Dans son tour d'horizon de cette semaine, CTI se penche sur un nouveau logiciel malveillant baptisé « Cuttlefish », qui cible les routeurs de type « petites entreprises et bureaux à domicile » (SOHO) destinés aux entreprises. CTI examine ensuite en quoi les cybercriminels et les menaces avancées persistantes (APT) partagent un intérêt commun pour les couches d'anonymisation par proxy et les nœuds VPN. Enfin, CTI examine comment les acteurs malveillants utilisent les dépôts Docker Hub pour diffuser des logiciels malveillants et des tentatives d'hameçonnage de type « » — et comment JFrog et Docker collaborent pour mettre en place des mesures d'atténuation.
1. Le logiciel malveillant « Cuttlefish » cible les routeurs des petites entreprises et des particuliers
Un nouveau logiciel malveillant baptisé « Cuttlefish » cible les routeurs SOHO destinés aux entreprises. Ce logiciel malveillant modulaire crée un tunnel proxy ou VPN afin de surveiller le trafic transitant par ces appareils, dans le but d'exfiltrer des données d'authentification issues des requêtes HTTP GET et POST.
Black Lotus Labs, filiale de Lumen Technologies, a découvert cette activité en mettant au jour une série de fichiers malveillants qui justifiaient une enquête plus approfondie. Bien que Black Lotus n'ait pas encore pu déterminer le vecteur d'accès initial, l'équipe a confirmé que l'acteur malveillant déploie un script Bash afin de collecter des informations destinées à être transmises à son « C2 ». Ce script sert à télécharger et à exécuter le logiciel malveillant Cuttlefish, qui est compilé pour « toutes les principales architectures utilisées par les systèmes d'exploitation SOHO ».
Cuttlefish installera un filtre de paquets afin d'inspecter les connexions sortantes sur des ports, protocoles et adresses IP spécifiques. Il surveillera le trafic et n'interviendra pour le détourner que lorsqu'il identifiera certaines activités.
Script Bash malveillant
Le script Bash va analyser le périphérique afin de rechercher la liste des répertoires, le contenu du répertoire /etc, les processus en cours d'exécution, les connexions actives, et bien plus encore.
Ces informations seront compressées dans un fichier qui sera ensuite mis en ligne sur un domaine géré par un acteur. Une fois le téléchargement terminé, le fichier est supprimé de l'appareil.
La charge utile principale de Cuttlefish
Lors de sa première exécution, ce fichier s'ouvrira et se connectera au port 61235 , à condition que celui-ci ne soit pas déjà utilisé par un autre processus.
Lumen Technologies a analysé le fichier et a identifié plusieurs paramètres prédéfinis, notamment la suppression de l'ancien agent, la sélection automatique de l'interface sur le routeur ciblé, l'indication de l'exécution ou non en tant que démon, et bien d'autres encore. La charge utile établira une connexion sécurisée avec le C2 , qui servira à télécharger et à mettre à jour l'ensemble de règles.
Cet échantillon est capable d'intercepter et de détourner des plages d'adresses IP afin de collecter des identifiants. Dès qu'un fichier journal contenant le trafic filtré atteint une taille définie, il sera compressé au format gzip puis transféré vers le serveur C2. Des chercheurs ont découvert un module offrant une fonctionnalité VPN basée sur un projet open source appelé « n2n ». Dans d'autres échantillons, une fonctionnalité de proxy a été utilisée comme alternative pour acheminer le trafic via l'appareil infecté.
L'échantillon est capable d'identifier les données d'authentification associées à des services tels qu'AliCloud, AWS, Digital Ocean, CloudFlare et BitBucket grâce à la mise en place d'un filtre de paquets Berkeley étendu.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cuttlefish est intéressant car il recherche des données d'authentification cloud spécifiques tout en analysant le réseau, et n'exfiltre que ce qui l'intéresse.
Cet intérêt pour les identifiants de connexion au cloud constitue une tendance croissante dans le paysage des menaces, à mesure que de plus en plus d'attaques se concentrent désormais sur les environnements cloud. Lumen Technologies estime que le ciblage des équipements réseau ainsi que la collecte d'identifiants de connexion au cloud « visent à obtenir un accès persistant à long terme à ces écosystèmes ciblés ».
2. Les États-nations et les cybercriminels se partagent les réseaux compromis
Trend Micro, entre autres, constate un intérêt commun pour l'anonymisation par proxy , les couches de protection et les nœuds VPN, tant de la part des cybercriminels que des groupes APT sophistiqués.
Cet intérêt commun découle de la nécessité pour ces acteurs de dissimuler leur présence dans leur environnement et de rendre leur détection plus difficile. Cela aboutit finalement à un mélange de trafic malveillant lié à la fois à des motivations financières et à des fins d'espionnage.
On peut illustrer cet intérêt commun par l'exemple d'un botnet cybercriminel qui utilisait des appareils Ubiquiti EdgeRouter piratés. Un groupe de cyberespionnage (APT) appelé « Pawn Storm » a réussi à accéder aux bots de ce botnet et à les utiliser pour mener ses propres campagnes d'espionnage. C'est pourquoi ces EdgeRouters Ubiquiti compromis étaient utilisés par plusieurs acteurs malveillants à des fins diverses, allant des attaques par force brute SSH aux réflecteurs SMB dans le cadre d'attaques de relais de hachage NTLMv2 , en passant par l'envoi d'e-mails de spear phishing, entre autres.
Le botnet susmentionné existait depuis 2016 et a été démantelé par le FBI en janvier 2024. Son code a été mis à jour et enrichi ; il en est désormais à la version 20,3. Ce botnet est composé de scripts Bash, de scripts Python et de binaires Linux malveillants tels que SSHDoor. Il peut obtenir des informations sur l'ordinateur hôte, telles que les dossiers, les utilisateurs du système, la puissance de calcul, les logiciels installés, les mots de passe, etc.
Qu'est-ce que SSHDoor ?
Le terme « SSHDoor » désigne les versions de serveurs SSH comportant une porte dérobée. Il peut voler des identifiants légitimes et « permettre l'accès non autorisé à des tiers en ajoutant des identifiants codés en dur ou une clé SSH ».
Les chercheurs estiment que l'acteur malveillant Pawn Storm a utilisé SSHDoor pour accéder à des routeurs fonctionnant sous EdgeOS. Le démantèlement de ce botnet par le FBI a eu un impact considérable sur les campagnes de Pawn Storm. Cependant, tous les EdgeRouter n'ont pas été nettoyés.
Le logiciel malveillant Ngioweb a été détecté sur EdgeOS
Trend Micro a identifié un autre botnet Linux qui exécutait des logiciels malveillants sur certains des EdgeRouters détournés par Pawn Storm.
Ce botnet Linux était plus sophistiqué et s'est avéré être une variante du logiciel malveillant Ngioweb. Les bots de ce botnet ont été utilisés dans le cadre d'un botnet résidentiel disponible dans le commerce.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est fréquent que les acteurs malveillants partagent des intérêts et des objectifs communs, et il n’est pas rare qu’ils partagent également, à l’occasion, des infrastructures.
Ce que l'on constate de plus en plus aujourd'hui, c'est que ces mêmes routeurs piratés sont utilisés à des fins et dans des buts différents. Cela commence à prendre la forme d'une sorte de nouveau modèle économique au sein de la communauté cybercriminelle, dans lequel les auteurs de menaces louent désormais des routeurs piratés à d'autres acteurs dans un but lucratif, ce qui réduit les barrières à l'entrée.
3. Les cybercriminels utilisent Docker Hub pour diffuser des logiciels malveillants et mener des attaques de hameçonnage
JFrog et Docker collaborent à la mise en place de mesures d'atténuation et de nettoyage après avoir découvert des dépôts Docker Hub utilisés pour diffuser des logiciels malveillants et mener des tentatives d'hameçonnage.
Docker Hub héberge actuellement environ 15 millions de dépôts. JFrog a découvert qu'environ 19 % de ces dépôts (2,8 millions) hébergent du contenu malveillant. Ces contenus malveillants vont du spam à la promotion de contenus frauduleux, en passant par les sites contenant des logiciels malveillants, les sites de hameçonnage, etc.
Comment les cybercriminels exploitent Docker Hub
Docker Hub est une plateforme communautaire sur laquelle les utilisateurs peuvent rechercher des images pour leurs projets. Les responsables de dépôts peuvent ajouter une description et de la documentation associée au format HTML, que les utilisateurs pourront consulter lorsqu'ils consulteront le dépôt.
JFrog a recensé environ 4,6 millions de dépôts ne contenant aucune image et dont le contenu se limite à la documentation du dépôt. En examinant ces référentiels de plus près, JFrog a constaté que la plupart d'entre eux avaient été mis en ligne dans une intention malveillante.
Identification des dépôts malveillants
JFrog a recensé l'ensemble des dépôts Docker Hub ne contenant aucune image publiés au cours des cinq dernières années, et a constaté un pic en 2021 et 2023. Ils ont examiné la question de plus près en se concentrant sur la période diurne et ont constaté une tendance liée au rythme de la semaine de travail : davantage de dépôts étaient créés les jours ouvrables que le week-end.
JFrog a pu regrouper les dépôts présentant des anomalies en trois types de campagnes (nous y reviendrons plus loin). Sur les 4,6 millions de référentiels sans image, ils ont pu en associer 2,8 millions à ces trois types de campagne.
Les trois campagnes
Il a été établi que les dépôts malveillants identifiés s'inscrivaient dans le cadre de trois grandes campagnes.
- Downloader : Les dépôts concernés par la campagne de Downloader contenaient « des textes générés automatiquement, optimisés pour le référencement, proposant de télécharger du contenu piraté ou des astuces pour des jeux vidéo ». Lors de la première vague majeure de cette campagne, les URL se faisaient passer pour des services de raccourcissement d'URL connus et redirigeaient l'utilisateur, servant ainsi de proxy à un CDN malveillant. Lors de la deuxième vague majeure, les référentiels redirigeaient en effet vers des ressources légitimes qui, à leur tour, redirigeaient vers des sources malveillantes.
- Hameçonnage lié aux livres électroniques : Les référentiels visés par cette campagne d'hameçonnage ont, en substance, transformé Docker Hub en une bibliothèque de livres électroniques piratés, proposant le téléchargement de livres électroniques gratuits. Bien qu'elle soit présentée comme gratuite, cette campagne vous demanderait de saisir les informations de votre carte bancaire dans un formulaire destiné à les voler.
- Référencement naturel du site web : Cette campagne est moins claire que les deux précédentes. Les dépôts concernés par cette campagne sont pour la plupart inoffensifs, mais on estime néanmoins qu'ils ont été mis en ligne dans une intention malveillante. JFrog estime que ces actions auraient pu servir en quelque sorte de test de résistance avant le lancement de campagnes de plus grande envergure.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ces conclusions soulignent à quel point les référentiels open source peuvent être facilement exploités dans le cadre d'attaques visant la chaîne d'approvisionnement et confirment que des activités similaires ont probablement lieu dans différents référentiels open source.
Ce qui rend ce type d'attaques particulièrement lucratives, c'est la confiance inhérente que l'on accorde parfois à des plateformes telles que Docker Hub. JFrog fournit dans son rapport des informations détaillées sur la manière d'identifier les images Docker marquées comme « Contenu de confiance », ce qui peut contribuer à réduire (sans toutefois l'éliminer totalement) le risque lié à ces attaques.
Il convient de noter que Docker Hub a supprimé les dépôts malveillants identifiés, mais qu'il est pratiquement impossible de bloquer systématiquement chaque mise en ligne malveillante.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
