Au sommaire du rapport de cette semaine : APT29 campagnes soutenues par la Russie utilisent désormais des services de stockage dans le cloud très répandus, tels que Google Drive et Dropbox, pour échapper à la détection et diffuser des logiciels malveillants. Par ailleurs, un nouveau logiciel malveillant, CloudMensis, cible les utilisateurs de macOS ainsi que des services cloud de confiance à des fins d’attaques de type « command and control » (C2) et d’exfiltration de données. Nous vous présentons également le nouveau logiciel malveillant « Lightning Framework » pour Linux, qui dispose d’une multitude de fonctionnalités lui permettant d’introduire des portes dérobées sur les appareils et de déployer des rootkits.
1. Des hackers du groupe « Russian APT29 » utilisent Google Drive et Dropbox pour échapper à la détection
Selon l'Unité 42, le groupe de menaces persistantes avancées (APT) soutenu par la Russie, principalement connu sous le nom d' APT29 (s'ouvre dans un nouvel onglet) (également appelé Nobelium ou Cozy Bear), utilise désormais des services cloud légitimes et de confiance, tels que Google Drive et Dropbox, pour échapper à la détection, exfiltrer des données et diffuser des logiciels malveillants et des outils de piratage.
Les chercheurs de l'Unité 42’s affirment que l'utilisation de ces services cloud d' , (s'ouvre dans un nouvel onglet),et , à des fins de C2, de stockage et de diffusion de logiciels malveillants, n'est pas tout à fait nouvelle pour ce groupe. Le caractère généralisé de ces services et la confiance qui leur est naturellement accordée rendent leur intégration dans les opérations « APT29’s » à la fois compréhensible et préoccupante.
À propos de APT29
Le groupe APT29 est surtout connu pour son rôle dans le piratage du Comité national démocrate américain (DNC) en 2016 et pour le rôle majeur qu’il aurait joué dans la compromission catastrophique de la chaîne d’approvisionnement de SolarWinds en 2020 (s’ouvre dans un nouvel onglet). Selon des évaluations fondées sur un haut degré de certitude, le groupe APT29 opère pour le compte du Service des renseignements extérieurs russe (SVR). La motivation de cet acteur réside principalement dans l’espionnage ; on lui attribue des campagnes de spear-phishing sophistiquées et efficaces ciblant des entités gouvernementales, militaires et diplomatiques qui semblent correspondre aux intérêts étatiques et géopolitiques du gouvernement russe.
Nous nous penchons sur les détails techniques des récentes campagnes menées par Cloaked Ursa (également connu sous le nom de n° APT29), qui auraient ciblé plusieurs missions diplomatiques occidentales entre mai et juin 2022. bit.ly/3IPmqPv
Détails de la campagne
APT29’s use of popular global online storage services was first observed in attacks targeting Western diplomatic missions and foreign embassies worldwide (opens in a new tab) from early May through juin 2022.
Highly convincing spear phishing attacks are APT29’s favored method of achieving initial access, and this campaign appears to be no exception. Ces attaques commencent généralement par l'envoi, par l'auteur, d'e-mails de hameçonnage à des cibles au sein d'ambassades étrangères, sous le couvert d'invitations à des réunions avec des ambassadeurs. Ces e-mails contiennent des fichiers PDF malveillants, présentant les ordres du jour supposés des réunions, qui renvoient vers un compte Dropbox contrôlé par les pirates et injectent une charge utile Cobalt Strike sur l'appareil de la victime.
Selon un article récent de ZDNet concernant l’ e l’adoption croissante de services cloud de confiance par les pirates informatiques (s’ouvre dans un nouvel onglet) à des fins malveillantes diverses, ces premières tentatives se sont soldées par un échec – ce que l’auteur de l’article attribue, selon les chercheurs, aux politiques restrictives des réseaux d’entreprise, qui empêchent l’utilisation de certains services tiers. Ce même article indique que les pirates se sont rapidement adaptés ; ils ont envoyé des e-mails de hameçonnage similaires comme deuxième appât, mais cette fois-ci en exploitant des comptes Google Drive pour dissimuler leurs agissements et déployer Cobalt Strike ainsi que d'autres charges utiles malveillantes dans les environnements ciblés. Cette deuxième vague de grèves semble avoir rencontré un succès plus grand, probablement en raison de l'utilisation généralisée des applications Google sur les lieux de travail pour faciliter les opérations quotidiennes.
À l'instar de nombreuses autres campagnes de ce type, l'objectif ultime de la campagne « APT29’s » est de diffuser des logiciels malveillants supplémentaires, tels que , EnvyScout (s'ouvre dans un nouvel onglet),et , afin de créer des portes dérobées dans des réseaux contenant des informations sensibles, ou en vue d'une utilisation potentielle lors de futures attaques.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien que l’utilisation de ces deux services de stockage dans le cloud spécifiques pour diffuser des logiciels malveillants et dissimuler leur déploiement puisse techniquement constituer une nouvelle tactique pour le groupe APT29, des rapports antérieurs montrent que ce groupe a déjà expérimenté l’utilisation de tels services légitimes à d’autres fins. » Si ces attaques continuent de porter leurs fruits, le groupe APT29 continuera probablement à recourir à de telles méthodes. Et, si l'on en croit une étude récente de l'Institut Ponemon, ces APT29’s attaques surviennent à un moment où 60 % des responsables informatiques et de la sécurité ne se sentent pas confiants quant à leur capacité à sécuriser les environnements cloud (s'ouvre dans un nouvel onglet).
Furthermore, this group’s activity is not only indicative of the increase in Russia-linked hacking operations observed in the wake of geopolitical turmoil in Eastern Europe (opens in a new tab) – these campaigns also serve as a reminder of APT29’s adaptability and sophistication.
L'Unité 42 encourage toutes les organisations à « revoir leurs politiques en matière de messagerie électronique ainsi que les indicateurs de compromission (IOC) fournis dans le présent rapport afin de faire face à cette menace ». Le CTI partage cet avis et a adopté une approche proactive en matière de renseignement afin d’anticiper toute répercussion éventuelle des cyberattaques commanditées par un État (contre lesquelles des agences telles que , la CISA (s’ouvre dans un nouvel onglet) ont maintes fois mis en garde, soulignant qu’elles pourraient prendre la forme d’attaques par des logiciels malveillants destructeurs visant des entités occidentales) émanant d’acteurs malveillants russes. »
2. Des experts ont mis au jour un nouveau logiciel espion, « CloudMensis », qui cible les utilisateurs du système d'exploitation macOS d'Apple
Un rapport récent publié par WeLiveSecurity détaille la découverte d'une porte dérobée jusqu'alors inconnue sur macOS, baptisée « » (s'ouvre dans un nouvel onglet) , qui espionne les utilisateurs d'appareils compromis.
S'appuyant sur une méthodologie similaire à celle décrite dans l'article précédent, ce logiciel malveillant, baptisé CloudMensis, utilise exclusivement des services de stockage dans le cloud public, tels que pCloud, Yandex Disk et Dropbox, pour recevoir les commandes des pirates et exfiltrer des fichiers.
CloudMensis : présentation générale
Ce logiciel malveillant, qui a été détecté pour la première fois au début de l'année 2022, permet à ses auteurs de collecter des informations sur les appareils macOS des victimes en exfiltrant des documents, en enregistrant les frappes au clavier et en réalisant des captures d'écran. Une fois que l'exécution du code et les privilèges d'administration ont été obtenus, un processus en deux étapes se déclenche : la première étape consiste à télécharger et à exécuter la deuxième étape. À l'heure actuelle, les chercheurs ne sont pas en mesure de déterminer le vecteur d'infection initial à l'origine de ces attaques.
Le logiciel malveillant de première phase télécharge et installe le logiciel malveillant de deuxième phase sous la forme d'un démon à l'échelle du système (un programme informatique qui s'exécute en arrière-plan, sans être sous le contrôle direct d'un utilisateur). À ce stade, les attaquants ont déjà obtenu des privilèges d'administrateur, car les deux répertoires dans lesquels des fichiers semblent être écrits sur le disque ne peuvent être modifiés que par l'utilisateur root.
La deuxième phase du logiciel malveillant est un composant plus volumineux, qui comprend plusieurs fonctionnalités destinées à collecter des informations à partir des appareils compromis. L'objectif de cette étape est d'extraire les documents capturés, les captures d'écran, les pièces jointes aux e-mails, etc. CloudMensis utilise le stockage dans le cloud à la fois pour recevoir les commandes de ses opérateurs et pour exfiltrer des fichiers. Ce logiciel malveillant prend actuellement en charge trois fournisseurs : pCloud, Yandex et Dropbox.
Un nouveau logiciel malveillant, CloudMensis, utilisé pour espionner des Mac dans le cadre d'attaques ciblées - @serghei bleepingcomputer.com/news/security/…
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les chercheurs soulignent que « la qualité générale du code et l’absence d’obfuscation indiquent que les auteurs ne maîtrisent peut-être pas très bien le développement sur Mac et ne sont pas très expérimentés ». Même si la qualité du code n'est pas optimale, il ne faut pas pour autant négliger CloudMensis. « En effet, étant donné que ce logiciel malveillant utilise des services de stockage publics de confiance pour recevoir les commandes des attaquants et exfiltrer des fichiers (une tendance qui ne cesse de se généraliser tant chez les cybercriminels chevronnés que chez les groupes APT), il serait judicieux de surveiller de près CloudMensis et son évolution. »
3. Un nouveau logiciel malveillant pour Linux, « Lightning Framework », installe des rootkits et des portes dérobées
CTI suit de près le tout nouveau «Lightning Framework (s'ouvre dans un nouvel onglet) », un nouveau type de logiciel malveillant dangereux qui cible les systèmes Linux.
Selon le blog Intezer, spécialisé dans la recherche sur les menaces, ce logiciel malveillant, véritable « couteau suisse », peut être utilisé pour créer une porte dérobée sur les appareils infectés (s'ouvre dans un nouvel onglet) et déployer plusieurs types de rootkits.
Lightning Framework se compose d'un programme de téléchargement et d'un module principal, ainsi que de plusieurs plugins disponibles, dont bon nombre sont des outils open source. Ce framework recourt également massivement au typosquatting et à l'usurpation d'identité pour passer inaperçu.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Lightning Framework est la dernière famille de logiciels malveillants sous Linux à avoir fait son apparition ces derniers mois, après l’émergence de BPFDoor (s’ouvre dans un nouvel onglet), , Symbiote (s’ouvre dans un nouvel onglet), , Syslogk (s’ouvre dans un nouvel onglet) et OrBit (s’ouvre dans un nouvel onglet) (sur lesquels CTI a tous rendu compte d’une manière ou d’une autre). » Si cela ne montre pas à quel point les acteurs malveillants s'intéressent aux environnements Linux, je ne sais pas ce qui le montrera. Le framework Lightning dispose d'un nombre incroyable de fonctionnalités par rapport à la plupart des logiciels malveillants sous Linux signalés précédemment. Le fait qu’un logiciel malveillant dispose d’une telle richesse de fonctionnalités à un stade aussi précoce de son développement fait de Lightning Framework un sujet d’un intérêt extrême.
Les chercheurs d'Intezer ont constaté que plusieurs fichiers du Lightning Framework n'avaient pas pu être localisés en vue de leur analyse. « CTI continuera à suivre de près le Lightning Framework et vous tiendra informés dès que de nouveaux détails seront disponibles. »
Neutralisez les attaques dès leur apparition grâce à Tanium
Les menaces émergentes telles que Lightning Framework doivent être détectées et éliminées rapidement avant qu'elles ne puissent nuire à votre organisation.
Pour vous aider, nous proposons une solution performante de recherche active des menaces qui permet de générer des rapports rapides et précis sur ces dernières. Pour découvrir comment Tanium Threat Hunting peut contribuer à la sécurité de votre entreprise, rendez-vous sur ou visionnez cette démonstration : (s'ouvre dans un nouvel onglet).
