Dans ce rapport, nous examinons comment une menace persistante avancée (APT) de langue chinoise mène des attaques contre des systèmes de contrôle industriel (ICS) en exploitant une variante remaniée de la porte dérobée ShadowPad. Par ailleurs, le collectif hacktiviste DragonForce affirme vouloir abandonner l'activisme au profit de la cybercriminalité, principalement par le biais de l'utilisation de rançongiciels.
Enfin, Microsoft met désormais en garde contre des mises à niveau majeures apportées à l'arsenal du groupe « 8220 », qui soutiennent les activités de cryptovol de ce dernier et exploitent activement une vulnérabilité de Confluence.
Examinons de plus près ces événements qui sont en train de se dérouler.
1. Un groupe APT présumé d'origine chinoise utilise ShadowPad pour attaquer des systèmes de contrôle industriels
Un nouveau rapport de Kaspersky intitulé « » ( ) (s'ouvre dans un nouvel onglet) décrit une campagne en cours exploitant la porte dérobée ShadowPad dans le cadre d'attaques visant plusieurs systèmes de contrôle industriel (ICS) appartenant à des opérateurs de télécommunications au Moyen-Orient. Cette vague d'attaques, qui vise spécifiquement les ordinateurs d'ingénierie des systèmes d'automatisation des bâtiments (BAS), a débuté à la mi-octobre 2021e.
Au cours de l'enquête menée sur cette campagne, les chercheurs ont découvert des indices laissant supposer une activité à plus grande échelle et ont identifié d'autres victimes. Par ailleurs, Kaspersky affirme que cette campagne présente des similitudes avec les attaques menées par le groupe « mars 2021 », qui utilisaient une version antérieure de la porte dérobée ShadowPad, ainsi qu’avec un ensemble similaire de tactiques, techniques et procédures (TTP) déployées contre des organisations de logistique et de transport dans un port en Malaisie.
Points clés à retenir
- Certaines des organisations ciblées sont victimes de la vulnérabilité « CVE-2021-26855 » (s'ouvre dans un nouvel onglet) dans Microsoft Exchange.
- De mars à au moins le octobre 2021, la porte dérobée ShadowPad a été téléchargée sur les ordinateurs des victimes sous la forme du fichier mscoree.dll, lancé par AppLaunch.exe – une application légitime exécutée via la création d'une tâche dans le Planificateur de tâches de Windows.
- Par la suite, les pirates ont lancé ShadowPad en recourant au détournement de DLL dans une application légitime de visualisation d'objets OLE-COM (OleView).
- Après l'infection initiale, les pirates ont envoyé des commandes manuellement, puis automatiquement.
- Les pirates ont utilisé des domaines enregistrés auprès de NameSilo, GoDaddy.com et ENOM pour communiquer avec les serveurs de commande et de contrôle (C2). La plupart des C2 serveurs étaient hébergés sur des serveurs dédiés loués auprès du fournisseur de services gérés (MSP) Choopa.
Kaspersky affirme que le groupe a utilisé d'autres outils au cours de cette campagne. Cela inclut notamment le framework Cobalt Strike, toujours très prisé, qu’ils ont téléchargé sur les machines des victimes à l’aide de l’utilitaire certutil.exe, ainsi que des shells Web aspx compilés et les outils procdump et Mimikatz. Parmi les autres outils que les attaquants ont été observés utiliser, on peut citer la porte dérobée PlugX, des fichiers BAT destinés à voler des identifiants, des shells Web permettant d'accéder à distance au serveur Web, ainsi que l'utilitaire Nextnet pour analyser les hôtes du réseau.
L'activité post-exploitation consiste à diffuser un script malveillant destiné à cmd.exe sur les réseaux des victimes. Le script a été ajouté au planificateur de tâches afin d'être exécuté quotidiennement. Ce script contient plusieurs commandes, mais son objectif général est de collecter des informations sur le système et les utilisateurs, de copier des fichiers et de les préparer en vue de leur exfiltration, de monter des lecteurs réseau à l'aide de comptes de domaine légitimes (ce qui prouve que les attaquants ont dérobé les identifiants d'authentification du domaine d'au moins un compte dans chacune des organisations attaquées), de lancer l'outil d'extraction d'identifiants Mimikatz, et bien plus encore. Kaspersky affirme que ce dernier volet de la stratégie TTP des attaquants est unique et vient étayer davantage les affirmations des chercheurs quant à l'implication de l'État chinois.
ShadowPad : un bref aperçu
ShadowPad est un cheval de Troie d'accès à distance (RAT) modulaire de pointe que divers groupes malveillants chinois ont utilisé – et continuent d'utiliser – pour lancer des attaques contre des réseaux privés. ShadowPad est apparu pour la première fois en 2017 et reste un mécanisme d'attaque très répandu.
Dans le cadre de la campagne susmentionnée, la porte dérobée ShadowPad a été téléchargée sur les ordinateurs ciblés sous la forme du fichier mscoree.dll, qui a été lancé par l'application légitime AppLaunch.exe située dans le même dossier que ShadowPad. Le fichier AppLaunch.exe a été exécuté via la création d'une tâche dans le Planificateur de tâches de Windows.
Nouvelle méthodologie : comme indiqué ci-dessus, Kaspersky affirme que depuis environ la mi-octobre 2021e, les pirates utilisent un nouveau mode opératoire unique de lancement de ShadowPad ainsi qu'une nouvelle version du logiciel malveillant pour cibler les mêmes types d'organisations. Au lieu d'utiliser mscoree.dll, les pirates ont désormais recours à la technique de détournement de DLL, en exploitant un logiciel légitime permettant de visualiser des objets OLE-COM (OleView).
L'application légitime OleView télécharge la bibliothèque malveillante IVIEWERS.dll, qui à son tour télécharge et exécute la charge utile ShadowPad contenue dans le fichier IVIEWERS.dll.dat. Le Planificateur de tâches de Windows a également été utilisé par la nouvelle version de ShadowPad pour s'implanter et se maintenir dans les systèmes ciblés.
Une analyse plus détaillée des modifications apportées à la nouvelle variante de ShadowPad est présentée dans un rapport récent intitulé « », publié par PwC. (s'ouvre dans un nouvel onglet)
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L'apparition d'une nouvelle variante de ShadowPad est préoccupante, car elle a déjà été utilisée avec un certain succès par divers groupes APT chinois et s'est révélée être un outil fiable pour les acteurs malveillants cherchant à mener des attaques visant la chaîne d'approvisionnement. » CTI estime que Kaspersky voit tout à fait juste en ce qui concerne ses affirmations relatives à l'attribution de ces attaques (même si ShadowPad a été utilisé par divers groupes APT soutenus par des États au fil des ans), car tant les régions ciblées que le profil des victimes observées dans ces attaques correspondent aux intérêts traditionnels de l'État chinois et constituent des cibles fréquentes des attaques de cyberespionnage menées par le régime avec le soutien de l'État.
« On pense que ShadowPad a été développé par des acteurs malveillants affiliés au groupe APT chinois Bronze Atlas, puis transmis au ministère chinois de la Sécurité d'État (MSS) et à l'Armée populaire de libération (APL) – et, par extension, à leurs nombreux hackers affiliés. »
2. Le groupe hacktiviste DragonForce Malaysia publie un exploit LPE pour Windows et annonce son intention de se transformer en groupe spécialisé dans les ransomwares
Un article récent consacré aux renseignements sur les menaces, publié par CloudSEK (s'ouvre dans un nouvel onglet) , détaille une nouvelle faille exploitée par le groupe hacktiviste DragonForce Malaysia, capable de provoquer une élévation de privilèges locaux (LPE) sur des serveurs Windows et d'effectuer des actions sur des routeurs de distribution locaux (LDR) sur des serveurs situés en Inde.
Qui est DragonForce Malaysia ?
DragonForce est un groupe de hacktivistes basé en Malaisie qui était autrefois considéré comme comparable à l'organisation Anonymous, plus connue. Ce collectif de hacktivistes s'est même décrit comme un groupe « fondé sur une éthique et des principes qui font le bien » et gère des comptes sur les réseaux sociaux qui attirent des dizaines de milliers de visiteurs.
Cette opération est connue pour ses attaques contre des organisations et des entités gouvernementales à travers le Moyen-Orient et l'Asie. La cible privilégiée de DragonForce est Israël, comme en témoignent les nombreuses opérations qu’il a menées contre ce pays et ses citoyens. Le groupe possède et gère également un forum en ligne sur lequel il publie des annonces, discute de ses dernières activités et mène des campagnes de recrutement et de promotion via TikTok et Instagram.
Activités notables
La dernière campagne menée dans le cadre de cette opération, baptisée « OpsPatuk », a frappé l'Inde par une vague d'attaques en réponse aux propos controversés tenus par certains responsables politiques indiens. Radware a publié un avis (s'ouvre dans un nouvel onglet) détaillant cette campagne, notamment les vulnérabilités exploitées, les indicateurs de compromission (IOC) et les autres groupes malveillants identifiés comme impliqués dans celle-ci.
DragonForce, à l'instar de nombreux groupes hacktivistes, est connu pour collaborer avec d'autres groupes cybercriminels afin d'atteindre ses objectifs. Le groupe a emboîté le pas à d'autres hacktivistes en refaisant surface lors du conflit entre la Russie et l'Ukraine.
Historiquement, DragonForce s'est appuyé sur des outils d'attaque accessibles au public pour mener ses campagnes. Le fait que le groupe se soit tourné vers des outils d'attaque non accessibles au public marque un changement significatif par rapport à ses méthodes habituelles – et pourrait indiquer une certaine amélioration de son niveau de sophistication technique. Toutefois, cette croissance ne semble pas s'étendre aux choix du groupe en matière de sécurité opérationnelle (OPSEC).
DragonForce a récemment publié une vidéo présentant en détail sa toute dernière faille de sécurité, dont il attribue le développement à un acteur malveillant dénommé « ‘impossible1337 ». Cet exploit est conçu pour exploiter les vulnérabilités LPE et LDR des serveurs Windows, mais aucune autre information technique le concernant n'est encore accessible au public.
La vidéo change alors de ton, l'acteur malveillant exposant en détail son projet de se transformer en groupe de ransomware ; il va même jusqu'à présenter un aperçu d'une note de rançon afin de prouver le sérieux de ses intentions. À la suite de la publication de cette vidéo, le groupe a publié un article sur son site web, dans lequel il réaffirme son intention de mener des attaques par ransomware à grande échelle.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce qui est le plus frappant dans cette affaire, c’est le fait qu’un groupe de hacktivistes crée ses propres exploits et passe de l’hacktivisme aux ransomwares – ce qui témoigne d’une décision délibérée de se tourner vers la criminalité à motivation financière. » Ce changement est significatif, car la plupart des hacktivistes s'efforcent au moins de donner l'impression de poursuivre une mission bien intentionnée ; et, en général, ils ne font pas état de leur volonté de s'enrichir illégalement par le biais de la cybercriminalité.
Cette évolution des motivations de DragonForce pourrait constituer une preuve supplémentaire que les sommes colossales (et croissantes) générées par le secteur des ransomwares deviennent trop difficiles à ignorer, même pour ceux qui, à leurs débuts, prétendaient « faire le bien » dans le monde, comme l’affirmait autrefois DragonForce.
Il est également intéressant de noter que le groupe a publié une vidéo présentant en détail sa toute dernière faille de sécurité, tout en annonçant son intention de se tourner vers les ransomwares. Étant donné que ce groupe n'a pas caché l'identité de ses victimes ciblées, il a en quelque sorte prévenu ses cibles (ainsi que les forces de l'ordre) de ce à quoi elles doivent s'attendre de sa part à l'avenir. Dans ce cas précis, DragonForce offre aux victimes potentielles la possibilité d'appliquer les correctifs sur leurs serveurs Windows avant qu'une éventuelle attaque de type LPE ou LDR ne soit lancée contre Windows. »
3. Microsoft met en garde : un logiciel malveillant ciblant Linux a fait l'objet d'une mise à jour majeure
Le Centre de renseignement sur les menaces de Microsoft (MSTIC) a publié une série de tweets (s'ouvre dans un nouvel onglet) mettant en avant des mises à jour importantes concernant les TTP associées au gang 8200 , un acteur malveillant à l'origine d'une campagne de logiciels malveillants de longue date ciblant les systèmes Linux.
Ce fil de discussion sur Twitter décrit les activités récentes de la campagne ainsi que les mises à jour concernant les TTP de l'acteur malveillant, et se termine par la présentation des indicateurs de compromission (IOC) associés à 8220’s attaques récentes, dont l'objectif semble être d'ordre financier, puisqu'elles impliquent le minage de cryptomonnaies.
Qui est le gang des 8220 ?
Le groupe « 8220 » est un acteur malveillant de langue chinoise spécialisé dans le minage de Monero, qui a été repéré pour la première fois en 2017. Le surnom « ‘8220’ » fait référence à la préférence de l'acteur pour l'utilisation du port 8220 pour ses communications C2 .
Ce groupe est connu pour infecter des hôtes via des services cloud courants, en utilisant un mineur sur mesure et un bot IRC (Internet Relay Chat) afin de mener d'autres attaques et d'obtenir un accès à distance aux systèmes des victimes. Au vu de leurs dernières activités, il semble que ce soit cette méthodologie qui se soit avérée la plus efficace, puisque le groupe « 8220 » a apparemment décidé de conserver des TTP similaires jusqu’à aujourd’hui.
Atlassian a signalé une faille critique affectant ses produits Confluence Server et Data Center (référencée sous le numéro CVE-2022-26134) sur 2 juin 2022. En l'espace d'une semaine, la société de sécurité Check Point a recensé le gang « 8220 » parmi la poignée d'acteurs malveillants exploitant cette faille « zero-day » pour télécharger des logiciels de minage de cryptomonnaies. C'est ce qu'ont mis en évidence les découvertes des chercheurs de Check Point, qui, au cours d'une enquête, ont pu extraire d'un système infecté un domaine et un portefeuille cryptographique précédemment associés à 8220.
Le MSTIC indique qu'au cours de l'année écoulée, le groupe a activement mis à jour ses techniques et ses charges utiles. Sa campagne récente cible les systèmes Linux i686 , x86 et 64 et utilise des failles permettant l'exécution de code à distance (RCE) pour CVE-2022-26134 (Confluence) et CVE-2019-2725 (WebLogic) afin d'obtenir un accès initial.
Points clés à retenir
Les mises à jour apportées à 8220 TTP et outils comprendraient, selon certaines sources, les éléments suivants :
- Nouvelle variante de cryptomineur
- Nouveau bot IRC
- Utilisation d'un exploit ciblant une vulnérabilité récemment révélée (CVE-2022-26134)
- Utilisation d'un chargeur doté de capacités de contournement des systèmes de détection, qui télécharge la dernière variante du cryptomineur pwnRig ainsi que le bot IRC susmentionné, lequel exécute des commandes provenant d'un serveur C2 . Le chargeur peut survivre aux redémarrages en créant une tâche planifiée via une tâche cron ou un script s'exécutant toutes les minutes sous la forme d'une commande « nohup » (no hangup).
Selon Microsoft, une fois que le groupe « 8220 » a obtenu un accès initial via « CVE-2022-26134 », il télécharge le chargeur susmentionné sur le système ; celui-ci modifie alors les paramètres de l’hôte afin de désactiver les services de sécurité, télécharge un cryptominer, s’installe de manière persistante sur le réseau cible, puis analyse le réseau (à l’aide de l’outil d’analyse de ports MASSCAN) afin de repérer d’autres serveurs potentiellement vulnérables.
La propagation s'effectue à l'aide de Spirit, un outil de force brute SSH développé en GoLang. Le chargeur analyse également le disque local à la recherche de clés SSH grâce auxquelles l'acteur pourrait éventuellement se déplacer latéralement en se connectant à des hôtes de confiance.
Étant donné que le chargeur peut effacer les fichiers journaux et désactiver la surveillance dans le cloud ainsi que d'autres outils de sécurité, Microsoft recommande aux administrateurs d'activer les fonctionnalités de protection contre les altérations de Defender for Endpoint.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Techniquement, il ne s'agit pas d'une nouvelle menace, mais plutôt d'une version actualisée et plus efficace d'une menace existante. » Comme le montre cet article, Microsoft redouble d'efforts pour sensibiliser le public aux logiciels malveillants ciblant Linux — une initiative que le CTI estime mériter d'être saluée. En ce qui concerne l’arsenal actualisé du groupe « 8220 », il s’agit là du résultat des agissements d’un acteur malveillant qui a mis au point une méthodologie qui s’est avérée efficace et qui, de ce fait, semble avoir passé l’année dernière à mettre à jour ses logiciels malveillants et ses techniques de déploiement, dans le but, selon la CTI, d’accroître encore davantage le taux de réussite de ses attaques.
This shows a high degree of dedication and is also indicative of a group for which cryptomining is a true occupation, as opposed to a side gig. 8220’s increasing sophistication is a sign that its methods are working, as this kind of development takes time, but more importantly, financial resources. « En résumé, le 8220 constitue une menace émergente et doit être traité comme tel. »
Découvrez la communauté Tanium
Les cybermenaces ne cessent d'évoluer ; c'est pourquoi il est important de se tenir informé des dernières évolutions. Chez Tanium, nous nous engageons à vous aider à rester informés et préparés.
N'oubliez pas de revenir bientôt pour découvrir notre prochain tour d'horizon de l'actualité. En attendant, vous pouvez découvrir les nouveaux enjeux en matière de cybersécurité, les annonces et les forums de discussion sur notre communauté Tanium « » : (s'ouvre dans un nouvel onglet).
