Dans le tour d'horizon de cette semaine, CTI fait le point sur la section « National Security Cyber » (NatSec Cyber) — une nouvelle section chargée des litiges au sein de la Division de la sécurité nationale du ministère américain de la Justice. CTI examine ensuite comment les cybercriminels exploitent des compartiments « S3 » d'Amazon Web Services (AWS) arrivés à expiration pour diffuser du code malveillant. CTI se penche également sur la campagne de cyberespionnage « RedClouds », qui utilise un logiciel malveillant RDStealer sur mesure, conçu pour voler des données sur des lecteurs partagés via des connexions de bureau à distance.
1. Le ministère américain de la Justice met en place une unité chargée de la cybercriminalité afin de poursuivre les acteurs malveillants soutenus par des États
Le ministère américain de la Justice (DoJ) a récemment mis en place une nouvelle section chargée des actions en justice afin de renforcer sa capacité à cibler et à neutraliser les cyberattaques malveillantes qui menacent la sécurité nationale. NatSec Cyber permet également à la Division de la sécurité nationale (NSD) de poursuivre les acteurs malveillants liés à des États avec plus de rapidité et d'efficacité.
Cette annonce a été faite dans un communiqué de presse du ministère américain de la Justice (DoJ) daté du , qui présentait la mise en place de cette unité chargée de la cybersécurité comme une réponse directe aux principales conclusions contenues dans le rapport intitulé « Comprehensive Cyber Review » (Examen complet de la cybersécurité) de la procureure générale adjointe Lisa O. Monaco, publié le juillet 2022.
Extrait d'un article de SecurityWeek consacré à ce sujet :
Pour faire face aux menaces croissantes émanant d'attaquants agissant au nom d'États, le NatSec Cyber renforcera également la collaboration intergouvernementale entre la Section des délits informatiques et de la propriété intellectuelle (CCIPS) de la Division criminelle et la Division cyber du FBI.
Perturbation, responsabilité et dissuasion
Comme l'explique le ministère américain de la Justice dans son rapport sur la cybersécurité, les menaces dans le cyberespace évoluent à une vitesse sans précédent. Pour contrecarrer les attaques et demander des comptes aux auteurs de menaces, le ministère doit faire preuve d'une plus grande agilité. Le lancement de NatSec Cyber constitue la dernière mesure prise par le gouvernement fédéral américain pour renforcer et étendre ses efforts de lutte contre les cybermenaces en constante évolution.
Parmi les autres structures et initiatives de soutien, on peut citer :
- La création de l'Équipe nationale chargée de la lutte contre les infractions liées aux cryptomonnaies (NCET) au sein de la Division pénale du ministère, dont la mission est de lutter contre les utilisations illicites des cryptomonnaies.
- Lancement de l'Initiative contre la cyberfraude civile (CCFI) par la Division civile du ministère. Le CCFI fait usage des pouvoirs conférés au ministère en vertu de la loi sur les fausses déclarations (False Claims Act) pour engager des actions civiles à l'encontre des bénéficiaires de subventions et des prestataires du gouvernement — y compris ceux sous contrat avec le ministère de la Justice — qui ne respectent pas leurs obligations en matière de cybersécurité.
- Mettre en place un nouveau programme de formation spécialisé dans la cybercriminalité au sein du ministère, afin de former une nouvelle génération de procureurs et d'avocats capables de faire face aux nouvelles formes de cybercriminalité et aux menaces liées à la cybersécurité qui pèsent sur la sécurité nationale.
- Mise en place de mesures supplémentaires de cybersécurité visant à renforcer la sécurité de la messagerie électronique du service. Ces mesures comprenaient une formation obligatoire au chiffrement pour le personnel du département, ainsi que des mesures techniques supplémentaires visant à protéger contre le phishing et les techniques apparentées.
La raison d'être de la création de cette nouvelle unité fédérale de lutte contre la cybercriminalité est clairement exposée dans le communiqué de presse du ministère de la Justice :
La section chargée de la cybersécurité et de la sécurité nationale renforcera la capacité du ministère de la Justice à contrecarrer les activités cybermalveillantes et à y répondre, tout en favorisant les partenariats à l'échelle du ministère et au sein du gouvernement pour lutter contre les cybermenaces de plus en plus sophistiquées et agressives émanant d'États adversaires hostiles. Cette section renforcera la collaboration entre les principaux partenaires, notamment la Section chargée de la criminalité informatique et de la propriété intellectuelle (CCIPS) de la Division pénale et la Division cybercriminalité du FBI, et constituera une ressource précieuse pour les procureurs des 94 parquets fédéraux et des 56 bureaux locaux du FBI à travers le pays.
« Répondre à des cybermenaces hautement techniques nécessite souvent beaucoup de temps et de ressources », a déclaré M. Olsen, procureur général adjoint. « NatSec Cyber fera office d’incubateur, capable de consacrer le temps nécessaire aux enquêtes complexes et chronophages menées dans le cadre d’affaires en phase initiale. »
La création de NatSec Cyber fait suite à des succès récents et largement médiatisés dans « l’identification, la lutte contre et l’élimination des cybermenaces pesant sur la sécurité nationale », notamment la mise en accusation de (s’ouvre dans un nouvel onglet) d’un cybercriminel présumé auteur d’attaques par ransomware contre des infrastructures critiques américaines et [de] perturbation (s'ouvre dans un nouvel onglet)[de] « l’outil de cyberespionnage de premier plan du gouvernement russe », comme indiqué dans le communiqué de presse du ministère américain de la Justice.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il est encourageant de voir le gouvernement fédéral prendre des mesures concrètes en vue de la mise en place d'une architecture nationale globale en matière de cybersécurité. » « Il semble que le FBI et le ministère de la Justice soient conscients de la nécessité de disposer d’une base juridique pour justifier les mesures répressives d’une audace inhabituelle qu’ils ont prises ces derniers mois à l’encontre de certaines des entités mentionnées ci-dessus — et ce, sur le sol étranger, qui plus est. »
« Ce genre de comportement digne d’un « shérif du Far West » ne pourra pas durer indéfiniment avant qu’une commission de contrôle du Congrès n’y mette un terme. » « Il semble que le ministère de la Justice ait pris la mesure logique et proactive de régulariser la situation en créant NatSec Cyber. »
2. Les cybercriminels utilisent des compartiments AWS S3 arrivés à expiration pour diffuser du code malveillant
Selon Checkmarx, les cybercriminels exploitent des buckets AWS S3 expirés (s'ouvre dans un nouvel onglet) pour diffuser du code malveillant et l'injecter dans des paquets légitimes du référentiel npm — sans avoir à modifier le moindre code.
Checkmarx a commencé à enquêter sur cette situation à la suite d’un avis publié à la fin du mois dernier par GitHub concernant plusieurs versions d’un paquet npm appelé « bignum » (s’ouvre dans un nouvel onglet), qui avait été détourné par des acteurs malveillants et diffusait des binaires malveillants conçus pour voler des informations sensibles sur les utilisateurs, telles que les identifiants, les mots de passe et les noms d’hôte locaux, à partir des appareils des victimes.
Source : Checkmarx :
La dernière version de « bignum », la 0,13,1, a été publiée il y a plus de 3 ans et n'avait jamais été piratée. Cependant, plusieurs versions antérieures l'étaient. Les versions 0,12,2-0,13,0 s'appuyaient sur des fichiers binaires hébergés dans un compartiment S3 . Ces fichiers binaires seraient récupérés depuis le « bucket » lors de l'installation afin d'assurer le bon fonctionnement du paquet. Il y a environ 6 mois, ce « bucket » a été supprimé (les versions qui en dépendaient n'étaient pour la plupart plus utilisées).
Cela a ouvert la voie à un rachat…
Les S3 objectifs : un petit rappel
Les S3 buckets sont des ressources AWS qui permettent aux utilisateurs de stocker et de récupérer d'énormes quantités de données, notamment des fichiers, des documents, des vidéos et d'autres types de contenus numériques. Les utilisateurs ont accès à S3 compartiments dotés d'URL uniques, ce qui les rend utiles pour toute une série d'applications, allant de l'hébergement de sites web et de la sauvegarde de données à la diffusion de données, en passant par l'archivage et le stockage d'applications et de contenus.
Au début de l'enquête menée par Checkmarx, il a été constaté que le paquet npm « bignum » utilisait « node-gyp » pour télécharger un fichier binaire .node lors de la phase d'installation. Le fichier binaire en question était initialement hébergé sur un compartiment AWS S3 . Si le répertoire « bucket » était inaccessible, cela inciterait le paquet à rechercher le fichier binaire localement.
Source : Checkmarx :
Cependant, un pirate non identifié a remarqué l'abandon soudain d'un compartiment AWS autrefois actif. Voyant là une occasion à saisir, l'agresseur s'est emparé du seau abandonné. Par conséquent, chaque fois que bignum était téléchargé ou réinstallé, les utilisateurs téléchargeaient à leur insu le fichier binaire malveillant placé par le pirate.
Comment cela a-t-il été possible ? Bien que chaque compartiment AWS S3 doive porter un nom unique au niveau mondial, ce nom redevient disponible dès la suppression du compartiment. Si un paquet fait référence à un compartiment en tant que source, ce pointeur continue d'exister, même après la suppression de ce compartiment. C'est cette faille qui a permis à l'attaquant de rediriger le pointeur vers le compartiment piraté.
Le binaire contrefait et ses fonctions
La nature du fichier binaire malveillant — il s'agit d'un fichier binaire compilé en C/C++ appelé par des applications JavaScript — a permis aux modules Node.js d'accéder au code de bas niveau et, au final, d'élargir la surface d'attaque.
Le fichier binaire .node contrefait fonctionnait de manière très similaire à celui d'origine, avec quelques fonctionnalités supplémentaires. Par exemple, tout en remplissant les fonctions parfaitement inoffensives du fichier binaire authentique, le fichier binaire frauduleux est allé plus loin en volant des identifiants et en les envoyant vers le même compartiment AWS S3 piraté mentionné ci-dessus. Les données ont été exfiltrées via une requête HTTP GET.
En développant la méthode de communication de ce programme binaire, une fois ses fonctions de collecte de données accomplies, celui-ci créerait une socket TCP destinée à la communication IPv4 et exfiltrerait discrètement les données collectées sous la forme d’un agent utilisateur associé à une requête GET.
Une tendance se dessine
De l'avis général, c'était la première fois qu'une telle attaque était observée et documentée. Les chercheurs de Checkmarx ont mené une « recherche rapide au sein de l'écosystème open source », qui a donné des résultats inattendus.
Source : Checkmarx :
Nous avons identifié de nombreux paquets et référentiels utilisant des compartiments « S3 » abandonnés qui sont vulnérables à cette exploitation. L'impact de ce nouveau vecteur d'attaque peut varier considérablement. Toutefois, le danger qu'elle représente peut être considérable si un pirate parvient à l'exploiter dès qu'un tel changement se produit. Un autre risque concerne les organisations ou les développeurs qui utilisent des versions figées ou des référentiels d'artefacts, car ils continueront d'accéder au même compartiment, désormais piraté.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La découverte d'une nouvelle surface d'attaque de la chaîne d'approvisionnement des logiciels libres, liée à la prise de contrôle de sous-domaines, revêt une importance considérable. »
« Bien que l'on ait beaucoup parlé ces derniers temps des menaces qui pèsent sur la communauté des logiciels libres, une telle découverte devrait servir de signal d'alarme tant pour les développeurs que pour les organisations pour lesquelles ils travaillent — et rappeler que les cybercriminels continueront à inventer de nouveaux moyens d'exploiter à des fins malveillantes des logiciels largement utilisés et réputés fiables, ainsi que leurs sources. »
Source : Checkmarx :
Un « bucket » d'hébergement abandonné ou un sous-domaine obsolète n'est pas simplement un vestige oublié ; entre de mauvaises mains, il peut devenir une arme redoutable pour le vol de données et les intrusions.
3. Un nouveau logiciel malveillant d'exfiltration cible les environnements RDP
Bitdefender a découvert une nouvelle campagne de cyberespionnage (s'ouvre dans un nouvel onglet) , identifiée sous le nom de RedClouds. Il utilise un logiciel malveillant RDStealer spécialement conçu pour extraire des données des disques partagés via des connexions de bureau à distance. Cette campagne malveillante, qui n'a pas encore été attribuée à un acteur malveillant spécifique, cible des systèmes en Asie de l'Est depuis 2022.
RDStealer est un implant côté serveur qui surveille les connexions entrantes via le protocole RDP (Remote Desktop Protocol) lorsque le mappage des lecteurs clients est activé. Ces clients qui se connectent sont ensuite infectés par la porte dérobée Logutil — un autre logiciel malveillant sur mesure — avant que leurs données sensibles ne soient exfiltrées.
Les échantillons de logiciels malveillants RDStealer et Logutil analysés par Bitdefender sont tous deux écrits dans le langage de programmation Go. Ce langage gagne en popularité grâce à sa forte compatibilité multiplateforme, ce qui permet aux auteurs de menaces de créer plus facilement du code malveillant capable de s'exécuter sur plusieurs systèmes d'exploitation différents. En analysant les domaines liés à ces attaques, les chercheurs ont relevé de nombreuses références à Linux, mais aussi à ESXi, ce qui indique que la porte dérobée Logutil est un outil multiplateforme.
Analyse de l'attaque
Après avoir analysé les informations DNS passives, les échantillons VirusTotal et les artefacts, Bitdefender a déterminé que l'acteur malveillant était actif depuis au moins 2020. À l'origine, l'acteur malveillant utilisait des outils plus facilement accessibles, tels qu'AsyncRAT et Cobalt Strike, avant de se tourner vers des logiciels malveillants développés sur mesure fin 2021/début 2022.
L'objectif principal de cette attaque semble être le vol d'identifiants et l'exfiltration de données. Les auteurs de la menace ont utilisé des dossiers qui contiennent rarement des logiciels malveillants et qui, de ce fait, sont souvent exclus de l'analyse par les outils de sécurité :
- %WinDir%\System32\
- %WinDir%\System32\wbem\
- %WinDir%\security\database\
- %PROGRAM_FILES%\f-secure\psb\diagnostics
- %PROGRAM_FILES_x86%\dell\commandupdate\
- %PROGRAM_FILES%\dell\md storage software\md configuration utility\
Les emplacements %PROGRAM_FILES% et %PROGRAM_FILES_x86% sont très probablement choisis par l'auteur de la menace afin de se faire passer pour le logiciel légitime. Un logiciel malveillant a également été détecté dans %WinDir%\security\database, un dossier servant d'espace de stockage pour les bases de données de sécurité sous Windows.
Microsoft a publié des recommandations sur concernant l'exclusion de certains fichiers (s'ouvre dans un nouvel onglet) situés à cet emplacement, afin qu'ils ne soient pas analysés par les outils de sécurité des terminaux. Il est possible que l'auteur de la menace ait pris connaissance de ces recommandations et ait pensé que certaines solutions de sécurité choisiraient d'exclure l'intégralité du dossier, plutôt que de se limiter à certains fichiers spécifiques qu'il contient.
Qu'est-ce que RDStealer ?
RDStealer est spécialisé dans la collecte de données grâce à des techniques telles que la capture du contenu du presse-papiers et l'enregistrement des frappes clavier. Ce logiciel malveillant peut également surveiller les connexions RDP entrantes et compromettre un ordinateur distant si le mappage de lecteurs client (CDM) est activé.
Le CDM est un canal virtuel mis en œuvre dans le cadre du protocole RDP. Il permet le transfert de données entre le client RDP et le serveur RDP. Il est spécifiquement chargé d'afficher les lecteurs locaux de l'ordinateur client au sein de la session de bureau à distance.
Cette fonctionnalité permet aux utilisateurs d'accéder à des fichiers et de les transférer entre leur ordinateur local et le serveur ou le bureau distant auquel ils sont connectés via RDP. Cette méthode est couramment utilisée par les administrateurs pour transférer des fichiers. La technologie CDM est également fréquemment utilisée par les utilisateurs finaux lambda pour les postes de travail virtuels et la virtualisation d'applications.
On ne dispose pas pour l'instant d'informations précises concernant le vecteur d'infection initial, ce qui rend difficile de déterminer si le système compromis a été utilisé pour obtenir un accès administratif ou pour interagir avec des utilisateurs lambda.
Sur les machines infectées, RDStealer se trouvait à l'emplacement suivant : %PROGRAM_FILES%\dell\md storage software\md configuration utility\modular disk service daemon[.]exe.
Une fois lancée, la fonction principale commence à collecter les données du presse-papiers et les frappes au clavier provenant de l'ordinateur hôte. Les données sont enregistrées périodiquement dans le fichier journal C:\users\public\log.log, sous forme de chaînes de caractères chiffrées. Cela crée alors une boucle infinie qui appellera la fonction `diskMounted`. Cette fonction vérifie de manière périodique la disponibilité de la connexion tsclient et de l'un des lecteurs C, D, E, F, G ou H. Ils sont créés automatiquement lorsque le CDM est activé.
Lorsqu'une de ces actions est détectée de manière confirmée, les fonctions suivantes sont déclenchées :
- C2 communication – notifyMaster : Cette fonction signale au système de commande et de contrôle (C2) qu'un client est connecté. Cette fonction envoie une requête GET à un autre serveur désigné comme proxy afin de communiquer avec l'infrastructure C2 contrôlée par l'acteur malveillant.
- Exfiltration de données – DiskEnum : Cette fonction lance l'exfiltration des données à partir du client RDP connecté. Cette fonction recherche toute information utile sur le client RDP connecté en vue d'une exfiltration de données.
La première cible est constituée de quelques dossiers spécifiques, ce qui indique que l'auteur de la menace recherche des identifiants et des connexions enregistrées vers d'autres systèmes. Cette même tendance se retrouve à l'étape suivante, où le système recherche sur l'ordinateur d'un client les fichiers portant des extensions spécifiques dans les emplacements suivants : %AppData%, %LocalAppData%, Bureau, Documents, Téléchargements, %ProgramFiles% et %ProgramFiles(x86)%.
Tous les fichiers détectés sont stockés dans une archive ZIP sur l'hôte RDP. Après avoir exfiltré les données du lecteur C distant, RDStealer commence à analyser les lettres de lecteur D, E, F, G et H, mais en adoptant une approche légèrement différente. Pour ces disques, il commencera à analyser tous les dossiers, à quelques exceptions près. Étant donné que cette analyse récursive peut prendre un certain temps, un mécanisme a été mis en place pour limiter son exécution à une fois par semaine. Le fichier « users\public\Videos\vcache.dat » est modifié une fois l'exfiltration des données terminée, et la date de dernière modification est comparée à l'heure actuelle afin de déterminer s'il est temps de procéder à un nouveau balayage du système.
- Compromission en aval – WritePersist : Cette fonction déploie la porte dérobée Logutil sur le client RDP connecté. Il récupère une liste d'utilisateurs à partir du fichier tsclient\c\users.
- Logutil : La porte dérobée Logutil met en œuvre les fonctionnalités nécessaires pour maintenir une présence au sein du réseau. Cela inclut notamment le téléchargement et l'envoi de fichiers, ainsi que l'exécution de commandes.
Ce qui rend cette porte dérobée intéressante, c'est la manière dont elle exploite les techniques de chargement parallèle de DLL, associées à l'utilisation de WMI comme déclencheur d'activation. Bien que certaines techniques traditionnelles de chargement parallèle de DLL aient été observées, une variante plus intéressante a été repérée, exploitant Winmgmt, ce qui a conduit à l'exécution du fichier binaire malveillant bithostw[.]dll. Pour ce faire, les auteurs de la menace ont utilisé un chargeur malveillant situé dans le dossier « wbem », qui imitait la bibliothèque légitime « ncobjapi ».
L'implant peut être déclenché soit par le service WMI, soit par le processus hôte WMI. Logutil peut communiquer directement avec l'infrastructure C2 , ou via un autre serveur proxy situé sur le même réseau. Vous trouverez la liste complète des commandes qu'il peut récupérer depuis le serveur C2 dans l'étude de Bitdefender, disponible ici.
Mention de source
Malgré les différentes méthodes mises en œuvre par Bitdefender, l'entreprise n'a pas réussi à attribuer ces attaques à un acteur malveillant spécifique. Ils estiment toutefois que les intérêts de cet acteur malveillant coïncident avec ceux de la Chine et que ses méthodes présentent le niveau de sophistication propre à une campagne APT soutenue par un État.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne utilise des dossiers Microsoft Windows qui peuvent être exclus de l'analyse par certains logiciels de sécurité. » « Les auteurs de ces attaques utilisent délibérément ces dossiers pour y stocker les charges utiles des portes dérobées, sachant qu'ils pourront ainsi rester indétectables au sein du réseau pendant plus longtemps. »
« Les recherches menées par Bitdefender ont également révélé que cet acteur malveillant est passé de l'utilisation d'outils facilement accessibles à la création et à l'exploitation de logiciels malveillants sur mesure, tels que RDStealer et Logutil. » « Cela met en évidence la sophistication croissante de cet acteur malveillant au cours des dernières années. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
