Dans le résumé de cette semaine, le CTI fournit une mise à jour sur la section Cyber de sécurité nationale (NatSec Cyber), une nouvelle section de contentieux au sein de la division de sécurité nationale du ministère de la Justice des États-Unis. Ensuite, CTI explore comment les cybercriminels tirent parti des compartiments Amazon Web Services (AWS) S3 expirés pour distribuer du code malveillant. CTI examine également la campagne de cyberespionnage de RedCloud, qui comprend des logiciels malveillants RDStealer personnalisés conçus pour voler des données sur des disques partagés via des connexions de bureau à distance.
1. Le DOJ lance une cyber-unité pour poursuivre les acteurs de la menace nationale
Le DoJ a récemment lancé une nouvelle section sur les litiges pour augmenter sa capacité à cibler et à perturber les cyberattaques malveillantes qui menacent la sécurité nationale. NatSec Cyber permet également à la National Security Division (NSD) de poursuivre les acteurs de la menace nationale avec plus de rapidité et d’efficacité.
L’annonce a eu lieu lors d’un communiqué de presse du DoJ, qui a caractérisé le développement de la cyber-unité comme une réponse directe aux conclusions fondamentales contenues dans l’ examen complet de la cyber-député du procureur général Lisa O. Monaco, publié en juillet 2022.
À partir d’un article SecurityWeek couvrant le sujet :
En s’attaquant aux menaces croissantes des attaquants d’États-nations, NatSec Cyber renforcera également la collaboration intragouvernementale entre la section des crimes informatiques et de la propriété intellectuelle (CCIPS) de la Division criminelle et la division cyber du FBI.
Perturbation, responsabilité et dissuasion
Comme l’explique le DoJ dans son examen cybernétique, les menaces dans le cyberespace évoluent à une vitesse inégalée. Pour perturber les attaques et tenir les acteurs malveillants responsables, le service doit agir avec plus d’agilité. Le lancement de NatSec Cyber est la dernière mesure prise par le gouvernement fédéral américain pour améliorer et étendre ses efforts contre l’évolution des cybermenaces.
Les autres unités et initiatives de soutien comprennent :
- Créer l’équipe nationale de lutte contre la cryptomonnaie (National Cryptocurrency Enforcement Team, NCET) au sein de la division criminelle du Département, qui se concentre sur la lutte contre les utilisations illicites de cryptomonnaie.
- Lancement de l’Initiative civile de cyberfraude (CCFI) par la Division civile du Département. La CCFI utilise les autorités du département en vertu de la loi False Claims Act pour intenter des actions civiles contre les bénéficiaires et sous-traitants gouvernementaux, y compris ceux sous contrat avec le ministère de la Justice, qui ne respectent pas les obligations de cybersécurité.
- Développer une nouvelle bourse cyber au sein du Département, pour favoriser une nouvelle génération de procureurs et d’avocats équipés pour gérer les cybercrimes émergentes et les menaces de sécurité nationale basées sur la cybercriminalité.
- Déploiement de mesures de cybersécurité supplémentaires pour améliorer la sécurité des e-mails du service. Ces mesures comprenaient une formation obligatoire au chiffrement pour le personnel du service et des mesures techniques supplémentaires pour se protéger contre l’hameçonnage et les techniques connexes.
La force motrice derrière la création de cette dernière cyberunité fédérale est clairement énoncée dans le communiqué de presse du DoJ :
La section Cybersécurité de la sécurité nationale augmentera la capacité du ministère de la Justice à perturber et à répondre aux cyberactivités malveillantes, tout en promouvant des partenariats à l’échelle du ministère et intragouvernementaux pour lutter contre les cybermenaces de plus en plus sophistiquées et agressives par des adversaires hostiles aux États-nations. La section renforcera la collaboration entre les partenaires clés, notamment la section des crimes informatiques et de la propriété intellectuelle (CCIPS) de la division criminelle et la division cyber du FBI , et servira de ressource précieuse pour les procureurs dans les 94 bureaux d’avocats américains et 56 bureaux de terrain du FBI à travers le pays.
Répondre aux cybermenaces hautement techniques nécessite souvent beaucoup de temps et de ressources », a déclaré le procureur général adjoint Olsen. « NatSec Cyber servira d’incubateur, capable d’investir dans le travail d’enquête fastidieux et complexe pour les cas de stade précoce.
La formation de NatSec Cyber fait suite à des succès récents et largement médiatisés dans « l’identification, la résolution et l’élimination des cybermenaces de sécurité nationale, y compris l’ accusation d’ un cybercriminel présumé d’attaques de rançongiciel contre les infrastructures critiques américaines et [la] perturbation [du] premier outil malveillant de cyberespionnage du gouvernement russe », comme cité dans le communiqué de presse du DoJ.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il est encourageant de voir le gouvernement fédéral prendre des mesures concrètes pour établir une architecture nationale complète de cybersécurité. Il semble que le FBI et le DoJ comprennent la nécessité d’une autorité légale pour couvrir les mesures d’application de la loi inhabituellement lourdes qu’ils ont prises ces derniers mois contre certaines des entités mentionnées ci-dessus, et sur le sol étranger, néanmoins. »
« Ce type de comportement de « shérif sauvage de l’Ouest » ne peut se poursuivre que tant avant qu’un comité de surveillance du Congrès ne l’arrête. Il semble que le DoJ ait pris l’étape logique et proactive de rendre les choses légales en établissant NatSec Cyber. »
2. Les cybercriminels utilisent des compartiments AWS S3 expirés pour distribuer du code malveillant
Selon Checkmarx, les cybercriminels tirent parti des compartiments AWS S3 expirés pour distribuer du code malveillant et l’injecter dans des packages légitimes dans le référentiel npm, sans avoir à modifier de code.
Checkmarx a commencé à enquêter sur la situation en réponse à un avis publié à la fin du mois dernier par GitHub concernant plusieurs versions d’un package npm appelé bignum, qui avait été armé par des acteurs malveillants et servait des binaires malveillants conçus pour voler des informations utilisateur sensibles telles que des identifiants d’utilisateur, des mots de passe et des noms d’hôte locaux sur les appareils des victimes.
Depuis Checkmarx :
La dernière version de « bignum », 0,13,1, a été publiée il y a plus de 3 ans et n’avait jamais été compromise. Cependant, plusieurs versions antérieures l’étaient. Les versions 0,12,2-0,13,0 s’appuyaient sur des binaires hébergés sur un compartiment S3 . Ces binaires seraient extraits du compartiment lors de l’installation pour prendre en charge le fonctionnement du package. Il y a environ 6 mois, ce compartiment a été supprimé (les versions s’appuyant sur lui étaient principalement hors d’utilisation).
Cela a ouvert le compartiment à une prise de contrôle...
S3 Buckets : un rappel
S3 buckets sont des ressources AWS qui permettent aux utilisateurs de stocker et de récupérer d’énormes quantités de données, y compris des fichiers, des documents, des vidéos et d’autres types de contenu numérique. Les utilisateurs accèdent à S3 compartiments avec des URL uniques, ce qui les rend utiles à diverses fins, de l’hébergement de sites web et de la sauvegarde des données à la distribution de données, en passant par l’archivage et le stockage des applications et du contenu.
Au début de l’enquête de Checkmarx, le package bignum npm s’est avéré utiliser « nœud-gyp » afin de télécharger un fichier binaire .node pendant la phase d’installation. Le fichier binaire en question a été initialement hébergé sur un compartiment AWS S3 . Si le compartiment était inaccessible, il inviterait le package à rechercher le binaire localement.
Depuis Checkmarx :
Cependant, un pirate non identifié a remarqué l’abandon soudain d’un compartiment AWS autrefois actif. Reconnaissant une opportunité, l’attaquant a saisi le compartiment abandonné. Par conséquent, chaque fois que Bignum était téléchargé ou réinstallé, les utilisateurs téléchargeaient sans le savoir le fichier binaire malveillant, placé par l’attaquant.
Comment cela a-t-il été possible ? Bien que chaque compartiment AWS S3 doive posséder un nom globalement unique, le nom redevient disponible lors de la suppression du compartiment. Si un package pointe vers un compartiment comme source, ce pointeur continue d’exister, même après la suppression de ce compartiment. C’est cette supervision qui a permis à l’attaquant de réacheminer le pointeur vers le compartiment commandé.
Le binaire contrefait et ses fonctions
La nature du binaire malveillant, qui est un binaire compilé C/C++ requis par les applications JavaScript, a permis aux modules Node.js d’atteindre un code de niveau inférieur et d’étendre finalement la surface d’attaque.
Le binaire .node contrefait fonctionnait comme le binaire légitime, avec quelques fonctionnalités supplémentaires. Par exemple, en plus d’exécuter les fonctions parfaitement bénignes du binaire authentique, le binaire frauduleux est allé plus loin en volant des informations d’identification et en les envoyant au même compartiment AWS S3 détourné mentionné ci-dessus. Les données ont été exfiltrées via une demande HTTP GET.
En élargissant la méthode de communication du binaire, suite à l’accomplissement de ses fonctions de collecte de données, il créerait une socket TCP destinée à la communication IPv4 et exfiltrerait secrètement les données collectées sous la forme d’un agent utilisateur associé à une demande GET.
Un modèle émerge
De tous les comptes, c’était la première fois qu’une telle attaque était observée et documentée. Les chercheurs de Checkmarx ont mené une « recherche rapide dans l’écosystème open source », avec des résultats inattendus.
Depuis Checkmarx :
Nous avons trouvé de nombreux packages et référentiels utilisant S3 compartiments abandonnés qui sont sensibles à cette exploitation. L’impact de ce nouveau vecteur d’attaque peut varier considérablement. Cependant, le danger qu’il représente peut être énorme si un attaquant parvient à l’exploiter dès que ce type de changement se produit. Un autre risque est posé aux organisations ou aux développeurs utilisant des versions gelées ou des artefacts, car ils continueront d’accéder au même compartiment, désormais détourné.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La découverte d’une nouvelle surface d’attaque de la chaîne d’approvisionnement logicielle open source liée aux rachats de sous-domaines est importante. »
« Bien qu’une grande partie des menaces auxquelles est confrontée la communauté des logiciels open source de dernière minute, une telle découverte devrait servir d’appel de réveil aux développeurs et aux organisations pour lesquelles ils travaillent, et servir de rappel que les cybercriminels continueront d’innover de nouvelles façons d’armer les logiciels largement utilisés et fiables et leurs sources. »
Depuis Checkmarx :
Un compartiment d’hébergement abandonné ou un sous-domaine obsolète n’est pas seulement un artefact oublié ; entre de mauvaises mains, il peut devenir une arme puissante pour le vol et l’intrusion de données.
3. Le nouveau malware d’exfiltration cible les charges de travail RDP
Bitdefender a découvert une nouvelle campagne de cyberespionnage qui est suivie sous le nom de RedClouds. Il exploite un logiciel malveillant RDStealer personnalisé pour collecter les données des disques partagés via des connexions de bureau à distance. La campagne malveillante, qui n’a pas encore été attribuée à un acteur malveillant spécifique, cible les systèmes en Asie de l’Est depuis 2022.
RDStealer est un implant côté serveur qui surveille les connexions RDP (Remote Desktop Protocol) entrantes avec le mappage du lecteur client activé. Ces clients de connexion sont ensuite infectés par le backdoor Logutil, un autre logiciel malveillant personnalisé, avant d’exfiltrer des données sensibles.
Les échantillons de malware RDStealer et Logutil analysés par Bitdefender sont écrits dans le langage de programmation de Go. Ce langage est de plus en plus populaire en raison de sa forte prise en charge multiplateforme, ce qui permet aux acteurs malveillants de créer plus facilement du code malveillant qui peut s’exécuter sur plusieurs systèmes d’exploitation différents. Lors de l’analyse des domaines connectés à ces attaques, les chercheurs ont observé plusieurs références à Linux, mais également à ESXi, indiquant que le backdoor Logutil est un outil multiplateforme.
Anatomie de l’attaque
Après avoir analysé les informations DNS passives, les échantillons VirusTotal et les artefacts, Bitdefender a déterminé que l’acteur malveillant était actif depuis au moins 2020. L’acteur malveillant s’est initialement appuyé sur des outils plus facilement disponibles tels que AsyncRAT et Cobalt Strike avant de passer à des logiciels malveillants développés sur mesure fin 2021/début 2022.
L’objectif principal de l’attaque semble être le vol d’informations d’identification et l’exfiltration de données. Les acteurs malveillants utilisaient des dossiers qui contiennent moins fréquemment des logiciels malveillants, et sont donc souvent exclus de l’analyse par des outils de sécurité :
- %WinDir %\System32\
- %WinDir %\System32\wbem\
- %WinDir %\security\database\
- %PROGRAM_FILES %\f-secure\psb\diagnostics
- %PROGRAM_FILES_x86 %\dell\commandupdate\
- %PROGRAM_FILES %\dell\md logiciel de stockage\md utilitaire de configuration\
Les emplacements %PROGRAM_FILES % et %PROGRAM_FILES_x86 % sont très probablement choisis par l’acteur malveillant pour imiter le logiciel légitime. Un logiciel malveillant a également été trouvé dans %WinDir %\security\database, un dossier qui sert d’espace de stockage pour les bases de données de sécurité dans Windows.
Microsoft a fourni des conseils sur l’ exclusion des fichiers spécifiques à cet emplacement de l’analyse par les outils de sécurité des endpoints. Il est possible que l’acteur malveillant ait vu ces conseils et ait pensé que certaines solutions de sécurité choisiraient d’exclure l’ensemble du dossier, au lieu de se limiter à des fichiers spécifiques.
Qu’est-ce que RDStealer ?
RDStealer se spécialise dans la collecte de données grâce à des tactiques telles que la capture du contenu des données du presse-papiers et l’enregistrement des clés. Le logiciel malveillant peut également surveiller les connexions RDP entrantes et compromettre une machine distante si le mappage du lecteur client (CDM) est activé.
CDM est un canal virtuel qui est mis en œuvre dans le cadre du protocole RDP. Il permet le transfert de données entre le client RDP et le serveur RDP. Il est spécifiquement responsable de l’affichage des lecteurs locaux de la machine cliente dans la session de bureau à distance.
La fonctionnalité permet aux utilisateurs d’accéder et de transférer des fichiers entre la machine locale et le serveur/bureau distant auquel ils sont connectés via RDP. Il est couramment utilisé par les administrateurs pour transférer des fichiers. CDM est également fréquemment utilisé par les utilisateurs finaux réguliers pour les postes virtuels et la virtualisation d’applications.
Des détails spécifiques concernant le vecteur d’infection initial manquent actuellement, ce qui rend difficile de confirmer si le système compromis a été exploité pour un accès administratif ou des interactions régulières avec les utilisateurs.
Sur les machines compromises, RDStealer était situé à : %PROGRAM_FILES %\dell\md storage software\md configuration utility\modular disk service daemon[.]exe.
Après le lancement, la fonction principale commence à collecter les données du presse-papiers et les frappes clavier de l’hôte. Les données sont enregistrées périodiquement dans le fichier journal, C :\users\public\log.log, sous forme de chaînes cryptées. Il crée ensuite une boucle infinie qui appellera la fonction disqueMounted. Cette fonction confirme ipériodiquement la disponibilité de la connexion tsclient et de l’un des lecteurs C, D, E, F, G ou H. Ceux-ci sont automatiquement créés lorsque CDM est activé.
Lorsque l’une de ces actions est confirmée comme détectée, les fonctions suivantes sont déclenchées :
- Communication C2 – notifyMaster : cette fonction informe la commande et le contrôle (C2) qu’un client est connecté. La fonction effectue une demande GET à un autre serveur qui a été désigné comme proxy pour communiquer avec l’infrastructure C2 contrôlée par l’acteur malveillant.
- Exfiltration de données – DiskEnum : cette fonction commence à exfiltrer des données du client RDP connecté. La fonction recherche toute information précieuse sur le client RDP connecté pour l’exfiltration des données.
La première cible est quelques dossiers spécifiques qui indiquent que l’acteur malveillant recherche des informations d’identification et des connexions enregistrées à d’autres systèmes. Cette même tendance est observée à l’étape suivante, où un client est analysé pour des fichiers avec des extensions de fichier spécifiques aux emplacements suivants : %AppData %, %LocalAppData %, Desktop, Documents, Downloads, %ProgramFiles % et %ProgramFiles(x86) %.
Tous les fichiers localisés sont stockés dans une archive zip sur l’hôte RDP. Après avoir exfiltré les données du lecteur C distant, RDStealer commence à examiner les lettres du lecteur D, E, F, G et H, mais avec une approche légèrement différente. Pour ces lecteurs, il commencera à analyser tous les dossiers à quelques exceptions près. Étant donné que cette analyse récursive peut prendre un certain temps, il existe un mécanisme qui limitera l’exécution à une seule fois par semaine. Le fichier users\public\Videos\vcache.dat est modifié lorsque l’exfiltration des données est terminée, et la dernière date modifiée est comparée à l’heure actuelle pour déterminer s’il est temps d’effectuer un autre balayage du système.
- Compromission en aval – WritePersist : cette fonction déploie la backdoor Logutil sur le client RDP connecté. Il obtient une liste d’utilisateurs auprès des utilisateurs tsclient\c\.
- Logutil : le backdoor Logutil met en œuvre les capacités nécessaires pour maintenir une présence sur le réseau. Cela inclut des éléments tels que le téléchargement/téléchargement de fichiers et l’exécution de commandes.
Ce qui rend cette backdoor intéressante, c’est la mesure dans laquelle elle exploite les techniques de chargement latéral DLL associées à son utilisation de WMI comme déclencheur d’activation. Bien qu’il y ait eu quelques techniques traditionnelles de chargement latéral DLL observées, une variante plus intéressante a été observée abusant de Winmgmt, entraînant l’exécution du binaire malveillant, bithostw[.]dll. Pour y parvenir, les acteurs malveillants ont utilisé un chargeur malveillant sur le dossier wbem qui imitait la bibliothèque ncobjapi légitime.
L’implant peut être déclenché par le service WMI ou par le processus hôte WMI. Logutil peut communiquer directement avec l’infrastructure C2 , ou via un autre serveur proxy sur le même réseau. Une liste complète des commandes qu’il peut récupérer à partir du serveur C2 est disponible dans la recherche de Bitdefender ici.
Attribution
Malgré les diverses méthodes de Bitdefender, ils n’ont pas été en mesure d’attribuer ces attaques à un acteur malveillant spécifique. Cependant, ils pensent que les intérêts de l’acteur malveillant sont alignés sur ceux de la Chine et qu’il a la sophistication d’un APT parrainé par l’État.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne utilise des dossiers Microsoft Windows qui sont potentiellement exclus de l’analyse par certains logiciels de sécurité. Les acteurs malveillants utilisent intentionnellement ces dossiers pour stocker les charges utiles de backdoor, sachant qu’ils peuvent rester indétectés sur le réseau plus longtemps. »
« Les recherches de Bitdefender ont également révélé que cet acteur malveillant est passé de l’utilisation d’outils facilement disponibles à la création et à l’exploitation de logiciels malveillants personnalisés, tels que RDStealer et Logutil. Cela souligne la sophistication accrue de cet acteur malveillant au cours des dernières années. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
