiles sur des fournisseurs de stockage cloud légitimes à l’utilisation de serveurs et de systèmes qu’il contrôle. Ce changement est le contraire de ce que les chercheurs en sécurité ont observé dans le paysage des menaces. De plus en plus d’acteurs semblent tirer parti des services cloud légitimes dans les campagnes pour se fondre et échapper à la détection.
À ce stade, on ne sait pas pourquoi l’acteur recourt aux méthodes d’hébergement traditionnelles. Il sera intéressant de voir si ce changement fonctionne bien pour cet acteur ou s’il va pivoter à nouveau.
3. Les pirates informatiques tirent parti des fichiers .env publics pour extorquer les victimes
Palo Alto a découvert une campagne d’extorsion à grande échelle qui tire parti des fichiers .env accessibles au public contenant des informations d’identification associées aux applications cloud et de réseaux sociaux.
La campagne configure son infrastructure d’attaque au sein des environnements AWS des organisations compromises et les utilise comme une passerelle pour analyser les cibles à la recherche de données d’intérêt.
Accès initial et découverte
Cette campagne a été le résultat de clés d’accès AWS IAM exposées qui ont été obtenues à partir de fichiers .env exposés publiquement. Les acteurs ont obtenu ces clés en analysant les fichiers .env hébergés sur des applications Web non sécurisées et ont utilisé les clés pour accéder à l’environnement cloud d’hébergement.
Pour la découverte, l’acteur a effectué différents appels d’API pour apprendre ce qu’il pouvait sur l’environnement et identifier les services à exploiter, y compris IAM, Security Token Service (STS), S3 et Simple Email Service (SES).
Escalade des privilèges
L’acteur de cette campagne s’est rendu compte que les informations d’identification IAM d’origine qui ont été utilisées pour obtenir l’accès initial à l’environnement n’avaient pas d’accès administrateur à toutes les ressources cloud, mais disposaient des permissions pour créer de nouveaux rôles IAM et joindre des politiques IAM aux rôles. Grâce à cela, l’acteur a pu faire remonter les privilèges dans les environnements cloud.
Exécution
Après avoir fait remonter les privilèges, l’acteur a essayé de créer deux piles d’infrastructure différentes : l’une utilisant AWS et l’autre utilisant AWS Lambda.
L’acteur n’a pas réussi à créer un groupe de sécurité, une paire de clés et une instance EC2 . Cependant, ils ont réussi à créer plusieurs fonctions lambda avec le rôle IAM qu’ils ont précédemment créé.
Impact
L’acteur malveillant a créé et exploité une fonction lambda pour analyser une liste de domaines afin de rechercher des fichiers .env mal configurés et/ou exposés. Certains fichiers .env contenaient plusieurs variables qui donnaient à l’acteur des informations sur plusieurs services dans un environnement.
Palo Alto catégorise les informations d’identification identifiées dans ces fichiers en fonction du type d’application et a constaté que les informations d’identification d’application sont les plus courantes. Ils ont identifié plus de 90 000 combinaisons uniques de variables divulguées qui avaient des clés d’accès ou des informations d’identification IAM.
Exfiltration
Outre l’exploitation des fichiers .env, l’acteur a également été observé exfiltrant des données de S3 compartiments à l’aide de l’outil de navigateur S3 .
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne est un rappel que les acteurs malveillants s’intéressent de plus en plus aux environnements cloud. Ce qui est intéressant, c’est que cette campagne n’exploite pas une vulnérabilité pour l’accès initial, et recherche simplement l’exposition accidentelle des fichiers .env sur des applications Web non sécurisées. Compte tenu de cela, les défenseurs ont la possibilité de se protéger contre cette attaque.
Dans sa publication, Palo Alto propose des recommandations pour réduire le risque de cette attaque.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
