Dans le récapitulatif de cette semaine : quelques cybercriminels ont mis en place une fonction de recherche qui permet aux victimes de retrouver plus facilement les données divulguées et s'en servent comme moyen de chantage. Par ailleurs, des attaques APT présumées soutenues par la Chine ciblent de plus en plus la Russie. Cette recrudescence des attaques QBot a été attribuée aux améliorations et aux nouvelles techniques d'attaque mises en œuvre par les développeurs et les opérateurs de ce logiciel malveillant de longue date.
1. Les groupes spécialisés dans les ransomwares vous permettent désormais d'effectuer des recherches dans les données qu'ils ont volées
Deux groupes spécialisés dans les ransomwares et un groupe pratiquant l'extorsion de données ont adopté une nouvelle stratégie visant à contraindre leurs victimes à céder à leurs demandes de rançon afin d'empêcher que les données dérobées ne soient rendues publiques par leurs attaquants.
Ces groupes ont ajouté une fonction de recherche sur leurs sites consacrés aux fuites de données, ce qui permet aux victimes ainsi qu'à leurs partenaires, clients ou actionnaires de vérifier plus facilement si les données divulguées contiennent des informations sensibles ou préjudiciables concernant leurs activités ou leurs relations.
Selon BleepingComputer (s'ouvre dans un nouvel onglet), l'opération de ransomware ALPHV/BlackCat pourrait avoir été à l'origine de cette tendance. La semaine dernière, ils ont dévoilé une base de données consultable contenant des informations volées à des victimes qui n'avaient pas payé.
Un groupe de cybercriminels spécialisé dans les ransomwares vous permet désormais d'effectuer des recherches dans les données qu'il a volées - @Ionut_Ilascu bleepingcomputer.com/news/security/…
Le groupe à l'origine du rançongiciel a clairement indiqué qu'il indexait les référentiels ; il a d'ailleurs judicieusement précisé que la fonction de recherche était plus efficace lorsque les utilisateurs recherchaient des informations par nom de fichier ou par contenu dont ils savaient qu'il figurait dans des documents ou des images. Ces résultats sont tirés de la rubrique « Collections » du site de fuites BlackCat. Et bien qu’il y ait encore matière à amélioration en ce qui concerne la précision de cette fonctionnalité, celle-ci constitue indéniablement une évolution des méthodes d’extorsion utilisées par les cybercriminels.
Lorsqu’une grande partie du succès d’une opération d’extorsion dépend de l’intensité de la pression qu’elle peut exercer sur ses victimes, la capacité à analyser le contenu des données volées constitue un atout inestimable dans la panoplie d’outils de ces acteurs. Cette fonctionnalité facile à mettre en œuvre pourrait bien s’avérer un atout majeur pour les groupes pratiquant le chantage qui tentent de convaincre leurs victimes de payer pour la suppression de leurs données ; tout en permettant potentiellement à ces dernières d’éviter d’autres désagréments, tels que des recours collectifs et des amendes lourdes infligées par les autorités de protection des données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce à quoi nous assistons ici, c’est une nouvelle évolution naturelle de la méthodologie employée par les cybercriminels pratiquant l’extorsion, qui cherchent à accroître la pression exercée sur leurs victimes afin qu’elles cèdent à leurs demandes de rançon, augmentant ainsi la probabilité et la fréquence des paiements effectifs. » Nous avons constaté le même phénomène avec l'émergence de la tactique de « double extorsion », puis à nouveau avec l'adoption inévitable de la tactique de « triple extorsion » par des cybercriminels animés par des motivations financières.
Il reste à voir si la mise en œuvre d'une tactique aussi apparemment anodine s'avérera fructueuse pour les acteurs malveillants cités ci-dessus, ainsi que pour ceux qui ne manqueront pas d'adopter cette fonctionnalité de recherche à l'avenir afin de tenter de rester à la hauteur de leurs pairs. Ce qui est clair, c’est que cette tactique ne nécessite aucun investissement majeur ; ainsi, si elle s’avère efficace, elle deviendra sans aucun doute un atout de choix pour les sites de divulgation de données appartenant à diverses opérations de cyber-extorsion. »
2. Une analyse suggère que des pirates informatiques liés au gouvernement chinois ciblent de plus en plus la Russie
Des pirates informatiques agissant pour le compte d'États et liés au gouvernement chinois (s'ouvre dans un nouvel onglet) semblent cibler de plus en plus souvent des entités russes, rapporte Tom Hegel, chercheur senior en menaces chez SentinelOne. Cette activité en cours s’inscrit dans un contexte d’espionnage, comme en témoigne le ciblage de celle-ci, qui révèle que les acteurs de cybermenaces soutenus par des États manifestent un « intérêt marqué pour l’Asie du Nord-Est, notamment pour les gouvernements, les infrastructures critiques et d’autres entreprises privées ».
Le dernier article publié sur @LabsSentinel met en lumière les récentes activités des groupes APT chinois. Points forts : 🟣 Royal Road Maldocs > RAT (Bisonal) 🟣 Ciblage RU / PK (gouvernement et infrastructures critiques) 🟣 Opportunités de pivot intéressantes
🇨🇳 Nouveauté sur #SentinelLabs ! Une campagne de hameçonnage liée à la Chine cherche à compromettre des cibles russes à l'aide d'un logiciel malveillant sur mesure conçu à des fins d'espionnage. Recherche menée par @TomHegel sentinelone.com/labs/targets-o… cc : @LabsSentinel #russie #chine #cybersécurité #cyberespionnage #recherche #espionnage
L'analyse de Hegel attribue, avec un haut degré de certitude, les attaques contre des cibles russes à un groupe de cyberespionnage soutenu par l'État chinois. Une conclusion similaire a également été présentée dans une alerte récemment publiée par le CERT ukrainien ( , CERT-UA) : (s'ouvre dans un nouvel onglet). Ces attaques utilisent des e-mails de hameçonnage de type « » ( ) pour transmettre des documents Microsoft Office (MS Word) visant à exploiter les vulnérabilités des cibles et, à terme, à leur injecter le cheval de Troie d'accès à distance (RAT) de leur choix, qui semble être Bisonal — un RAT propre aux acteurs malveillants chinois. Bisonal est utilisé depuis longtemps dans le cadre de campagnes d'espionnage menées par l' e contre des entreprises du secteur de la défense (s'ouvre dans un nouvel onglet) en Russie, au Japon et en Asie du Nord – et, plus récemment, dans le cadre d'attaques visant des organismes de télécommunications pakistanais.
Selon SentinelOne, les récents objectifs de renseignement de la Chine à l’encontre de la Russie se manifestent à travers plusieurs campagnes menées depuis le début du conflit russo-ukrainien, telles que : Scarab (s’ouvre dans un nouvel onglet), Mustang Panda (s’ouvre dans un nouvel onglet), Space Pirates (s’ouvre dans un nouvel onglet), ainsi que l’activité décrite dans le présent document. SentinelOne estime qu'il s'agit d'une campagne chinoise distincte, mais Hegel reconnaît qu'il est impossible, à l'heure actuelle, d'identifier précisément l'acteur responsable. L'utilisation du RAT Bisonal est probablement l'un des facteurs ayant contribué aux difficultés rencontrées par les chercheurs de SentinelOne pour déterminer l'origine de cette activité. Les APT chinoises sont connues pour partager leurs outils et leurs méthodes, et ces logiciels malveillants ont été utilisés à différentes époques par un large éventail d'acteurs malveillants soutenus par la Chine.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La Chine a récemment pris de nombreuses mesures importantes dans le domaine cybernétique. » Comme l’a récemment rapporté le CTI d’ (s’ouvre dans un nouvel onglet), le Parti communiste chinois (PCC) et son gouvernement étroitement contrôlé – y compris ses légions de groupes APT dotés de ressources importantes et affiliés au ministère chinois de la Sécurité d’État (MSS) et à l’Armée populaire de libération (APL) – mènent ouvertement une campagne à long terme visant à devenir la SEULE superpuissance mondiale. Il s'agit de mettre en œuvre la stratégie chinoise dite de « l'État dans son ensemble » ; une appellation flatteuse désignant une opération à l'échelle nationale visant à s'approprier « l'expertise, la technologie, la recherche et les avantages commerciaux de premier plan au niveau mondial » des pays occidentaux, dans le cadre d'une initiative intensive destinée à renforcer la position de la Chine sur la scène internationale.
La Chine n'a pas vraiment à cœur les intérêts des États-Unis ou de leurs alliés. Mais du point de vue d’un observateur qui suit depuis près d’une décennie les activités cybernétiques de la Chine et le renforcement de ses capacités offensives, je ne peux m’empêcher de penser qu’un changement radical se profile. Cela se traduit par une augmentation du nombre d'alertes concernant la Chine émises par la CISA, le CERT-UA, le MI5 et le FBI.
Compte tenu de tout cela, CTI adopte une approche proactive face à ce que nous estimons être une recrudescence imminente des cyberattaques (qui prendront très probablement la forme d’attaques visant la chaîne d’approvisionnement et d’attaques contre les MSP, les FAI et les opérateurs de télécommunications) menées par des acteurs malveillants chinois liés à l’État. »
3. La recrudescence des attaques du logiciel malveillant Qakbot s'explique par l'évolution des techniques utilisées par les cybercriminels
Un rapport récent de l'équipe de recherche en sécurité « Threatlabz » de Zscaler ( ) (s'ouvre dans un nouvel onglet) fait état d'une forte recrudescence de la propagation du logiciel malveillant Qakbot (également appelé QBot) au cours des six derniers mois, que les chercheurs attribuent à de nouvelles techniques d'attaque et aux mises à jour apportées à ce logiciel malveillant.
QBot est resté une menace omniprésente au cours des 14 dernières années, faisant preuve d'une longévité hors du commun dans un contexte où le paysage des cybermenaces évolue sans cesse, et où des familles de logiciels malveillants et des acteurs malveillants moins tenaces apparaissent, disparaissent et changent régulièrement de nom.
La menace que représente QBot tient en grande partie à sa nature modulaire, ainsi qu’à la capacité de ce logiciel malveillant à voler des informations et à déployer des charges utiles de deuxième phase – qui prennent souvent la forme de ransomware ; cela s’explique par la volonté de QBot d’entretenir des partenariats lucratifs avec certains des groupes d’extorsion les plus notoires du milieu.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le fait que QBot ait survécu pendant plus d’une décennie et semble plus puissant que jamais (comme en témoignent l’évolution de ses techniques, tactiques et procédures, le développement continu de son code et ses partenariats florissants avec certaines des opérations de rançongiciel les plus dangereuses du paysage des menaces) parle de lui-même. » Il s'agit d'une opération de logiciels malveillants qui a été considérée comme une menace importante dès le début, et qui doit être traitée comme telle. « Il est très probable que bon nombre des groupes d’auteurs de ransomware que nous connaissons et redoutons aujourd’hui n’auraient pas un impact aussi important s’ils ne s’appuyaient pas sur des logiciels malveillants « précurseurs » tels que QBot ou l’une des autres familles de logiciels malveillants de premier plan qui permettent des infections rapides par ransomware de domaines entiers – allant parfois jusqu’à chiffrer l’ensemble des systèmes d’un domaine en l’espace de quelques heures. »
Pour en savoir plus : le livre électronique « Protéger la surface d'attaque informatique »
Aujourd'hui, toutes les entreprises sont exposées à des cybermenaces dangereuses et en constante évolution. Les DSI ont besoin d'outils, de processus et de personnel pour empêcher les cybercriminels d'accéder aux données sensibles. Mais comment protéger la surface d'attaque informatique tout en poursuivant la transformation numérique ? Découvrez les réponses dans notre eBook gratuit « » (s'ouvre dans un nouvel onglet).
Consultez nos derniers résumés sur la sécurité
