Dans son tour d'horizon de cette semaine, CTI s'intéresse à un outil appelé « Xeon Sender », qui est désormais utilisé pour des campagnes d' par SMS, de phishing et de spam. CTI se penche ensuite sur la toute dernière infrastructure mise en place par un groupe d’acteurs nord-coréens soutenus par l’État, identifié sous le nom d’UAT-5394. Enfin, le CTI enquête sur une campagne d'extorsion à grande échelle qui exploite des fichiers de variables d'environnement (.env) accessibles au public et contenant des identifiants associés à des applications cloud et de réseaux sociaux.
1. Xeon Sender cible les API cloud
Un acteur malveillant a récemment été repéré en train d'utiliser un outil d'attaque cloud appelé « Xeon Sender » ( ) dans le cadre de campagnes de hameçonnage par SMS et de spam.
Xeon Sender — également connu sous les noms de « XeonV5 » et « SVG Sender » — permet aux acteurs malveillants de diffuser des messages via différents fournisseurs de services SaaS à l'aide d'identifiants valides. Cet outil utilise plusieurs fournisseurs de services, notamment Amazon Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt et Twilio.
Xeon Sender existe depuis au moins 2022 et est actuellement diffusé sur Telegram. Une autre version est hébergée sur un serveur web doté d'une interface graphique, ce qui permet à des utilisateurs moins expérimentés d'accéder à l'outil et de l'utiliser.
Fonctionnement de Xeon Sender
Selon Sentinel One, Xeon Sender dispose d'une interface en ligne de commande (CLI) simple qui permet à l'acteur malveillant de communiquer avec le service via des API et de mener des attaques sans grand effort. Pour que l'acteur puisse utiliser cet outil, il doit disposer des clés API appropriées pour le service concerné.
Chaque fournisseur exige plusieurs informations de la part de l'opérateur ou de l'acteur, notamment la clé API, la clé secrète, la région AWS pour AWS SNS, l'identifiant client pour Telesign, l'identifiant de l'expéditeur, le contenu du message et une liste des numéros de téléphone ciblés stockée dans un fichier texte. Ces valeurs sont utilisées dans une requête API adressée au service concerné. Le script parcourt le fichier texte contenant les numéros de téléphone jusqu'à ce que chaque numéro ait été traité, en marquant une pause de 50 millisecondes entre chaque itération de la boucle.
Utilitaires associés
Outre les différentes méthodes d'envoi de SMS, Xeon Sender propose d'autres utilitaires connexes. Par exemple, les outils de vérification de compte permettent de valider les identifiants des comptes Nexmo et Twilio. De plus, il dispose d'un générateur de numéros de téléphone qui utilise Python pour générer un numéro d'une longueur donnée. Il dispose également d'un outil de vérification des numéros de téléphone qui analyse un numéro à l'aide de l'API de vérification des numéros d'APILayer[.]com afin de confirmer sa validité.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet outil utilise des services légitimes pour effectuer des opérations en masse, ce qui rend sa détection plus difficile.
L'utilisation de services légitimes connaît actuellement un essor fulgurant, diverses variantes de ransomware et de logiciels malveillants exploitant ces services légitimes pour échapper à la détection.
2. Cisco Talos dévoile l'infrastructure UAT-5394
Cisco Talos communique des informations détaillées sur une infrastructure qui serait utilisée par un groupe d'acteurs nord-coréens soutenus par l'État, identifié sous les références « » (UAT-5394).
Cette infrastructure est liée à une campagne qui utilise une variante du logiciel malveillant XenoRAT appelée MoonPeak. L'acteur utilise des machines virtuelles pour tester le logiciel malveillant avant son déploiement et a récemment cessé d'utiliser des services cloud légitimes.
Infrastructure UAT-5394
Les chercheurs ont découvert quelques nouveaux serveurs lors de la cartographie de l'infrastructure de la campagne. L'infrastructure comprend un système d'accès à distance et C2 serveurs, des sites destinés à héberger les charges utiles, ainsi que des machines virtuelles permettant de tester les logiciels malveillants avant leur diffusion.
S'éloigner des services cloud
Selon Cisco Talos, l'acteur n'utilise plus de fournisseurs de stockage cloud légitimes pour héberger ses charges utiles. En juin, l'acteur a commencé à utiliser ses propres serveurs et systèmes. Dans son rapport, Cisco Talos passe en revue bon nombre des serveurs utilisés lors de cette attaque, à l'intention de ceux qui souhaitent en savoir plus sur les détails techniques.
Machines virtuelles destinées aux tests
Une partie de la dernière infrastructure de cet acteur comprend des machines virtuelles hébergées sur des adresses IP publiques. On a constaté que ces programmes établissaient des connexions avec divers serveurs MoonPeak C2 via des ports configurés au sein même du logiciel malveillant.
Cisco Talos a constaté que deux machines virtuelles avaient été utilisées pour tester les infections par MoonPeak sur les ports 9966, 9936, 8936 et 9999. Une troisième machine a également été utilisée pour tester les infections, mais elle avait une double fonction et servait également à se connecter via RDP à C2 serveurs. Il s'agit d'une technique peu courante.
Évolution du logiciel malveillant MoonPeak
Sur la base de son analyse d'échantillons récents de MoonPeak, Cisco Talos a constaté que ce logiciel malveillant avait évolué au fil du temps.
Cette évolution s'inscrit dans le cadre de la nouvelle infrastructure et des tests effectués à l'aide de machines virtuelles. Chaque nouvel échantillon du logiciel malveillant présente un niveau d'obfuscation légèrement plus élevé et de légères variations dans ses communications.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le principal enseignement à retenir est que l'acteur est passé de l'hébergement de charges utiles chez des fournisseurs de stockage cloud légitimes à l'utilisation de serveurs et de systèmes qu'il contrôle. Cette évolution va à l'encontre de ce que les chercheurs en sécurité ont observé dans l'ensemble du paysage des menaces. De plus en plus d'acteurs semblent recourir à des services cloud légitimes dans le cadre de leurs campagnes afin de se fondre dans la masse et d'échapper à la détection.
À ce stade, on ne sait pas exactement pourquoi l'acteur revient aux méthodes d'hébergement traditionnelles. Il sera intéressant de voir si ce changement s'avérera bénéfique pour cet acteur ou s'il changera à nouveau d'orientation.
3. Les pirates exploitent les fichiers .env publics pour faire chanter leurs victimes
Palo Alto a mis au jour une campagne d'extorsion à grande échelle de type « » qui exploite des fichiers .env accessibles au public contenant des identifiants associés à des applications cloud et de réseaux sociaux.
La campagne met en place son infrastructure d'attaque de type « » ( ) au sein des environnements AWS des organisations compromises et s'en sert comme point de départ pour analyser les cibles à la recherche de données présentant un intérêt.
Accès initial et découverte
Cette campagne résulte de la divulgation de clés d'accès IAM AWS qui avaient été obtenues à partir de fichiers .env accessibles au public. Les acteurs ont obtenu ces clés en recherchant des fichiers .env hébergés sur des applications web non sécurisées, puis les ont utilisées pour accéder à l'environnement cloud d'hébergement.
Dans le cadre de cette phase de reconnaissance, l'acteur a effectué différents appels d'API afin de recueillir un maximum d'informations sur l'environnement et d'identifier les services à exploiter, notamment IAM, le Security Token Service (STS), S3 et le Simple Email Service (SES).
Élévation des privilèges
L'acteur de cette campagne s'est rendu compte que l'identifiant IAM d'origine, utilisé pour obtenir un premier accès à l'environnement, ne disposait pas de droits d'administrateur sur l'ensemble des ressources cloud, mais qu'il disposait toutefois des autorisations nécessaires pour créer de nouveaux rôles IAM et y associer des politiques IAM. Grâce à cela, l'acteur a pu élever ses privilèges au sein des environnements cloud.
Exécution
Après avoir étendu ses privilèges, l'acteur a tenté de créer deux environnements distincts : l'un utilisant AWS et l'autre AWS Lambda.
L'acteur n'a pas réussi à créer un groupe de sécurité, une paire de clés et une instance EC2 . Ils ont toutefois réussi à créer plusieurs fonctions lambda à l'aide du rôle IAM qu'ils avaient créé auparavant.
Impact
L'acteur malveillant a créé et utilisé une fonction Lambda pour analyser une liste de domaines afin de rechercher des fichiers .env mal configurés et/ou exposés. Certains fichiers .env contenaient plusieurs variables qui fournissaient à l'acteur des informations sur plusieurs services au sein d'un environnement.
Palo Alto classe les identifiants identifiés dans ces fichiers en fonction du type d'application et a constaté que les identifiants d'application sont les plus courants. Ils ont identifié plus de 90 000 combinaisons uniques de variables divulguées contenant des clés d'accès ou des identifiants IAM.
Exfiltration
Outre l'exploitation des fichiers .env, l'acteur a également été observé en train d'exfiltrer des données provenant de S3 compartiments à l'aide de l'outil de navigation S3 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne nous rappelle que les cybercriminels s'intéressent de plus en plus aux environnements cloud. Ce qui est intéressant, c'est que cette campagne n'exploite pas de vulnérabilité pour obtenir un accès initial, mais se contente de rechercher des fichiers .env exposés par inadvertance sur des applications web non sécurisées. Compte tenu de cela, les défenseurs ont la possibilité de se prémunir contre cette attaque.
Dans son article, Palo Alto propose des recommandations visant à réduire le risque lié à cette attaque.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
