Pour commencer ce dernier numéro du CTI Roundup, nous nous penchons sur la résurgence du célèbre logiciel malveillant Emotet et de son botnet, après la 2021 e opération de démantèlement menée par les forces de l'ordre internationales. Nous allons ensuite examiner les différentes méthodes utilisées par les opérateurs du logiciel malveillant IcedID pour tester de nouvelles tactiques de diffusion. Pour finir, nous conclurons par un résumé des derniers rapports publiés par Cisco Talos, qui détaillent la découverte d'un nouveau cadre d'attaque intégrant l'outil Alchimist C2 et un nouveau logiciel malveillant appelé Insekt.
1. Le logiciel malveillant Emotet fait à nouveau parler de lui
Un nouveau rapport de VMware affirme que les auteurs de la menace à l'origine du botnet « » de diffusion du logiciel malveillant Emotet ( ) ont relancé leur célèbre offre de « malware-as-a-service » (MaaS) et l'ont dotée de capacités d'évasion avancées ainsi que d'autres fonctionnalités.
La résurgence de ce logiciel malveillant, observée par les chercheurs dès janvier 2022 à la suite de l’opération coordonnée visant à démanteler Emotet menée début 2021 par les forces de l’ordre internationales, marque son retour sur la scène mondiale sous la forme d’une menace persistante, fort des enseignements tirés de sa lutte contre les autorités.
Parmi les autres points à retenir, l'étude de VMware met en évidence les progrès technologiques réalisés par Emotet à la suite de sa période d'inactivité forcée. Il s'agit notamment de :
- De meilleures infrastructures
- De meilleures mesures de protection contre l'analyse
- Capacité à prendre en charge divers objectifs d'attaque
- Des modes d'attaque en constante évolution
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cela fait un certain temps qu’Emotet n’a plus fait la une des journaux. » Bien que la plupart des activités analysées par l'unité d'analyse des menaces de VMware aient été observées à partir du début de l'année 2022, il ne faut pas sous-estimer l'importance de la résurgence d'Emotet. « Si la mise en place d’un groupe de travail international composé de plusieurs services de police du monde entier, dont l’objectif unique était de démanteler Emotet et son botnet, ne suffisait pas à prouver qu’il s’agissait d’une cybermenace mondiale, le fait qu’il ait survécu aux efforts de ce groupe de travail et qu’il soit revenu plus puissant — et plus insaisissable que jamais — en est sans aucun doute la preuve. »
« Le compte Twitter d'ESET Research a récemment publié un fil de discussion dans lequel son auteur a reconnu que ce tweet constituait la première mise à jour de la société concernant Emotet après trois mois d'inactivité. » Ce fil de discussion présente de nouveaux indicateurs de compromission concernant l'un des modules mis à jour d'Emotet. On ne sait pas avec certitude si Emotet est inactif depuis aussi longtemps que le secteur semble le penser. « Ses exploitants n'ont peut-être pas lancé d'attaques en continu, mais compte tenu des nombreuses avancées réalisées en matière de capacités d'évasion, ils étaient très probablement occupés à mettre à jour leur produit. »
#BREAKING Encore une journée sur #ESETresearch, encore un #Emotet : une campagne utilisant une nouvelle technique. Au lieu des macros Office habituelles, les opérateurs utilisent PowerShell dans des fichiers LNK joints, dont le nom est « form.lnk ». Si la victime exécute le fichier, le fichier binaire d'Emotet (.DLL) est téléchargé puis exécuté. 04/01
2. Les pirates à l'origine des attaques du logiciel malveillant IcedID diversifient leurs méthodes de diffusion
Selon Team Cymru, les auteurs des campagnes de hameçonnage utilisant le logiciel malveillant IcedID ( ) ont désormais recours à un large éventail de méthodes de diffusion.
Plusieurs campagnes récentes d’IcedID ont été observées, utilisant des voies d’infection légèrement différentes, ce qui, selon les chercheurs, correspond à une tentative des auteurs de ces attaques de déterminer quelle méthode fonctionne le mieux face à différentes cibles.
Qu'est-ce que la famille de logiciels malveillants IcedID ?
Le logiciel malveillant IcedID, également connu sous le nom de BokBot, a été détecté pour la première fois au début de l'année 2017 sous la forme d'un simple cheval de Troie bancaire. Ce logiciel malveillant a ensuite évolué, comme c'est souvent le cas pour ce type de logiciel, pour intégrer des fonctionnalités de « dropping » lui permettant de télécharger et de déployer des charges utiles malveillantes supplémentaires. IcedID est généralement diffusé par le biais de campagnes de phishing de type « » ou déposé en tant que charge utile secondaire par d'autres logiciels malveillants, notamment Emotet.
Les récentes campagnes d'IcedID exploitent toute une gamme de types d'appâts et de processus d'exécution différents. Les chercheurs de Team Cymru ont comparé les différentes campagnes (toutes datant de septembre 2022) afin de comprendre quels indicateurs les auteurs de ces menaces pourraient eux-mêmes chercher à recueillir — c'est-à-dire quelles méthodes offrent le meilleur rendement ou s'avèrent les plus efficaces dans chaque campagne.
Comment le logiciel malveillant IcedID est-il diffusé ?
Parmi les campagnes analysées dans « septembre 2022 », plusieurs méthodes différentes de diffusion de logiciels malveillants ont été observées, notamment :
- Fichier ZIP protégé par mot de passe contenant un fichier LNK
- Fichier ZIP protégé par mot de passe, sans fichier LNK
- Maldoc
- PrivateLoader
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Team Cymru a constaté que ces campagnes comportaient de nombreuses fautes de grammaire, ce qui a entraîné une diminution du nombre de victimes. Cette observation constitue une preuve supplémentaire de l’intérêt que présentent les programmes solides de formation et de sensibilisation au hameçonnage, qui apprennent aux utilisateurs à reconnaître ces indices de non-authenticité dans les e-mails, démontrant ainsi que ces connaissances peuvent réduire considérablement le risque que les destinataires se laissent piéger par des campagnes de hameçonnage. »
« D'un autre côté, les auteurs de menaces en sont également conscients, d'où la décision prise par bon nombre d'entre eux, notamment les plus expérimentés, de diversifier leurs méthodes de diffusion en peu de temps et d'évaluer l'efficacité de chacune d'entre elles. »
« Les chercheurs estiment que la méthode consistant à passer d'un fichier ZIP à un fichier ISO puis à un fichier LNK a été la plus efficace parmi celles testées par les auteurs de la menace. » S'agit-il de la méthode à laquelle les auteurs de menaces auront désormais le plus souvent recours pour diffuser le logiciel malveillant IcedID ? Peut-être. Ou bien ils tenteront peut-être quelque chose de totalement différent pour prendre les chercheurs et les professionnels de la sécurité au dépourvu. L'avenir nous le dira, mais il ne serait pas surprenant que ce dernier scénario se réalise. »
« La seule question qui reste à se poser est la suivante : que tirerons-nous de tout cela, et comment en tirerons-nous parti ? »
3. Un nouveau cadre d'attaque « Alchimist » cible Windows, macOS et Linux
Un rapport récent de Cisco Talos détaille la découverte d’un nouveau cadre d’attaque, comprenant un outil de commande et de contrôle de type « » (C2) appelé Alchimist et un nouveau logiciel malveillant appelé Insekt.
Ce cadre « tout-en-un » est largement utilisé dans le cadre d'attaques visant les systèmes Windows, macOS et Linux. Cette découverte intervient quelques mois seulement après celle du framework Manjusaka, dont les chercheurs ont souligné la similitude avec Alchimist.
Qu'est-ce qu'Alchimist ?
Alchimist est un exécutable Linux 64 bits écrit dans le langage GoLang, qui connaît un succès grandissant. Alchimist C2 dispose d'une interface Web rédigée en chinois simplifié et permet de générer une charge utile configurée, d'établir des sessions à distance, de déployer des charges utiles sur les machines distantes, de réaliser des captures d'écran, d'exécuter du shellcode à distance et d'exécuter des commandes arbitraires.
À propos de l'implant Insekt
Insekt est un implant 64 bits écrit en GoLang, compilé pour les environnements Windows et Linux, doté de nombreuses fonctionnalités RAT – toutes destinées à être exécutées par le serveur Alchimist C2 . L'implant met en place plusieurs gestionnaires pour sept fonctionnalités principales :
- Obtenir la taille des fichiers.
- Obtenir des informations sur le système d'exploitation.
- Exécutez des commandes de votre choix via cmd[.]exe.
- Améliorez l'implant Insekt actuel.
- Exécuter des commandes de votre choix en tant qu'autre utilisateur.
- Dormez pendant des durées définies par le C2.
- Commencer/arrêter de faire des captures d'écran.
Insekt dispose d’autres capacités, telles que l’exécution de shellcode, le balayage des ports et des adresses IP, la manipulation des clés SSH, la mise en place de connexions par proxy, etc. La variante Linux d’Insekt permet de répertorier le contenu du répertoire « .ssh » situé dans le répertoire personnel de la victime et d’y ajouter de nouvelles clés SSH afin que l’attaquant puisse communiquer avec la machine de la victime depuis le C2 via SSH. Insekt comprend un module capable de mettre en œuvre les différentes commandes pouvant être émises par les opérateurs, ainsi qu'un module capable d'effectuer des actions RAT spécifiques sur le terminal infecté.
Autres outils à connaître
Cisco Talos a mis en avant d'autres outils permettant l'élévation des privilèges et, à terme, l'exploitation des plateformes Mac OS X. Le code source de deux de ces outils est disponible sur GitHub : il s'agit notamment de Fast reverse proxy (frp), utilisé pour l'exfiltration de données, et de Fscan, un outil d'analyse d'intranet.
- Exploit Mac OS X : Le fichier Mach-O découvert dans le répertoire « open » est un autre exécutable GoLang intégrant un exploit et une porte dérobée de type « bind shell ». Le programme de dépôt contient une faille permettant l'élévation de privilèges dans l'utilitaire pkexec de polkit. Cependant, cet utilitaire n'est pas installé par défaut sous macOS, ce qui signifie que l'élévation des privilèges n'est pas garantie.
- Scriptlet : Alchimist peut également générer des scripts destinés à être utilisés lors de la première phase de l'infection. L'un des scripts découverts par les chercheurs s'appelait « down[.]sct » ; il télécharge l'implant Insekt à partir d'une URL spécifique.
- Shellcode : Des chercheurs ont découvert un shellcode Meterpreter dans un fichier nommé « shell[.]msi ». Elle contient la configuration malveillante comprenant les informations relatives à l'hôte et au port permettant au code shell de se connecter à une adresse IP spécifique.
Alchimist présente des similitudes avec Manjusaka, un autre framework d'attaque
Cisco Talos a découvert un serveur autonome C2 , que les auteurs ont baptisé « Alchimist », ainsi que les implants associés, qu'ils ont classés dans la famille « Insekt RAT ». Il y a quelques mois à peine, Cisco Talos a découvert un autre framework autonome , baptisé « Manjusaka ». Ces deux cadres, bien qu'ils soient mis en œuvre de manière distincte, suivent la même philosophie générale de conception et semblent répondre aux mêmes exigences. Ces frameworks ont été conçus et mis en œuvre pour fonctionner comme des exécutables autonomes basés sur GoLang, pouvant être diffusés assez facilement ; ils utilisent tous deux une interface web en chinois simplifié et font tous deux référence au protocole SNI ( ) peu courant :.
Les principales différences entre Manjusaka et Alchimist résident dans l'approche adoptée pour la mise en œuvre de l'interface utilisateur Web et dans la manière dont ils implémentent la fonctionnalité « fichier unique ». Les développeurs de Manjusaka s'appuient sur le framework web Gin et utilisent packr, un framework de regroupement de ressources, pour intégrer et stocker les implants. Les auteurs d’Alchimist ont adopté une approche plus simple, en utilisant uniquement les fonctionnalités de base de GoLang pour mettre en œuvre les mêmes fonctionnalités.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les nombreuses similitudes entre Manjusaka et Alchimist, ainsi que le court laps de temps qui s'est écoulé entre l'apparition de chacun de ces frameworks, pourraient laisser entrevoir une nouvelle tendance, à savoir l'utilisation de frameworks « tout-en-un » ou « prêts à l'emploi » de niveau C2 . »
« Ces infrastructures présentent un intérêt pour les cybercriminels en raison de leur polyvalence, puisqu’elles peuvent être utilisées pour une grande variété de fonctions, notamment l’administration à distance et les mécanismes de commande et de contrôle. »
« Cisco Talos le résume très bien : “Pour un acteur malveillant, obtenir un accès shell privilégié sur la machine d’une victime revient à disposer d’un couteau suisse, ce qui lui permet d’exécuter des commandes ou des shellcodes arbitraires dans l’environnement de la victime, avec des conséquences importantes pour l’organisation ciblée.” »
« Divers rapports publiés au cours de la semaine dernière environ témoignent de l'attrait que présentent ces cadres globaux pour les acteurs malveillants. » CTI a également relayé un article de Trend Micro publié sur , intitulé « », qui décrit comment QAKBOT — un chargeur/dropper de logiciels malveillants particulièrement efficace — a commencé à faciliter la diffusion de charges utiles de deuxième phase, telles que Brute Ratel, un framework d'émulation d'attaquants disponible dans le commerce, et l'omniprésent Cobalt Strike, un framework mieux établi, le tout en vue du déploiement final du ransomware Black Basta. »
« Les différentes versions de Cobalt Strike qui ont fait l'objet de fuites ayant inévitablement conduit à des campagnes moins fructueuses (un taux de détection élevé de Cobalt Strike est la conséquence inévitable de l'utilisation répétée, par des acteurs malveillants, d'un outil surutilisé et largement médiatisé), les attaquants ont commencé à se tourner vers des frameworks plus récents dotés de capacités accrues. » Des outils récents tels qu’Alchimist et Brute Ratel constituent des options de plus en plus intéressantes pour mener des attaques dans lesquelles les auteurs malveillants cherchent à passer inaperçus pendant des périodes plus longues. « Nous prévoyons que ces frameworks continueront à gagner des parts de marché dans le secteur des frameworks d'émulation C2/adversaire. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur le forum de discussion de Tanium à l'adresse pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés sur les menaces informatiques.
