Cette semaine, CTI analyse en détail la campagne de ransomware ESXiArgs, qui connaît une expansion rapide et qui crypte des milliers de serveurs ESXi. Nous allons ensuite nous pencher sur une tendance à la hausse concernant des acteurs malveillants qui diffusent des logiciels malveillants via des fichiers OneNote — une méthode de diffusion autrefois peu courante. Pour finir, nous clôturons cette série par un article consacré au renseignement, à caractère plus stratégique, qui porte sur les récentes déclarations du président Biden, formulées lors de son deuxième discours sur l'état de l'Union, concernant le besoin urgent pour le pays d'adopter une loi fédérale globale sur la protection des données.
1. Une attaque massive du ransomware ESXiArgs vise les serveurs VMware ESXi dans le monde entier
Selon un bulletin du CERT-FR, , des pirates ciblent activement les serveurs VMware ESXi (s'ouvre dans un nouvel onglet) — en se concentrant, semble-t-il, sur les serveurs qui n’ont pas été mis à jour et qui sont vulnérables à CVE-2021-21974 (s'ouvre dans un nouvel onglet) (une vulnérabilité d’exécution de code à distance datant de deux ans) dans le cadre d’une campagne à grande échelle mettant en œuvre le ransomware ESXiArgs, relativement peu connu.
Au moment de la rédaction de cet article, le suivi de par Censys (s'ouvre dans un nouvel onglet) faisait état de 3 200 serveurs compromis (situés au Canada, en France, en Finlande, en Allemagne et aux États-Unis), un chiffre en augmentation. Les chercheurs soulignent que le nombre de victimes est probablement plus élevé, car les moteurs de recherche sur Internet ne fournissent qu'un instantané, c'est-à-dire un analyse à un moment donné, et que les appareils sont régulièrement mis hors ligne pour être réparés entre deux analyses.
Nouveau ransomware ESXiArgs
Selon un article publié sur le blog « TheRecord » de Recorded Future, le rançongiciel utilisé dans le cadre de cette campagne est baptisé « ESXiArgs », car ce logiciel malveillant crée un fichier supplémentaire portant l'extension .args une fois le chiffrement du document effectué. Ce fichier contient des informations sur la manière de déchiffrer le document de la victime.
La souche de ransomware impliquée dans cette campagne semblait initialement liée à la famille de ransomwares « Nevada » — une hypothèse avancée dans un article de blog publié par le fournisseur français d’hébergement cloud OVHcloud (s’ouvre dans un nouvel onglet) (une entreprise dont certains clients figurent parmi les victimes touchées par cette campagne). Cependant, cette hypothèse a finalement été réfutée. Des similitudes entre ESXiArgs et le ransomware Babuk ont également été relevées, dans la mesure où ils utilisent tous deux le même algorithme de chiffrement (Sosemanuk) ; toutefois, des différences dans la structure du code de ces logiciels malveillants ont également semé le doute quant à cette hypothèse.
Arctic Wolf (s'ouvre dans un nouvel onglet) indique que, d'après la note de rançon, cette campagne est probablement l'œuvre d'un seul acteur malveillant ou d'un seul groupe. Cette hypothèse s'explique par le caractère non ciblé de la campagne, l'absence probable de reconnaissance préalable des victimes et la rançon relativement modeste exigée par les attaquants, à savoir deux bitcoins. Chaque note comporte également un identifiant Tox identique, que les victimes utilisent pour communiquer avec l'auteur de la menace. Un identifiant Tox ID sert à ajouter des personnes à des listes de contacts au sein de la plateforme de messagerie Tox Chat.
Au-delà de la question de l'attribution, OVHcloud a pu mettre en évidence les caractéristiques comportementales suivantes, tirées des incidents liés à ESXiArgs signalés par ses clients :
- Il est confirmé que le vecteur d'attaque exploite une vulnérabilité d'OpenSLP qui pourrait être la CVE-2021-21974 (à confirmer). Les journaux indiquent que l'utilisateur « dcui » est impliqué dans le processus de compromission.
- Le chiffrement utilise une clé publique déployée par le logiciel malveillant dans le fichier /tmp/public.pem.
- Le processus de chiffrement cible spécifiquement les fichiers des machines virtuelles (.vmdk, .vmx, .vmxf, .vmsd, .vmsn, .vswp, .vmss, .nvram et .vmem).
- Le logiciel malveillant tente d'arrêter les machines virtuelles en mettant fin au processus VMX afin de déverrouiller les fichiers. Cette fonction ne fonctionne pas systématiquement comme prévu, ce qui a pour conséquence que certains fichiers restent verrouillés.
- Le logiciel malveillant crée un fichier « argsfile » afin d'y stocker les arguments transmis au binaire chiffré (nombre de Mo à ignorer, nombre de Mo par bloc de chiffrement, taille du fichier).
- Aucune fuite de données n'a eu lieu.
Michael Gillespie, d’ID Ransomware, aurait analysé une copie du programme de chiffrement « » ESXiArgs,, et déclaré à BleepingComputer que, malheureusement, il s’agit d’un programme de chiffrement sécurisé ne présentant aucun faufile cryptographique susceptible de permettre un déchiffrement.
Multiplication
Les chercheurs estiment qu’ESXiArgs se propage en exploitant la vulnérabilité « CVE-2021-21974 » ( 101) (s’ouvre dans un nouvel onglet), une faille de sécurité datant de deux ans liée à un problème de débordement de tas (heap overflow) dans le service OpenSLP, qui rend essentiellement les hyperviseurs ESXi non mis à jour vulnérables à des acteurs malveillants non authentifiés dans le cadre d’attaques de faible complexité.
Il ne s'agit pas d'une faille « zero-day »
Le 6 février 2023, VMware a publié un avis recommandant vivement aux administrateurs d'appliquer les correctifs aux serveurs ESXi et de désactiver le service OpenSLP ; la société a tenu à confirmer que les pirates n'exploitaient pas une vulnérabilité « zero-day » pour propager le ransomware ESXiArgs.
En substance, VMware a confirmé que cette campagne de grande envergure était bel et bien le fait d'auteurs de ransomware ciblant des serveurs ESXi exposés à Internet et non mis à jour. VMware a indiqué que ce service est désactivé par défaut (s'ouvre dans un nouvel onglet)dans les versions du logiciel ESXi publiées depuis la version 2021.
Quels sont les domaines concernés ?
VMWare décrit l’ ESXi (s’ouvre dans un nouvel onglet) comme un « hyperviseur bare-metal … offrant un accès direct aux ressources sous-jacentes et leur contrôle » — ce qui permet d’accéder à des fichiers critiques et donne aux attaquants la possibilité de perturber un très large éventail de ressources de l’utilisateur.
Selon BleepingComputer, la vulnérabilité CVE-2021-21974 affecte les systèmes suivants :
- Versions 7.x d'ESXi antérieures à la version ESXi70U1c-17325551
- Versions 6,7.x d'ESXi antérieures à la version ESXi670-202102401-SG
- Versions 6,5.x d'ESXi antérieures à la version ESXi650-202102101-SG
Un correctif a été publié pour la version CVE-2021-21974 en février de l'année 2021. Les organismes gouvernementaux et les chercheurs en sécurité encouragent actuellement les administrateurs réseau à mettre à jour sans délai tous les serveurs qui n'ont pas encore reçu de correctif.
Deuxième vague d'attaques par le ransomware ESXiArgs ; le vecteur d'accès initial remis en question
Dans la dernière mise à jour, ce qui semble être une deuxième vague d'attaques par le ransomware ESXiArgs met en œuvre une version révisée du logiciel malveillant et chiffre des volumes de données plus importants, ce qui rend finalement beaucoup plus difficile — voire impossible — pour les équipes d'intervention de restaurer les machines virtuelles VMware ESXi chiffrées.
Le blog consacré à la cybersécurité BleepingComputer affirme avoir eu connaissance pour la première fois de cette deuxième vague d'attaques après qu'un administrateur eut publié un message dans le fil de discussion « » du forum EXSiArgs Support du blog, à l'adresse.
Les professionnels de la sécurité remettent désormais également en question la validité de l’affirmation largement admise selon laquelle le vecteur d’infection initial de cette campagne serait en réalité l’exploitation de serveurs VMware ESXi non mis à jour et vulnérables à CVE-2021-21974 (s’ouvre dans un nouvel onglet).
Nouvelle version d'ESXiArgs
Après avoir analysé des échantillons de cette nouvelle variante de ransomware, BleepingComputer aurait constaté que, bien que le module de chiffrement d’ESXiArg n’ait pas changé, la partie du code de la routine de chiffrement qui déterminait la quantité de données chiffrées avait été modifiée — ce qui avait pour effet, en substance, que le module de chiffrement alternait entre le chiffrement de 1MB données et le saut de 1MB données. Cela signifie que tous les fichiers dont la taille dépasse 128MB ont désormais 50 % de leurs données chiffrées, ce qui les rend pratiquement irrécupérables.
Ces modifications empêchent également les outils de récupération publiés par l’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) via isa page GitHub (s’ouvre dans un nouvel onglet) en réponse à la première vague d’attaques de permettre la récupération des systèmes chiffrés, car une trop grande quantité de données aura été chiffrée pour être exploitable.
De plus, la note de rançon ne comporte plus d'adresse Bitcoin. Il s'agissait probablement d'une tentative de la part des opérateurs d'ESXiArg visant à empêcher les chercheurs en sécurité de retracer les paiements de rançon.
La route CVE-2021-21974 est-elle la véritable responsable ?
Selon un article récent intitulé « » publié sur le blog de Greynoise (s'ouvre dans un nouvel onglet), les chercheurs en sécurité ont peut-être tiré des conclusions un peu hâtives en établissant un lien entre la campagne de ransomware ESXiArgs et l'exploitation de la faille CVE-2021-21974.
Extrait du message :
Le lien entre CVE-2021-21974 (s'ouvre dans un nouvel onglet) et la campagne de ransomware est peut-être exagéré. Nous ne savons pas pour l'instant quel est le vecteur d'accès initial, et il est possible qu'il s'agisse de l'une des vulnérabilités liées au service OpenSLP d'ESXi.
La communauté de la sécurité semble se concentrer sur une seule vulnérabilité. GreyNoise estime que « CVE-2021-21974 » constitue un vecteur d’accès initial plausible, mais n’a connaissance d’aucune source de première main confirmant que tel est bien le cas. Nous encourageons les responsables de la sécurité à rester vigilants et à ne pas se fier aveuglément aux déclarations de tous les fournisseurs (y compris les nôtres).
Cette affirmation est étayée par le fait que plusieurs victimes auraient déclaré qu'OpenSLP était désactivé sur leurs appareils et qu'elles ont néanmoins été victimes d'une intrusion et d'un chiffrement. Pour autant, la question demeure : comment la communauté de la sécurité en est-elle venue, au départ, à attribuer la campagne ESXiArgs à un CVE spécifique ?
Un article de blog octobre 2022(s'ouvre dans un nouvel onglet) publié par Juniper Networks a mis en évidence le risque d'exploitation des différentes vulnérabilités OpenSLP présentes dans diverses versions d'ESXi. Bien que cet article ne soit pas allé jusqu’à attribuer une vulnérabilité spécifique à un cas d’exploitation réussie, il a toutefois fourni des détails sur la porte dérobée qui a été installée après l’exploitation dans les incidents observés.
En résumé, il existe de nombreuses vulnérabilités OpenSLP différentes dans plusieurs versions d’ESXi, notamment CVE-2021-21974 (s’ouvre dans un nouvel onglet), CVE-2020-3992, et CVE-2019-5544 (s’ouvre dans un nouvel onglet). Plusieurs d’entre elles ont très probablement été exploitées par le passé pour installer une porte dérobée malveillante, comme l’a signalé Greynoise, et, bien que « aucune vulnérabilité CVE n’est concrètement identifiée comme vecteur d’accès initial de la campagne ESXiArgs par des sources officielles », les chercheurs en sécurité semblent s’accorder sur le fait que ces éléments suffisent à eux seuls — ce qui leur a permis de conclure que la vulnérabilité CVE-2021-21974 était le vecteur d’accès initial du mystérieux rançongiciel ESXiArgs.
Une analyse approfondie récemment mise à jour de Censys, intitulée « » et consacrée à ESXiArgs (s'ouvre dans un nouvel onglet), publiée par Censys, souligne les points suivants, ce qui jette un doute supplémentaire sur le fait qu’OpenSLP soit le vecteur d’attaque utilisé par les pirates :
« Comme nous l'avons signalé hier, OpenSLP ne semble pas être la méthode d'attaque utilisée, étant donné que plusieurs hôtes compromis n'exécutaient pas SLP. »
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette dernière évolution souligne, tant pour les professionnels de la sécurité que pour les analystes du renseignement sur les cybermenaces, l’importance de ne pas tirer de conclusions hâtives — en particulier lorsque ces allégations ne reposent pas sur des témoignages de première main ni sur les déclarations des fournisseurs concernés. » Cela ne fait qu'ajouter à une situation déjà grave un sentiment de peur, d'incertitude et de doute. La vérité finit toujours par se révéler. « En général, ce n’est qu’une question de temps. »
« Le fait que la nouvelle variante d’ESXiArgs puisse rendre les systèmes touchés pratiquement irrécupérables devrait mettre en évidence l’importance d’identifier les systèmes exposés et/ou vulnérables et de les sécuriser immédiatement. » « Que la faille CVE-2021-21974 constitue ou non le vecteur d'attaque utilisé par les auteurs de cette campagne, la présence d'une vulnérabilité RCE datant de deux ans dans des machines virtuelles ESXi non mises à jour représente un risque inutile. »
2. De nouvelles attaques QakNote diffusent le logiciel malveillant QBot via des fichiers Microsoft OneNote
Sophos a détecté une nouvelle attaque à grande échelle, baptisée « QakNote », qui diffuse le logiciel malveillant QBot ( ) via des fichiers Microsoft OneNote. (s'ouvre dans un nouvel onglet)
Tendance à la hausse : l'utilisation de fichiers OneNote pour diffuser des logiciels malveillants
Les entreprises de sécurité suivent depuis un certain temps déjà la prolifération des logiciels malveillants diffusés via des fichiers OneNote au format .one. Jusqu'à récemment, cette tactique était rarement utilisée par les cybercriminels. Toutefois, dans l’article « janvier 2023 » (), Proofpoint a recensé plus de 50 campagnes OneNote (s’ouvre dans un nouvel onglet) diffusant diverses charges utiles malveillantes, notamment AsyncRAT, Redline, AgentTesla et Doubleback. Il convient notamment de souligner l'utilisation de documents OneNote pour diffuser QBot par l'intermédiaire du « broker d'accès initial TA577 » à la fin de l' janvier 2023.
Pourquoi observe-t-on une augmentation soudaine du nombre de campagnes utilisant OneNote pour diffuser des logiciels malveillants ? Bien qu'il soit difficile d'apporter une réponse définitive, on estime que les cybercriminels se tournent vers OneNote en raison de la décision de Microsoft de bloquer par défaut les macros dans les documents provenant d'Internet. Cette décision a conduit les auteurs de menaces à tester diverses techniques, tactiques et procédures (TTP) afin de contourner les solutions de détection.
Quelles sont les nouveautés concernant le logiciel malveillant QBot ?
QBot (s'ouvre dans un nouvel onglet), également connu sous le nom de QakBot (d'où le nom de la campagne « QakNote »), est historiquement connu comme un cheval de Troie bancaire – bien que, à l'instar de nombreux autres logiciels malveillants de ce type, il ait depuis évolué pour devenir un logiciel malveillant polyvalent destiné au vol d'informations – et est actif depuis des années.
QBot vole des données sensibles (s'ouvre dans un nouvel onglet) et s'efforce de se propager de manière autonome vers d'autres systèmes du réseau. QBot a fait évoluer le module « » afin d'offrir des capacités d'exécution de code à distance (RCE), permettant ainsi aux acteurs malveillants de mener des attaques manuelles pour atteindre des objectifs secondaires.
Une étude menée par Sophos sur les fichiers .one malveillants a permis de découvrir que le logiciel malveillant QBot était diffusé via ce vecteur de menace. Il semblerait que QBot ait commencé à utiliser des fichiers .one dans le cadre de ses attaques vers la fin du mois de janvier. Dans le cadre d'une campagne observée, l'e-mail malveillant contenait un lien invitant la victime à télécharger un fichier .one malveillant. Dans cette campagne, le message électronique était plutôt impersonnel.
Un autre cas observé a suivi des tactiques plus couramment associées à QBot, dans lesquelles l'e-mail malveillant est inséré au milieu d'une conversation existante. Ce fil de discussion comprenait le fichier .one directement en pièce jointe.
Que l'utilisateur clique sur un lien le redirigeant vers le document OneNote ou qu'il ouvre directement la pièce jointe, il est redirigé vers une page OneNote indiquant : « Ce document contient des pièces jointes provenant du cloud. Pour les recevoir, double-cliquez [sic] sur « Ouvrir ». » Le bouton « Ouvrir » intégré au document renvoie vers un fichier .hta.
En cliquant sur le bouton « Ouvrir », vous lancerez le fichier .hta, qui récupère un échantillon de QBot depuis un serveur distant et l'exécute. Le code du script du fichier .hta transmet une URL codée en dur à l'application curl[.]exe, qui récupère le fichier à l'autre bout. Les échantillons détectés sur les serveurs présentaient des extensions de fichiers correspondant à des formats d'image, tels que .png ou .gif, mais il s'agissait en réalité de fichiers DLL. Dans ce cas précis, la charge utile du logiciel malveillant QBot s'est injectée dans AtBroker[.]exe, l'utilitaire « Gestionnaire des technologies d'assistance » de Windows.
Une caractéristique unique a été observée dans certains des blocs-notes OneNote malveillants. Si vous cliquez avec le bouton droit de la souris et enregistrez les éléments graphiques du bloc-notes, la boîte de dialogue s'affichera automatiquement avec le nom de fichier qui avait été attribué à l'image lors de son intégration initiale dans le document. Dans ce cas précis, le nom du fichier était «
« bezimyanny risunok » », ce qui signifie « dessin anonyme » en russe.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les blocs-notes OneNote permettent aux auteurs de menaces d'y intégrer pratiquement n'importe quel type de fichier, des pièces jointes VBS aux fichiers LNK. » Ce qui est intéressant chez les auteurs de menaces qui utilisent OneNote, c'est cette étape supplémentaire d'ingénierie sociale. Oui, l'ingénierie sociale entre déjà en jeu lorsque la victime reçoit un e-mail de hameçonnage de type « » contenant le lien ou la pièce jointe OneNote. Cependant, un aspect supplémentaire lié à l'ingénierie sociale entre en jeu lorsque l'utilisateur accède au bloc-notes OneNote et est incité à cliquer sur la pièce jointe intégrée par le biais d'un appel à l'action. »
3. Le discours sur l'état de l'Union de M. Biden le montre clairement : la protection des données est une nécessité absolue
Lors de son deuxième discours sur l'état de l'Union, le président américain Joe Biden a accordé plus d'attention que jamais à la nécessité immédiate pour le pays de se doter d'une mesure de nature similaire au Règlement général sur la protection des données (RGPD) de l'Union européenne (UE).
Bien que le règlement de l’UE — adopté en 2018 — soit loin d’être parfait (s’ouvre dans un nouvel onglet), sa simple existence jette une ombre considérable sur l’absence totale, aux États-Unis, de lois fédérales complètes en matière de protection des données. Le président Biden a consacré une partie importante de son discours à attirer l'attention sur cette lacune dans la doctrine nationale en matière de cybersécurité.
Pourquoi le contexte politique actuel pourrait être propice à une nouvelle réglementation
Le Congrès américain étant actuellement divisé entre plusieurs partis, le président Biden a souligné que cette situation pourrait contribuer à faciliter l'obtention d'un soutien bipartisan en faveur d'une loi fédérale globale sur la protection des données.
L’idée d’une telle loi ou d’un ensemble de réglementations fédérales a indéniablement gagné du terrain et suscité un nombre considérable d’adeptes ces dernières années — notamment à la suite de cyberattaques très médiatisées, notamment celles visant des infrastructures critiques, telles que l’attaque par ransomware « » contre Colonial Pipeline (s’ouvre dans un nouvel onglet) en mai 2021, ainsi que celles visant des agences gouvernementales fédérales ou locales.
Un nouveau précédent ?
Aux yeux des commentateurs des médias comme des experts en sécurité, la simple évocation de l’adoption éventuelle d’une loi fédérale sur la protection des données dans le discours sur l’état de l’Union du président Biden (s’ouvre dans un nouvel onglet) constitue un précédent « indiquant que ce sujet devrait véritablement préoccuper les présidents américains et le public », comme l’a souligné WIRED.
Les anciens présidents ont généralement évité d'aborder la question de la protection des données lors de discours de cette envergure et bénéficiant d'une telle visibilité. Parmi les deux présidents précédents, un seul a abordé ce sujet — et ce, une seule fois. Le président Biden a abordé cette question lors de ses deux discours sur l'état de l'Union.
Lors de son premier discours, prononcé en 2022, le président Biden a évoqué la protection des données dans le cadre de la protection des enfants et des mesures visant à empêcher les grandes entreprises technologiques de collecter des données à caractère personnel. Le discours de cette année est allé encore plus loin.
Le niveau supérieur
En développant le concept qu’il avait initialement présenté lors de ce discours « 2022 » et en apportant un éclairage plus approfondi, en termes plus techniques, sur les cybermenaces auxquelles le pays est actuellement confronté, le président Biden — que ce soit intentionnellement ou non — a indiqué que le gouvernement américain accordait une grande importance à la manière dont le public appréhende la protection des données et à l’urgence avec laquelle le pays doit renforcer cette protection.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les États-Unis ne disposent toujours pas d’une loi fédérale véritablement exhaustive et inclusive en matière de protection des données, ni du cadre réglementaire qui l’accompagne. » Le pire scénario dans ce cas serait que nous continuions tout simplement à faire face à un vide juridique au niveau national en matière de législation sur la protection des données. « À tout le moins, les déclarations du président Biden exercent une pression suffisante sur les deux ailes de son gouvernement pour que les choses se mettent en place avec les législateurs. »
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
