Dans le tour d'horizon de cette semaine, CTI se penche sur un cas concernant un utilisateur externe ayant envoyé des messages non sollicités via Microsoft Teams à plusieurs employés. CTI se penche ensuite sur un rapport de Guardio Labs consacré à l'évolution de l'écosystème du hameçonnage, qui s'est démocratisé. Enfin, CTI conclut son analyse en se penchant sur un groupe de ransomware connu sous le nom de BianLian, qui figure toujours parmi les 10 groupes les plus actifs d'après les données recueillies sur les sites de fuites.
1. Le logiciel malveillant DarkGate se propage via les discussions de groupe sur Teams
L'équipe « Cybersécurité – Détection et réponse gérées (MDR) » d'AT&T a récemment collaboré avec l'un de ses clients au sujet d'un utilisateur externe qui envoyait des messages non sollicités dans les discussions Microsoft Teams à plusieurs de ses employés.
AT&T (désormais LevelBlue) a établi que l'auteur de la menace était lié au logiciel malveillant DarkGate de et cherchait à diffuser ce logiciel malveillant auprès des membres de l'organisation via les discussions de groupe sur Teams.
L'événement initial
L'enquête d'AT&T a débuté lorsqu'un de ses clients a fourni une capture d'écran montrant qu'une entité externe l'avait invité à rejoindre une discussion de groupe sur Microsoft Teams, qu'il soupçonnait d'être une tentative d'hameçonnage de type « ».
Le domaine de l'expéditeur était « .onmicrosoft[.]com », ce qui pouvait sembler légitime à première vue pour certains utilisateurs. Les recherches menées par AT&T dans ce domaine n'ont révélé aucun signalement d'activité suspecte. Par conséquent, il est probable que le nom d'utilisateur et/ou l'ensemble du domaine aient été compromis avant l'attaque.
L'enquête
AT&T a effectué une recherche sur ce nom d'utilisateur externe au sein de l'environnement de son client et a identifié plus de 1 000 événements « MessageSent » dans Microsoft Teams générés par ce nom d'utilisateur. Bien que ces événements ne comportaient pas les identifiants des destinataires, ils comprenaient l'identifiant de locataire de l'utilisateur externe.
À partir de là, ils ont choisi de se concentrer spécifiquement sur les événements « MemberAdded » afin de déterminer combien d'utilisateurs avaient rejoint une discussion avec cet utilisateur. AT&T a pu identifier trois utilisateurs qui ont participé à une discussion avec cet utilisateur et ont téléchargé un fichier à double extension intitulé « Navigating Future Changes octobre 2023.pdf.msi ».
AT&T a obtenu les hachages correspondants et les a transmis au client afin qu'il puisse les bloquer. Après avoir exécuté le fichier malveillant dans un environnement de type « sandbox », ils ont pu constater qu'il établissait une connexion avec un domaine qui avait déjà été associé à l'activité de DarkGate C2 .
Mesures recommandées
Afin d'éviter que ce type d'attaques n'affecte vos activités, AT&T vous recommande de désactiver l'accès externe dans Microsoft Teams, sauf si cela s'avère nécessaire pour vos activités quotidiennes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque est si simple, et pourtant si efficace, qu’il n’est pas étonnant que nous ayons déjà vu des pirates informatiques d’ utiliser Microsoft Teams pour diffuser le logiciel malveillant DarkGate . Il n'y a ni logiciel malveillant personnalisé complexe, ni méthode d'accès fastidieuse. Cette méthode repose simplement sur des techniques d'ingénierie sociale et tire parti de la confiance que les employés accordent à leur plateforme de communication interne.
Cette attaque nous rappelle surtout que le phishing et l'ingénierie sociale ne se limitent pas aux e-mails et que nous devons rester vigilants sur toutes les plateformes.
2. Les places de marché de Telegram favorisent les attaques de hameçonnage
Des chercheurs de Guardio Labs ont récemment expliqué comment l'écosystème du hameçonnage a évolué pour se démocratiser.
Cette évolution est en grande partie due à Telegram et à la manière dont cette plateforme permet aux cybercriminels d'obtenir facilement tout ce dont ils ont besoin pour mener une attaque — une tâche qui, auparavant, n'était accessible qu'aux utilisateurs du dark web et des réseaux Tor Onion.
Les marchés de hameçonnage sur Telegram
Guardio Labs a mené une analyse approfondie de l'écosystème du hameçonnage sur Telegram et a reconstitué une campagne malveillante pour seulement 230 dollars afin de montrer à quel point c'est simple.
Telegram hébergeant de nombreuses chaînes et groupes publics, une simple recherche suffit à un cybercriminel pour se lancer. C’est exactement le type d’arnaque par hameçonnage de type « » perpétrée par des groupes nord-coréens – également via Telegram – dont nous avions fait état l’année dernière.
Identifier un site de hameçonnage
Guardio Labs a commencé par rechercher sur Telegram des pages frauduleuses ou de hameçonnage qu'ils pourraient utiliser comme page d'accueil pour leur attaque de hameçonnage. Les pages qu’ils ont découvertes sur Telegram intégraient des techniques de dissimulation et d’obfuscation du code, ainsi que d’autres techniques optionnelles telles que l’authentification multifactorielle (MFA) et le contournement de la sécurité. Le prix de ces pages variait entre environ 10 dollars pour une page simple et 800 dollars ou plus pour celles faisant appel à des techniques avancées.
Après avoir trouvé une annonce, ils ont contacté le vendeur et ont négocié le prix pour le ramener à 30 dollars. Ensuite, ils devaient trouver un hébergeur pour leur site. Ils ont commencé tout simplement et ont choisi d'utiliser un exemple gratuit de « web shell » provenant d'un site WordPress piraté au hasard, qu'ils avaient trouvé dans l'un des groupes publics. Pour assurer la persistance, ils ont remplacé le web shell par leur propre fichier protégé par mot de passe. Ils ont ensuite mis leur page en ligne.
Propagation/messagerie
Une fois leur site de hameçonnage mis en place, ils devaient envoyer les e-mails de hameçonnage correspondants. Bon nombre des méthodes permettant d'y parvenir sont assez coûteuses. Ils ont choisi d'utiliser une méthode d'envoi d'e-mails en PHP, car ils disposaient d'un large choix d'exemples gratuits. Ils ont pu trouver des échantillons qui n'avaient jamais été utilisés auparavant et qui, de ce fait, ne figuraient pas encore sur la liste noire. Ils ont constaté qu'ils pouvaient envoyer environ 25 000 e-mails par échantillon gratuit.
Avec trois ou quatre expéditeurs, ils pourraient potentiellement envoyer environ 100 000 e-mails de hameçonnage. Ils ont ensuite dû déterminer quel contenu donner à ces e-mails pour contourner les filtres anti-spam et inciter les destinataires à cliquer sur le lien.
Prospects
Une fois leur page de hameçonnage et leur e-mail de hameçonnage prêts, ils devaient déterminer à qui envoyer ces e-mails. Les listes d'adresses e-mail actives sont appelées « prospects ». Ces pistes sont parfois disponibles gratuitement, mais leur prix varie en fonction du niveau de détail des informations fournies. Ils ont réussi à se procurer une liste de 100 000 clients de la Bank of America pour seulement 200 dollars via Telegram.
Simulation des recettes
Guardio Labs s'est basé sur plusieurs hypothèses pour élaborer la représentation ci-dessous. Ils ont estimé que, sur 100 000 e-mails, ils obtiendraient les identifiants de 50 personnes.
Ces coordonnées bancaires pourraient alors, en théorie, être revendues au sein de l'écosystème cybercriminel contre une certaine somme. En se basant sur des hypothèses supplémentaires concernant le prix de vente de ces articles, ils estiment qu'une arnaque par hameçonnage similaire pourrait rapporter plus de 2 000 dollars, pour un investissement initial de seulement 230 dollars.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Guardio Labs explique très clairement à quel point il est facile pour les cybercriminels, quel que soit leur niveau d'expertise, de mener des campagnes d'hameçonnage. Leurs recherches démontrent en outre que même les kits de hameçonnage les plus rudimentaires peuvent rapporter de l'argent aux cybercriminels, ce qui amène à se demander combien les auteurs de menaces gagnent réellement grâce à certains des kits de hameçonnage les plus sophistiqués qui existent.
Ce qui est peut-être le plus intéressant dans l'évolution de l'écosystème du phishing, c'est que tout ce qui est nécessaire à une attaque est désormais accessible au grand public, alors qu'auparavant, ces ressources étaient dissimulées derrière des forums du dark web accessibles uniquement sur invitation.
3. BianLian s'adresse à plusieurs secteurs d'activité
Palo Alto surveille un groupe connu sous le nom de BianLian, qui figure toujours dans le classement des 10 groupes de ransomware les plus actifs établi par l' , sur la base des données recueillies sur les sites de fuites.
Leurs recherches ont mis au jour un petit outil sur mesure qui est également utilisé par le groupe de ransomware Makop, ce qui laisse entrevoir un lien possible entre ces deux opérations.
Qu'est-ce que BianLian ?
BianLian a fait son apparition en 2022 et annonce de nouvelles victimes sur son site dédié aux fuites de données presque chaque semaine.
Le groupe a tendance à se concentrer sur les secteurs de la santé, de l'industrie manufacturière, des services professionnels et des services juridiques en Amérique du Nord, dans l'Union européenne et en Inde. BianLian est récemment passé de la double extorsion à l'extorsion sans chiffrement.
D'après le site de fuites du groupe, qui indique qu'il recrute actuellement de nouveaux développeurs et affiliés, il semblerait que cette activité soit en pleine expansion.
Le lien éventuel entre BianLian et Makop
Au cours de cette analyse, Palo Alto a détecté un petit fichier exécutable .NET personnalisé. Cet exécutable est commun aux groupes de ransomware BianLian et Makop, qui ont tous deux également utilisé le même hachage de l'outil Advanced Port Scanner, disponible au public.
Cet exécutable personnalisé récupérera des données relatives à l'énumération des fichiers, au registre et au presse-papiers, et contiendra certains mots en russe. Bien que l'explication de ce chevauchement ne soit pas encore confirmée, cela indique que ces groupes pourraient disposer d'un ensemble d'outils commun ou recourir aux services des mêmes développeurs.
Analyse technique
- Palo Alto a mis en correspondance les différentes étapes d'une attaque avec le référentiel MITRE ATT&CK « » (). Pour obtenir un premier accès, les auteurs de ransomware ont généralement recours à des identifiants RDP volés, exploitent la vulnérabilité ProxyShell, ciblent les fournisseurs de VPN ou utilisent d'autres techniques déjà signalées, telles que le déploiement de shells Web. Pour extraire les identifiants, le groupe exporte la branche SAM du registre vers un fichier temporaire.
- En passant à la phase de persistance de la chaîne d'attaque, BianLian dépose le composant DLL de sa porte dérobée et l'exécute via une tâche planifiée créée par Impacket. La tâche planifiée exécutera périodiquement la DLL de la porte dérobée.
- Cette opération utilise le même fichier « Advanced Port Scanner » que celui utilisé par le ransomware Makop à des fins de reconnaissance. BianLian utilisera ensuite deux composants principaux pour les charges utiles finales — un programme de chiffrement et une porte dérobée — avant d'afficher sa demande de rançon. Cette porte dérobée fonctionne davantage comme un chargeur que comme une porte dérobée classique et sert à télécharger et à exécuter des charges utiles supplémentaires.
- Un décrypteur a été publié pour le programme de chiffrement de BianLian au début de l'année 2023. Cela a contraint le groupe à mettre fin à la majeure partie de ses activités de chiffrement et constitue la principale raison de son passage à l'extorsion sans chiffrement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
BianLian ne fait pas autant parler de lui que des opérations de ransomware telles qu’ , LockBit ou BlackCat, mais il n’en reste pas moins une menace majeure.
Cette opération a conservé la même ligne de conduite depuis ses débuts et a réagi rapidement à la publication d'un outil de décryptage, modifiant en conséquence l'ensemble de sa structure opérationnelle.
Outre leur capacité d'adaptation, le chevauchement potentiel avec une autre opération de rançongiciel — bien que non confirmé — est un élément à surveiller.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
