Dans le résumé de cette semaine : quelques acteurs malveillants ont mis en œuvre une fonction de recherche qui permet aux victimes de trouver plus facilement les données divulguées et de les utiliser comme mécanisme d’extorsion. En outre, les menaces persistantes avancées soutenues par la Chine ciblent de plus en plus la Russie. Et une montée en puissance des attaques QBot a été attribuée aux améliorations et aux nouvelles techniques d’attaque mises en œuvre par les développeurs et opérateurs de logiciels malveillants de longue durée.
1. Les gangs de rançongiciels vous permettent désormais de rechercher leurs données volées
Deux groupes de ransomwares et un groupe d’extorsion de données ont adopté une nouvelle stratégie pour forcer les victimes à se soumettre à des demandes de rançon afin d’empêcher que leurs données volées ne soient divulguées publiquement par leurs attaquants.
Ces groupes ont ajouté une fonction de recherche sur leurs sites de fuite de données qui permet aux victimes et à leurs partenaires/clients/actionnaires de vérifier plus facilement si les données divulguées contiennent des détails sensibles ou préjudiciables concernant leurs activités ou relations.
Selon BleepingComputer, l’opération de ransomware ALPHV/BlackCat a peut-être déclenché la tendance. La semaine dernière, ils ont révélé une base de données consultable qui contient des données volées aux victimes non payantes.
Le gang de rançongiciels vous permet désormais de rechercher leurs données volées - @Ionut_Ilascuhttps://t.co/3VIKsiLJG6
— BleepingComputer (@BleepinComputer) 11 juillet 2022
Le gang de ransomware a clairement indiqué qu’il indexait les référentiels, suggérant ainsi que l’option de recherche fonctionne mieux lorsque les utilisateurs recherchent des informations par nom de fichier ou contenu connu pour être contenu dans des documents ou des images. Les résultats sont extraits de la fonction « collections » sur le site de fuite de BlackCat. Et bien qu’il y ait encore une marge d’amélioration en ce qui concerne la précision de la fonctionnalité, la capacité est une évolution indéniable de la méthodologie d’extorsion des acteurs malveillants.
Lorsqu’une grande partie du succès d’une opération d’extorsion dépend de la pression qu’elle peut appliquer à ses victimes, la capacité à rechercher le contenu des données volées est un ajout précieux aux boîtes à outils de ces acteurs. Cette fonctionnalité facile à adopter peut probablement s’avérer une ressource clé pour les groupes de type extorsion tentant de convaincre les victimes de payer pour la suppression des données, tout en permettant potentiellement aux victimes d’éviter d’autres maux de tête tels que des poursuites collectives et de lourdes amendes de la part des régulateurs de confidentialité des données.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce que nous voyons ici est une autre évolution naturelle de la méthodologie utilisée par les cybercriminels de type extorsion qui cherchent à augmenter la pression sur leurs victimes pour se soumettre aux demandes de rançon, augmentant ainsi la probabilité et la fréquence de paiements réussis. Nous avons été témoins de la même chose avec l’émergence de la tactique de « double extorsion », et encore une fois avec l’adoption inévitable de la tactique de « triple extorsion » par des cybercriminels financièrement motivés.
Il reste à voir si la mise en œuvre d’une tactique apparemment aussi insignifiante s’avérera réussie pour les acteurs malveillants nommés ci-dessus et pour ceux qui sont sûrs d’adopter la capacité de recherche à l’avenir dans le but de suivre le rythme de leurs pairs. Ce qui est clair, c’est que la tactique ne nécessite aucun investissement majeur, donc si elle s’avère réussie, elle deviendra certainement une mise à jour attrayante des sites de fuite de données appartenant à diverses opérations de cyber-extorsion. »
2. Selon une analyse, les pirates informatiques liés au gouvernement chinois ciblent de plus en plus la Russie
Les pirates informatiques nationaux avec des liens avec le gouvernement chinois semblent cibler les entités russes à un rythme croissant, déclare Tom Hegel, chercheur principal sur les menaces chez SentinelOne. La motivation derrière l’activité en cours est liée à l’espionnage, comme en témoigne le ciblage de l’activité, qui est révélateur d’acteurs de cybermenaces soutenus par l’État possédant un vif « intérêt pour l’Asie du Nord-Est, y compris les gouvernements, les infrastructures critiques et d’autres entreprises privées ».
La dernière publication @LabsSentinel met en évidence l’activité APT chinoise récente. Points forts :
- Maldocs Royal Road > RAT (Bisonnel)
- Ciblage RU / PK (Gouvernement + infra critique)
- Opportunités de basculement épicées https://t.co/jSitGI7IVT
— Tom Hegel (@TomHegel) 7 juillet 2022
L’analyse d’Hegel attribue les attaques contre les cibles russes avec une grande confiance à un groupe de cyberespionnage parrainé par l’État chinois. Une conclusion similaire a également été présentée dans une alerte CERT ukrainienne (CERT-UA) récemment émise. Les attaques utilisent des e-mails d’hameçonnage pour fournir des documents Microsoft Office (MS Word) afin d’exploiter les cibles et, en fin de compte, fournir le cheval de Troie d’accès à distance (RAT) de leur choix, qui semble être Bisonal, un RAT unique aux acteurs malveillants chinois. Bisonal est employé depuis longtemps dans des campagnes d’espionnage contre des entreprises de défense en Russie, au Japon et en Asie du Nord, et plus récemment, des attaques contre des organisations de télécommunications pakistanaises.
Selon SentinelOne, les objectifs récents de renseignement de la Chine contre la Russie peuvent être observés dans plusieurs campagnes après le début du conflit Russie/Ukraine, comme Scarab, Mustang Panda, Space Pirates, et désormais l’activité décrite dans les présentes.SentinelOne pense qu’il s’agit d’une campagne chinoise distincte, mais Hegel admet que l’attribution d’acteurs spécifiques est impossible à l’heure actuelle. L’utilisation du RAT Bisonal est probablement un facteur contribuant aux difficultés auxquelles les chercheurs de SentinelOne ont été confrontés pour obtenir l’attribution pour cette activité. Les menaces persistantes avancées chinoises sont connues pour partager des outils et des méthodologies, et le malware a été exploité par un large éventail d’acteurs malveillants soutenus par la Chine à divers moments.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La Chine a récemment fait beaucoup de changements significatifs dans le domaine cybernétique. Comme l’a récemment rapporté CTI, le Parti communiste chinois (CCP) et son gouvernement étroitement contrôlé, y compris ses légions de groupes APT bien approvisionnés affiliés au ministère chinois de la Sécurité d’État (MSS) et à l’armée de libération du peuple (PLA), sont ouvertement engagés dans une campagne à long terme pour devenir le SEUL superpouvoir au monde. Cela implique de mettre en œuvre la stratégie de « tout l’État » de la Chine ; un nom agréable donné à une opération nationale pour voler « une expertise, une technologie, une recherche et un avantage commercial de premier plan » aux nations occidentales dans une offre intensive pour stimuler la position mondiale de la Chine.
La Chine n’a pas exactement les meilleurs intérêts des États-Unis ou de ses alliés à cœur. Mais du point de vue d’un observateur qui suit la cyberactivité de la Chine et l’accumulation de ses capacités offensives depuis une décennie, je ne peux m’empêcher de sentir qu’un changement maritime arrive. Cela est prouvé par une augmentation des alertes axées sur la Chine de la CISA, CERT-UA, MI5 et du FBI.
En gardant tout cela à l’esprit, CTI adopte une approche proactive de ce que nous pensons être une augmentation imminente des cyberattaques (très probablement sous la forme d’attaques de type chaîne d’approvisionnement et d’attaques sur les MSP/ISP/télécommunications) provenant d’acteurs chinois liés à l’État. »
3. Augmentation des attaques par malware Qakbot liées à l’évolution des techniques de menace
Les rapports récents de l’ équipe de recherche en sécurité Threatlabz de Zscaler détaillent une augmentation significative de la propagation des logiciels malveillants Qakbot (alias QBot) au cours des six derniers mois, que les chercheurs attribuent aux nouvelles techniques d’attaque et aux mises à niveau apportées au logiciel malveillant.
QBot est restée une menace prévalente au cours des 14 dernières années, affichant un degré de longévité rare face à un paysage de cybermenaces en constante évolution dans lequel les familles de logiciels malveillants et les acteurs malveillants ayant moins de pouvoir de subsistance apparaissent, disparaissent et se renomment régulièrement.
La menace posée par QBot est largement due à sa nature modulaire, ainsi qu’à la capacité du logiciel malveillant à voler des informations et à déployer des charges utiles de l’étape suivante, qui prennent souvent la forme de ransomware, résultat de la volonté de QBot de maintenir des partenariats lucratifs avec certains des gangs d’extorsion les plus connus du paysage.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le fait que QBot ait survécu pendant plus d’une décennie et soit apparemment plus fort que jamais (comme en témoignent ses TTP en évolution, le développement continu de code et les partenariats en pleine croissance avec certaines des opérations de ransomware les plus dangereuses du paysage des menaces) parle d’elle-même. Il s’agit d’une opération malveillante qui a été considérée comme une menace significative dès le début, et qui doit être traitée comme telle. Il est très probable que bon nombre des groupes de ransomwares que nous avons appris à connaître et que la peur ne serait pas moitié plus percutante si elle ne s’appuyait pas sur des logiciels malveillants « précurseurs » tels que QBot ou l’une des autres familles de logiciels malveillants de premier plan qui rendent possibles des infections rapides par des ransomwares de domaines entiers, dans certains cas, en chiffrant les systèmes à l’échelle du domaine en quelques heures. »
Lecture supplémentaire : eBook Protéger la surface d’attaque informatique
Toutes les entreprises d’aujourd’hui sont exposées à des cybermenaces dangereuses et en constante évolution. Les DSI ont besoin des outils, des processus et du personnel nécessaires pour garder les données sensibles hors des mains des cybercriminels. Mais comment protégez-vous la surface d’attaque informatique tout en faisant avancer la transformation numérique ? Découvrez les réponses dans notre eBook gratuit.
Consultez nos récents récapitulatifs de sécurité
12 juillet : menace croissante de la Chine, attaque de la chaîne d’approvisionnement logicielle du Brute Ratel C4 et du NPM
