Dans le résumé de cette semaine, CTI examine un nouveau logiciel malveillant appelé Cuttlefish qui cible les routeurs de petite entreprise/bureau à domicile (SOHO). Ensuite, la CTI étudie comment les cybercriminels et les APT ont un intérêt commun dans les couches d’anonymisation des proxys et les nœuds VPN. Enfin, la CTI explore comment les acteurs malveillants utilisent les référentiels Docker Hub pour propager les logiciels malveillants et les escroqueries par hameçonnage , et comment JFrog et Docker collaborent aux efforts d’atténuation.
1. Le logiciel malveillant Cuttlefish cible les routeurs SOHO
Un nouveau logiciel malveillant appelé Cuttlefish cible les routeurs SOHO de niveau entreprise. Le logiciel malveillant modulaire crée un tunnel proxy ou VPN pour surveiller le trafic via ces appareils afin d’ exfiltrer les données d’authentification des demandes HTTP GET et POST.
Les laboratoires Black Lotus de Lumen Technologies ont découvert cette activité lorsqu’ils ont découvert une série de fichiers malveillants qui justifiaient une enquête supplémentaire. Bien que Black Lotus n’ait pas encore été en mesure de déterminer les moyens d’accès initiaux, ils ont confirmé que l’acteur malveillant déploiera un script bash pour recueillir des informations à envoyer à son C2. Ce script est responsable du téléchargement et de l’exécution du logiciel malveillant Cuttlefish, qui est compilé pour « toutes les architectures majeures utilisées par les systèmes d’exploitation SOHO ».
Cuttlefish installera un filtre de paquets pour inspecter les connexions sortantes de ports, protocoles et adresses IP spécifiques. Il surveillera le trafic, en s’engageant uniquement à détourner le trafic lorsqu’il identifie certaines activités.
Script de bash malveillant
Le script bash énumérera l’appareil pour rechercher la liste des répertoires, le contenu de /etc, les processus en cours d’exécution, les connexions actives, etc.
Il prendra ces informations et les compressera dans un fichier qui sera téléchargé vers un domaine contrôlé par un acteur. Une fois le téléchargement terminé, le fichier est supprimé de l’appareil.
La charge utile principale de Cuttlefish
Lorsque ce fichier s’exécute pour la première fois, il s’ouvre et se lie au port 61235 tant qu’il n’est pas utilisé par un autre processus.
Lumen Technologies a analysé le fichier et identifié plusieurs paramètres prédéfinis, notamment la destruction de l’ancien agent, la sélection automatique de l’interface sur le routeur ciblé, indiquant s’il convient ou non de l’exécuter comme démon, etc. La charge utile configurera une connexion sécurisée au C2 qui sera utilisée pour télécharger et mettre à jour l’ensemble de règles.
L’échantillon est capable d’écouter et de détourner les plages IP pour collecter des informations d’identification. Une fois qu’un fichier journal contenant du trafic filtré atteint une taille spécifiée, il sera compressé et téléchargé sur le C2. Les chercheurs ont découvert un module qui fournissait une fonctionnalité VPN basée sur un projet open source appelé n2n. Dans d’autres exemples, une fonctionnalité proxy a été utilisée comme alternative pour acheminer le trafic vers l’arrière via l’appareil infecté.
L’échantillon peut identifier les données d’authentification associées à des services tels qu’AliCloud, AWS, Digital Ocean, CloudFlare et BitBucket en raison de sa création d’un filtre de paquets Berkeley étendu.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cuttlefish est intéressant car il recherche des données d’authentification cloud spécifiques tout en reniflant le réseau, exfiltrant uniquement ce qui l’intéresse.
Cet intérêt pour les informations d’identification cloud est une tendance croissante dans le paysage des menaces, car de plus en plus d’attaques commencent à se concentrer sur les environnements cloud. Lumen Technologies estime que le ciblage de l’équipement réseau et la collecte d’informations d’identification cloud sont « destinés à accorder un accès persistant à long terme à ces écosystèmes ciblés.
2. Les États-nations et les cybercriminels partagent des réseaux compromis
Trend Micro, entre autres, remarque un intérêt commun pour les couches d’anonymisation des proxys et les nœuds VPN par les cybercriminels et les APT avancés.
Cet intérêt partagé découle de la nécessité pour les acteurs de masquer leur présence dans les environnements et de rendre la détection plus difficile. Cela se traduit finalement par la combinaison du trafic malveillant associé à des motifs financiers et d’espionnage.
Un exemple de cet intérêt partagé peut être vu dans un botnet cybercriminel qui utilisait des appareils EdgeRouter d’Ubiquiti compromis. Une APT appelée Pawn Storm a pu accéder aux robots de ce botnet et les utiliser pour leurs propres campagnes d’espionnage. Pour cette raison, ces routeurs Edge d’Ubiquiti compromis étaient utilisés par plusieurs acteurs malveillants à des fins allant du forçage brut SSH aux réflecteurs SMB dans NTLMv2 attaques de relais de hachage, à l’envoi d’e-mails de spear phishing et plus encore.
Le botnet susmentionné existe depuis 2016 et a été interrompu par le FBI en janvier 2024. Son code a été mis à jour et développé et il se trouve désormais à la version 20,3. Le botnet se compose de scripts bash, de scripts Python et de binaires Linux malveillants tels que SSHDoor. Il peut obtenir des informations sur l’hôte telles que les dossiers, les utilisateurs du système, la puissance informatique, les logiciels installés, les mots de passe, etc.
Qu’est-ce que SSHDoor ?
La porteSSH fait référence aux versions rétroportées des serveurs SSH. Il peut voler des informations d’identification légitimes et « permettre un accès tiers non autorisé en ajoutant des informations d’identification codées en dur ou une clé SSH ».
Les chercheurs pensent que l’acteur malveillant Pawn Storm a utilisé SSHDoor pour accéder aux routeurs basés sur EdgeOS. Le retrait du botnet par le FBI a eu un impact significatif sur les campagnes de Pawn Storm. Cependant, tous les serveurs EdgeRouter n’ont pas été nettoyés.
Malware Ngioweb trouvé sur EdgeOS
Trend Micro a identifié un botnet Linux supplémentaire qui exécutait des logiciels malveillants sur certains des routeurs Edge qui ont été utilisés de manière abusive par Pawn Storm.
Ce botnet Linux était plus sophistiqué et a été déterminé comme étant une version du logiciel malveillant Ngioweb. Les robots de ce botnet ont été utilisés dans un botnet résidentiel disponible dans le commerce.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il est courant que les acteurs malveillants partagent des intérêts et des objectifs communs, et il n’est pas entendu parler d’eux pour partager également l’infrastructure à l’occasion.
Ce que nous voyons de plus en plus aujourd’hui, c’est l’utilisation des mêmes routeurs compromis à des fins et objectifs finaux différents. Cela commence à se transformer en un nouveau modèle commercial de sortes dans la communauté cybercriminelle dans laquelle les acteurs malveillants louent désormais des routeurs compromis à d’autres acteurs pour un profit et abaisser la barrière à l’entrée.
3. Les acteurs malveillants utilisent Docker Hub pour propager les logiciels malveillants et les escroqueries par hameçonnage
JFrog et Docker collaborent aux efforts d’atténuation et de nettoyage après avoir découvert les référentiels Docker Hub qui sont utilisés pour propager des logiciels malveillants et des escroqueries par hameçonnage.
Docker Hub héberge actuellement environ 15 millions de référentiels. JFrog a découvert qu’environ 19 % de ces référentiels (2,8 millions) hébergent du contenu malveillant. Le contenu malveillant va du spam à la promotion de faux contenus, de sites malveillants, de sites d’hameçonnage, etc.
Comment les acteurs malveillants abusent de Docker Hub
Docker Hub est une plateforme communautaire que les utilisateurs peuvent rechercher des images pour soutenir leurs projets. Les gestionnaires de référentiels peuvent ajouter une description et la documentation associée au format HTML que les utilisateurs pourront voir lors de l’affichage du référentiel.
JFrog a trouvé environ 4,6 millions de référentiels sans image et sans contenu en dehors de la documentation du référentiel. En regardant de plus près ces référentiels, JFrog a découvert que la plupart d’entre eux étaient téléchargés avec une intention malveillante.
Identification des référentiels malveillants
JFrog a rassemblé tous les référentiels Docker Hub sans image publiés au cours des cinq dernières années, identifiant un pic en 2021 et 2023. Ils ont examiné de plus près chaque jour, trouvant un modèle de semaine de travail avec plus de référentiels créés les jours ouvrables que les week-ends.
JFrog a pu regrouper des référentiels anormaux en trois types de campagne (plus d’informations ci-dessous). Sur les 4,6 millions de référentiels sans image, ils ont pu lier 2,8 millions à ces trois types de campagne.
Les trois campagnes
Les référentiels malveillants identifiés ont été déterminés comme faisant partie de trois vastes campagnes.
- Téléchargeur : les référentiels entrant dans la campagne de téléchargement contenaient des « textes générés automatiquement avec du texte SEO proposant de télécharger du contenu piraté ou des tricheries pour les jeux vidéo ». Dans la première vague majeure de cette campagne, les URL prétendaient être des raccourcisseurs d’URL connus et redirigeraient l’utilisateur, servant de proxy pour un CDN malveillant. Dans la deuxième vague majeure, les référentiels ont plutôt pointé vers des ressources légitimes en tant que redirections vers des sources malveillantes.
- Phishing de livres électroniques : les référentiels entrant dans la campagne d’hameçonnage de livres électroniques ont essentiellement transformé Docker Hub en bibliothèque de livres électroniques piratés, offrant des téléchargements de livres électroniques gratuits. Bien qu’elle soit offerte gratuitement, la campagne demanderait à l’utilisateur de saisir les informations de sa carte de crédit dans un formulaire visant à voler ces informations.
- SEO du site Web : cette campagne est moins claire que les deux précédentes. Les référentiels de cette campagne sont principalement inoffensifs, mais on pense toujours qu’ils ont été téléchargés avec une intention malveillante. JFrog pense que ces éléments auraient pu être utilisés comme un test de résistance avant de mener des campagnes plus importantes.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ces résultats soulignent la facilité avec laquelle les référentiels open source peuvent être utilisés dans les attaques de la chaîne d’approvisionnement et réitèrent que des activités similaires se produisent probablement dans différents référentiels open source.
Ce qui rend ces types d’attaques particulièrement lucratives, c’est la confiance inhérente qui est parfois placée sur des plateformes telles que Docker Hub. JFrog inclut des détails dans son rapport sur la manière d’identifier les images Docker qui sont marquées comme « Contenu de confiance », ce qui peut aider à réduire (mais pas à éliminer complètement) le risque de ces attaques.
Il convient de noter que Docker Hub a supprimé les référentiels malveillants identifiés, mais que le blocage systématique de chaque téléchargement malveillant est presque impossible.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
