Dans le résumé de cette semaine, CTI explore un cas concernant un utilisateur externe envoyant des chats Microsoft Teams non sollicités à plusieurs employés. Ensuite, CTI enquête sur un rapport de Guardio Labs sur la manière dont l’écosystème de phishing a évolué pour être démocratisé. Enfin, CTI conclut par un groupe de ransomwares connu sous le nom de BianLian qui est resté dans les 10 groupes les plus actifs en fonction des données collectées sur le site de fuite.
1. Les logiciels malveillants DarkGate se propagent via les discussions de groupe Teams
L’équipe MDR (Cybersecurity Managed Detection and Response) d’AT&T a récemment travaillé avec l’un de ses clients concernant un utilisateur externe envoyant des chats Microsoft Teams non sollicités à plusieurs de ses employés.
AT&T (aujourd’hui LevelBlue) a déterminé que l’acteur malveillant était associé au programme malveillant DarkGate et cherchait à transmettre le programme malveillant aux membres de l’organisation via des chats de groupe Teams.
L’événement initial
L’enquête d’AT&T a commencé lorsque son client a fourni une capture d’écran d’une entité externe l’invitant à une discussion de groupe sur Microsoft Teams qu’il pensait être du phishing.
Le domaine de l’expéditeur était « .onmicrosoft[.]com », ce qui pouvait sembler légitime pour certains utilisateurs à première vue. Les recherches d’AT&T sur ce domaine n’ont pas révélé de rapports d’activité suspecte. Par conséquent, il est probable que le nom d’utilisateur et/ou l’ensemble du domaine aient été compromis avant l’attaque.
L’enquête
AT&T a effectué une recherche du nom d’utilisateur externe dans l’environnement de son client et a trouvé plus de 1 000 événements « MessageSent » dans Microsoft Teams qui ont été générés par ce nom d’utilisateur. Bien que les événements n’incluaient pas les ID des destinataires, ils comprenaient l’ID de locataire de l’utilisateur externe.
À partir de là, ils ont choisi d’examiner spécifiquement les événements « Membre ajouté » pour trouver le nombre d’utilisateurs qui ont rejoint une discussion avec cet utilisateur. AT&T a pu identifier trois utilisateurs qui ont saisi une discussion avec cet utilisateur et téléchargé un fichier à double extension intitulé « Navigation dans les modifications futures octobre 2023.pdf.msi ».
AT&T a obtenu les hachages associés et les a transmis au client pour blocage. Après avoir explosé le fichier malveillant dans un environnement sandbox, ils ont pu l’observer en train de contacter un domaine qui avait été précédemment associé à l’activité DarkGate C2 .
Action de recommandation
Pour éviter que ces types d’attaques n’affectent les opérations, AT&T suggère de désactiver l’accès externe dans Microsoft Teams, sauf si cela est nécessaire pour les activités quotidiennes.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette attaque est si simple, mais si efficace, il n’est pas étonnant que nous ayons vu des pirates informatiques utiliser Microsoft Teams pour propager DarkGate auparavant. Il n’existe pas de malware personnalisé complexe ou de moyen d’accès à long terme. Il s’appuie simplement sur l’ ingénierie sociale et tire parti du niveau de confiance des employés avec leur plateforme de communication interne.
Le cas échéant, cette attaque est un rappel que l’hameçonnage et l’ingénierie sociale ne se produisent pas uniquement par e-mail et que nous devons être vigilants sur toutes les plateformes.
2. Les places de marché Telegram contribuent aux attaques de phishing
Des chercheurs de Guardio Labs ont récemment rapporté comment l’écosystème du phishing a évolué pour être démocratisé.
Cette évolution est largement due à Telegram et à la manière dont la plateforme permet aux cybercriminels d’obtenir facilement ce qui est nécessaire pour une attaque, une tâche qui n’était auparavant disponible que pour ceux qui étaient sur le dark web et derrière les réseaux Tor Onion.
Marchés du phishing de Telegram
Guardio Labs a approfondi l’écosystème de phishing de Telegram et a reconstruit une campagne malveillante pour seulement 230 USD pour montrer à quel point elle est simple.
Comme Telegram héberge de nombreux canaux et groupes publics, une simple recherche est tout ce dont un cybercriminel a besoin pour commencer, ce qui est exactement le type d’ escroquerie par hameçonnage perpétrée par des groupes nord-coréens , également via Telegram, que nous avons rapporté l’année dernière.
Trouver un site d’hameçonnage
Guardio Labs a commencé par rechercher dans Telegram des pages d’escroquerie ou des pages d’hameçonnage qu’ils pourraient utiliser comme page d’accueil de leur attaque d’hameçonnage. Les pages qu’ils ont trouvées sur Telegram étaient équipées de techniques anti-détection et de masquage de code, ainsi que d’autres techniques facultatives telles que le bypass d’ authentification multifacteur (AMF ). Ces pages allaient d’environ 10 USD pour une page simple à 800 USD ou plus pour ceux qui disposent de techniques avancées.
Après avoir trouvé une page, ils ont contacté le vendeur et négocié le prix jusqu’à 30 USD. Ensuite, ils devaient trouver un endroit pour héberger la page. Ils ont commencé simplement et ont choisi d’utiliser un échantillon de shell Web gratuit d’un site WordPress aléatoirement compromis qu’ils ont trouvé dans l’un des groupes publics. Par souci de persistance, ils ont remplacé le web shell par leur propre fichier protégé par mot de passe. Ils sont ensuite entrés en ligne avec leur page.
Propagation/messagerie
Après avoir configuré leur site d’hameçonnage, ils devaient envoyer les e-mails d’hameçonnage associés. De nombreuses méthodes pour le faire sont assez coûteuses. Ils ont choisi de tirer parti d’une méthode de publipostage PHP, car il y avait une gamme d’échantillons gratuits à leur disposition. Ils ont pu trouver des échantillons qui n’avaient pas été utilisés auparavant et n’étaient donc pas précédemment sur liste noire. Ils ont découvert qu’ils pouvaient envoyer environ 25 000 e-mails par échantillon gratuit.
Avec trois à quatre e-mails, ils pourraient potentiellement envoyer environ 100 000 e-mails d’hameçonnage. Ils ont ensuite dû déterminer ce que les e-mails devaient dire pour contourner les filtres anti-spam et amener les gens à cliquer sur le lien.
Leads
Avec leur page d’hameçonnage et leur e-mail d’hameçonnage à distance, ils devaient déterminer à qui envoyer les e-mails. Les listes d’adresses e-mail actives sont appelées « leads ». Ces leads sont parfois disponibles gratuitement, mais leur prix variera en fonction du niveau de détail des informations. Ils ont pu acquérir une liste de 100 000 clients de Bank of America pour seulement 200 USD via Telegram.
Simuler des revenus
Guardio Labs a émis plusieurs hypothèses pour trouver leur représentation ci-dessous. Ils ont supposé que sur 100 000 e-mails, ils obtiendraient les informations d’identification de 50 personnes.
Ces coordonnées bancaires pourraient ensuite être hypothétiquement revendues à l’écosystème cybercriminel pour un prix. En émettant des hypothèses supplémentaires sur le montant pour lequel ils pourraient les vendre, ils pensent qu’une escroquerie par hameçonnage similaire pourrait rapporter plus de 2 000 USD avec seulement 230 USD dépensés à l’avance.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Guardio Labs explique très clairement à quel point il est simple pour les cybercriminels de tout niveau de sophistication de mener des campagnes d’hameçonnage. Leurs recherches prouvent en outre que même les kits de phishing de base peuvent générer des bénéfices pour les cybercriminels, ce qui vous fait vous demander combien les acteurs de la menace retirent réellement de certains des kits de phishing les plus sophistiqués.
Ce qui est peut-être le plus intéressant dans l’évolution de l’écosystème de phishing, c’est que tout ce dont on avait besoin pour une attaque est désormais accessible au public, lorsqu’il se cachait derrière des forums dark web sur invitation uniquement.
3. BianLian cible plusieurs secteurs
Palo Alto suit un groupe connu sous le nom de BianLian, qui est resté dans le top 10 des groupes de rançongiciels les plus actifs en fonction des données collectées sur le site de fuite.
Leur recherche a révélé un petit outil personnalisé qui est également utilisé par le groupe de rançongiciels Makop, indiquant une connexion possible entre les deux opérations.
Qu’est-ce que BianLian ?
BianLian a émergé en 2022 et affirme que de nouvelles victimes sont présentes sur leur site de fuite de données presque toutes les semaines.
Le groupe a tendance à se concentrer sur les secteurs des soins de santé, de la fabrication, des services professionnels et des services juridiques en Amérique du Nord, dans l’UE et en Inde. BianLian est récemment passé d’une double extorsion à une extorsion sans chiffrement.
L’opération devrait s’étendre activement en fonction du site de fuite du groupe qui indique qu’il embauche de nouveaux développeurs et affiliés.
Connexion possible de BianLian à Makop
Palo Alto a découvert un petit exécutable personnalisé .NET pendant cette analyse. Cet exécutable est trouvé en commun avec les groupes de ransomware BianLian et Makop, qui ont également utilisé le même hachage que l’outil Advanced Port Scanner disponible publiquement.
Cet exécutable personnalisé récupérera l’énumération des fichiers, le registre et les données du presse-papiers et contiendra certains mots en russe. Bien que l’explication de ce chevauchement ne soit pas encore confirmée, elle indique que les groupes peuvent avoir un ensemble d’outils partagés ou utiliser les services des mêmes développeurs.
Analyse technique
- Palo Alto a mappé diverses étapes d’attaque au framework MITRE ATT&CK. Pour l’accès initial, les opérateurs de ransomware utilisent généralement des informations d’identification RDP volées, exploitent la vulnérabilité ProxyShell, ciblent les fournisseurs VPN ou utilisent d’autres techniques précédemment signalées, telles que le déploiement de shells Web. Pour le vidage des informations d’identification, le groupe vide la ruche du registre SAM dans un fichier temporaire.
- En passant de la chaîne d’attaque à la persistance, BianLian supprime son composant DLL backdoor et l’exécute via une tâche planifiée créée par Impacket. La tâche planifiée exécutera périodiquement la DLL de backdoor.
- L’opération exploite le même fichier Advanced Port Scanner que l’opération de ransomware Makop exploite pour la reconnaissance. BianLian utilisera ensuite deux composants principaux pour les charges utiles finales, un chiffreur et une porte dérobée, avant de déposer sa note de rançon. Le backdoor fonctionne plus comme un chargeur qu’un backdoor traditionnel et est responsable du téléchargement et de l’exécution de charges utiles supplémentaires.
- Un décrypteur a été publié pour lecrypteur de BianLian début 2023. Cela a forcé le groupe à arrêter la majeure partie de son activité de chiffrement et est la principale raison de son passage à l’extorsion sans chiffrement.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
BianLian n’est pas aussi évoqué que les opérations de ransomware telles que LockBit ou BlackCat, mais reste une menace importante.
L’opération est restée cohérente depuis son émergence et a réagi rapidement à la libération d’un décrypteur, modifiant ainsi l’ensemble de la structure de son opération en réponse.
Outre leur adaptabilité, le chevauchement potentiel avec une autre opération de ransomware, bien que non confirmée, est quelque chose à surveiller.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
