Cette semaine, CTI décompose la campagne de rançongiciel ESXiArgs en développement rapide qui chiffre des milliers de serveurs ESXi. Ensuite, nous explorons une tendance à la hausse impliquant des acteurs malveillants distribuant des logiciels malveillants via des fichiers OneNote, une méthode de livraison unique. Enfin, nous concluons avec une histoire de renseignement plus stratégique axée sur les remarques récentes du président Biden, données lors de son deuxième discours de l’État de l’Union, sur le besoin urgent du pays d’une loi fédérale complète sur la confidentialité des données.
1. Une attaque massive par rançongiciel ESXiArgs cible les serveurs VMware ESXi dans le monde entier
Selon un bulletin du CERT-FR français, les attaquants ciblent activement les serveurs VMware ESXi , se concentrant prétendument sur les serveurs qui restent non corrigés et vulnérables à CVE-2021-21974 (une vulnérabilité d’exécution de code à distance de deux ans) dans une campagne généralisée présentant le ransomware ESXiArgs relativement inconnu.
Au moment du signalement, le suivi de Censys avait porté le nombre de serveurs compromis (situés au Canada, en France, en Finlande, en Allemagne et aux États-Unis) à 3 200 et en hausse. Les chercheurs notent que le nombre de victimes est probablement plus élevé car les moteurs de recherche sur Internet ne fournissent qu’un instantané ou une analyse ponctuelle, et les appareils sont régulièrement mis hors ligne pour la remédiation entre les analyses.
Nouveau ransomware ESXiArgs
Selon une publication publiée par le blog TheRecord de Recorded Future, le ransomware présenté dans la campagne est appelé ESXiArgs, car le logiciel malveillant crée un fichier supplémentaire avec l’extension .args après le cryptage du document. Ce fichier contient des informations sur la manière de déchiffrer le document victime.
La pression des rançongiciels impliqués dans la campagne semblait initialement être liée à la famille des rançongiciels du Nevada, une théorie propagée dans un article de blog publié par le fournisseur d’hébergement cloud français OVHcloud (une entreprise dont les clients sont comptés parmi les victimes affectées par cette campagne). Cependant, cette hypothèse a finalement été désagrégée. Des similitudes entre ESXiArgs et le ransomware Babuk ont également été notées, car ils utilisent tous deux le même chiffrement de chiffrement (Sosemanuk), mais des différences dans la structure de code du logiciel malveillant ont également mis en doute cette probabilité.
Arctic Wolf déclare que d’après la note de rançon, la campagne est probablement le travail d’un seul acteur ou groupe de menaces. Cette hypothèse est due à la nature non ciblée de la campagne, à son manque probable de reconnaissance pré-opérationnelle des victimes et à la demande d’extorsion relativement faible de deux Bitcoins des attaquants. Chaque note a également un ID Tox identique, qui est utilisé par les victimes pour s’engager auprès de l’acteur malveillant dans la communication. Un ID Tox est utilisé pour ajouter des personnes aux listes de contacts dans la plateforme de messagerie Tox Chat.
En dehors de l’attribution, OVHcloud a pu fournir les caractéristiques comportementales suivantes tirées des incidents liés à ESXiArgs des clients :
- Le vecteur de compromission est confirmé pour utiliser une vulnérabilité OpenSLP qui pourrait être CVE-2021-21974 (toujours à confirmer). Les journaux indiquent que l’utilisateur dcui est impliqué dans le processus de compromission.
- Le chiffrement utilise une clé publique déployée par le logiciel malveillant dans /tmp/public.pem.
- Le processus de chiffrement cible spécifiquement les fichiers des machines virtuelles (.vmdk, .vmx, .vmxf, .vmsd, .vmsn, .vswp, .vmss, .nvram et .vmem).
- Le logiciel malveillant tente d’arrêter les machines virtuelles en tuant le processus VMX pour déverrouiller les fichiers. Cette fonction ne fonctionne pas systématiquement comme prévu, ce qui entraîne le verrouillage des fichiers.
- Le logiciel malveillant crée un fichierargs pour stocker les arguments transmis au binaire crypté (nombre de Mo à ignorer, nombre de Mo dans le bloc de cryptage, taille du fichier).
- Aucune exfiltration de données n’est survenue.
Michael Gillespie d’ID Ransomware aurait analysé une copie du chiffrement ESXiArgs, indiquant à BleepingComputer que, malheureusement, il s’agit d’un chiffrement sécurisé sans bugs de cryptographie qui pourraient potentiellement permettre le décryptage.
Propagation
Les chercheurs pensent qu’ESXiArgs se propage via l’exploitation de CVE-2021-21974, une faille de sécurité de deux ans liée à un problème de débordement de tas dans le service OpenSLP, qui rend essentiellement les hyperviseurs ESXi non corrigés vulnérables aux acteurs de menaces non authentifiés dans les attaques de faible complexité.
Aucun jour zéro impliqué
Le 6 février 2023, VMware a émis un avis exhortant les administrateurs à appliquer des correctifs aux serveurs ESXi et à désactiver le service OpenSLP, l’entreprise a fait le point de confirmer que les attaquants n’exploitaient pas une vulnérabilité zero-day pour propager les rançongiciels d’ESXiArg.
En substance, VMware a vérifié que la campagne à grande échelle était en fait le résultat d’acteurs de ransomware ciblant les serveurs ESXi non corrigés exposés à Internet. VMware a noté que ce service est désactivé par défaut dans les versions logicielles ESXi émises depuis 2021.
Qu’est-ce qui est affecté ?
VMWare décrit ESXi comme un « hyperviseur bare-metal... avec un accès direct aux ressources sous-jacentes et un contrôle de celles-ci », offrant un accès aux fichiers critiques et permettant aux pirates informatiques de perturber une vaste gamme de ressources de l’utilisateur.
BleepingComputer signale que CVE-2021-21974 affecte les systèmes suivants :
- ESXi versions 7.x antérieures à ESXi70U1c-17325551
- ESXi versions 6,7.x antérieures à ESXi670-202102401-SG
- ESXi versions 6,5.x antérieures à ESXi650-202102101-SG
Un correctif a été émis pour CVE-2021-21974 en février 2021. Les agences gouvernementales et les chercheurs en sécurité encouragent actuellement les administrateurs réseau à mettre à jour immédiatement tout serveur non corrigé.
Deuxième vague d’attaques par rançongiciel ESXiArgs ; vecteur d’accès initial remis en question
Dans la dernière mise à jour, ce qui semble être une deuxième vague d’attaques par rançongiciel d’ESXiArgs présente une version révisée du logiciel malveillant et chiffre des quantités plus étendues de données, ce qui rend finalement beaucoup plus difficile, voire impossible, pour les intervenants de récupérer les machines virtuelles VMware ESXi chiffrées.
Blog sur la cybersécurité BleepingComputer prétend avoir d’abord pris connaissance de la deuxième vague d’attaques après qu’un administrateur a publié dans la rubrique du forum d’assistance EXSiArgs du blog.
Les professionnels de la sécurité remettent désormais en question la validité de l’affirmation largement acceptée selon laquelle le vecteur d’infection initial de la campagne est en fait l’exploitation des serveurs VMware ESXi qui restent non corrigés et vulnérables à CVE-2021-21974.
Nouvelle version ESXiArgs
Après avoir analysé des échantillons de la nouvelle variante de rançongiciel, BleepingComputer aurait constaté que, bien que le chiffrement d’ESXiArg n’ait pas changé, la partie du code de la routine de chiffrement qui dictait la quantité de données cryptées avait été modifiée, entraînant essentiellement le chiffrement à alterner entre le chiffrement de 1MB données et le saut de 1MB données. Cela signifie que tous les fichiers de plus de 128MB ont désormais 50 % de leurs données chiffrées, les rendant pratiquement irrécupérables.
Les modifications empêchent également les outils de récupération émis par la Cybersecurity and Infrastructure Security Agency (CISA) via la page its GitHub en réponse à la vague initiale d’attaques de récupérer avec succès les systèmes cryptés, car trop de données auront été cryptées pour être utilisables.
De plus, la note de rançon n’inclut plus d’adresse Bitcoin. Il s’agissait probablement d’une tentative des opérateurs d’ESXiArg d’empêcher les chercheurs en sécurité de suivre les paiements de rançon.
CVE-2021-21974 est-il le véritable coupable ?
Selon un article récent publié sur le blog de Greynoise, les chercheurs en sécurité peuvent être un peu prématurés dans leurs conclusions reliant la campagne de rançongiciel ESXiArgs à l’exploitation de CVE-2021-21974.
À partir de la publication :
La relation entre CVE-2021-21974 et la campagne de rançongiciels peut être exacerbée. Nous ne savons pas actuellement quel est le vecteur d’accès initial, et il est possible qu’il s’agisse de l’une des vulnérabilités liées au service OpenSLP d’ESXi.
La communauté de sécurité semble se concentrer sur une vulnérabilité unique. GreyNoise pense que CVE-2021-21974 est un vecteur d’accès initial, mais n’a connaissance d’aucune source tierce confirmant que c’est le cas. Nous encourageons les défenseurs à rester vigilants et à ne pas accepter tous les fournisseurs à leur connaissance (y compris nous).
Cette déclaration est renforcée par le fait que plusieurs victimes ont prétendu qu’OpenSLP avait été désactivé sur leurs appareils et qu’il avait été violé et chiffré indépendamment. Cependant, la question reste la suivante : Comment la communauté de sécurité est-elle arrivée à l’attribution de la campagne ESXiArgs à un CVE spécifique en premier lieu ?
Un article de octobre 2022 blog publié par Juniper Networks a introduit le potentiel d’abus des diverses vulnérabilités OpenSLP qui existent dans différentes versions d’ESXi. Bien que la publication ne soit pas parvenue à attribuer une vulnérabilité spécifique à une instance d’exploitation réussie, elle a fourni des détails sur la porte dérobée qui a été installée après l’exploitation dans les incidents observés.
En somme, il existe de nombreuses vulnérabilités OpenSLP différentes sur plusieurs versions d’ESXi, y compris CVE-2021-21974, CVE-2020-3992 et CVE-2019-5544. Plusieurs d’entre eux ont très probablement été exploités par le passé pour installer une porte dérobée malveillante, et comme rapporté par Greynoise, et, bien que « Aucun CVE ne soit concrètement attribué comme vecteur d’accès initial pour la campagne ESXiArgs par des sources internes », les chercheurs en sécurité semblent avoir convenu que ces faits sont suffisamment bons par eux-mêmes, ce qui leur permet de sauter au doigt CVE-2021-21974 comme vecteur d’accès initial mystérieux du ransomware ESXiArgs.
Une étude approfondie récemment mise à jour d’ESXiArgs publiée par Censys souligne ce qui suit, jetant un doute supplémentaire sur le fait qu’OpenSLP est la voie d’attaque des attaquants :
« Comme nous l’avons signalé hier, OpenSLP ne semble pas être la méthode d’attaque, étant donné que plusieurs hôtes compromis n’ont pas de SLP en cours d’exécution. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce dernier développement souligne à la fois pour les professionnels de la sécurité et les analystes de cyberveille la valeur de s’abstenir de tirer des conclusions prématurées, en particulier lorsque ces réclamations ne sont pas basées sur des comptes personnels ou les fournisseurs affectés. Cela ne sert qu’à injecter une situation déjà grave avec peur, incertitude et doute. La vérité a toujours un moyen de faire surface. Ce n’est généralement qu’une question de temps. »
« Le fait que la nouvelle variante ESXiArgs puisse rendre les systèmes affectés virtuellement irrécupérables doit permettre de souligner l’importance d’identifier les systèmes exposés et/ou vulnérables et de les sécuriser immédiatement. Que CVE-2021-21974 soit ou non la méthode d’entrée pour les acteurs derrière cette campagne, la présence d’une vulnérabilité RCE de deux ans dans les machines virtuelles ESXi non corrigées est un risque inutile. »
2. Les nouvelles attaques QakNote poussent les logiciels malveillants QBot via les fichiers Microsoft OneNote
Sophos a observé une nouvelle attaque à grande échelle, baptisée QakNote, qui a poussé les logiciels malveillants QBot via les fichiers Microsoft OneNote.
Tendance croissante : utiliser des fichiers OneNote pour transmettre des logiciels malveillants
Les entreprises de sécurité suivent la croissance des logiciels malveillants livrés via des fichiers .one OneNote depuis un certain temps. Jusqu’à récemment, cette tactique était rarement employée par les cybercriminels. Cependant, en janvier 2023, Proofpoint a observé plus de 50 campagnes OneNote fournissant diverses charges utiles de logiciels malveillants, notamment AsyncRAT, Redline, AgentTesla et Doubleback. L’utilisation de documents OneNote pour livrer QBot par le courtier d’accès initial TA577 à la fin de présente un intérêt particulier janvier 2023.
Pourquoi l’augmentation soudaine du nombre de campagnes tirant parti de OneNote pour fournir des logiciels malveillants ? Bien qu’il soit difficile de pointer vers une réponse définitive, on pense que les acteurs malveillants passent à OneNote en raison de la décision de Microsoft de bloquer les macros par défaut dans les documents provenant d’Internet. Cette décision a conduit les acteurs malveillants à expérimenter divers TTP pour contourner les solutions de détection.
Quelles sont les nouveautés des logiciels malveillants QBot ?
QBot, également connu sous le nom de QakBot (d’où le nom de campagne de QakNote), est historiquement connu sous le nom de cheval de Troie bancaire. Cependant, comme beaucoup de ses pairs, il a depuis évolué en un logiciel malveillant de vol d’informations à multiples facettes et est actif depuis des années.
QBot vole des données sensibles et s’efforce de se propager automatiquement à d’autres systèmes sur le réseau. QBot a évolué pour fournir des capacités d’exécution de code à distance (Remote Code Execution, RCE), permettant aux acteurs malveillants d’effectuer des attaques manuelles pour atteindre des objectifs secondaires.
Les recherches de Sophos impliquant des fichiers .one malveillants ont conduit à la découverte de logiciels malveillants QBot via ce vecteur de menace. QBot semble avoir commencé à tirer parti des documents .one lors d’attaques vers la fin du mois de janvier. Dans une campagne observée, l’e-mail malveillant contenait un lien, invitant la victime à télécharger un fichier malveillant .one. Dans cette campagne, le message e-mail était plutôt impersonnel.
Une autre instance observée a suivi des tactiques plus fréquemment connues de QBot où l’e-mail malveillant est injecté au milieu d’une conversation existante. Ce thread comprenait le fichier .one directement en tant que pièce jointe.
Que l’utilisateur clique sur un lien le menant au document OneNote ou ouvre directement la pièce jointe, il est dirigé vers une page OneNote qui indique : « Ce document contient des pièces jointes du cloud, pour les recevoir, double-cliquez sur [sic] « ouvrir ». » Le bouton « Ouvrir » intégré dans le document conduit à un fichier .hta.
Cliquer sur le bouton « Ouvrir » exécutera le fichier .hta qui récupère un échantillon de QBot à partir d’un serveur distant et l’exécute. Le code script du fichier .hta transmet une URL codée en dur à l’application curl[.]exe, qui récupère le fichier à l’autre extrémité. Les échantillons observés sur les serveurs présentaient des extensions de fichier au format image, telles que .png ou .gif, mais en réalité, il s’agissait de DLL. Dans ce cas, la charge utile du logiciel malveillant QBot s’est injectée dans AtBroker[.]exe, l’utilitaire Windows Assistive Technology Manager.
Une caractéristique unique a été observée dans certains des notebooks OneNote malveillants. Si vous cliquez avec le bouton droit et enregistrez les éléments graphiques dans le bloc-notes, la boîte de dialogue sera pré-remplie avec le nom de fichier qui a été attribué à l’image lorsqu’elle a été initialement intégrée dans le document. Le nom de fichier dans ce cas était
« bezymyanny risunok », qui est russe pour « dessin anonyme ».
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les notebooks OneNote permettent aux acteurs malveillants d’intégrer presque tous les types de fichiers, des pièces jointes VBS aux fichiers LNK. Ce qui est intéressant dans les acteurs malveillants utilisant OneNote, c’est l’étape d’ingénierie sociale supplémentaire. Oui, l’ingénierie sociale entre déjà en jeu lorsque la victime reçoit un e-mail d’hameçonnage contenant le lien ou la pièce jointe OneNote. Cependant, un aspect d’ingénierie sociale supplémentaire se produit lorsque l’utilisateur atterrit sur le bloc-notes OneNote et est convaincu de cliquer sur la pièce jointe intégrée via un appel à l’action. »
3. Le discours de l’État de l’Union de Biden indique clairement : la confidentialité des données est un must
Dans son deuxième discours de l’État de l’Union, le président américain Joe Biden a consacré plus d’attention que jamais au besoin immédiat du pays d’une mesure de nature similaire au Règlement général sur la protection des données (RGPD) de l’Union européenne (UE).
Bien que la réglementation de l’UE, promulguée en 2018 , ne soit en aucun cas sans faille, sa simple existence jette une longue ombre sur l’absence totale de lois fédérales complètes sur la confidentialité des données des États-Unis. Le président Biden a pris beaucoup de temps dans son discours pour attirer l’attention sur cette lacune dans la doctrine nationale de la cybersécurité.
Pourquoi le paysage politique actuel peut être mûr pour une nouvelle réglementation
Étant donné que le contrôle du Congrès américain est actuellement divisé entre les parties, le président Biden a fait remarquer que de telles circonstances pourraient potentiellement aider à faciliter le soutien bipartite d’une loi fédérale complète sur la confidentialité des données.
Le concept d’une telle loi ou d’un tel ensemble de réglementations fédérales a certainement gagné du terrain et a gagné sa juste part de partisans ces dernières années, en particulier à la suite de cyberattaques de grande envergure, y compris celles ciblant des infrastructures critiques, telles que l’ attaque par ransomware sur Colonial Pipeline en mai 2021) et ces agences gouvernementales fédérales ou locales.
Un nouveau précédent ?
Aux yeux des experts en sécurité et des experts des médias, la simple mention de la promulgation potentielle d’une loi fédérale sur la confidentialité des données dans l’adresse de l’État de l’Union du président Biden pose un précédent « que le sujet devrait être réellement préoccupant pour les présidents américains et le public », comme WIRED l’a dit.
Les présidents précédents se sont généralement éloignés de toute discussion concernant la confidentialité des données dans des adresses de cette ampleur et avec des degrés aussi élevés de visibilité. Parmi les deux présidents précédents, un seul a mentionné le sujet, et une seule fois. Le président Biden a soulevé le problème dans ses deux adresses de l’État de l’Union.
Dans sa première adresse, qui a eu lieu en 2022, le président Biden a mentionné la confidentialité des données dans le cadre de la protection des enfants et de l’empêchement des grandes entreprises technologiques de collecter des données personnelles. L’adresse de cette année a permis d’aller plus loin.
Le niveau suivant
En élargissant le concept qu’il a introduit pour la première fois dans cette allocution du 2022 et en fournissant des informations supplémentaires sur les cybermenaces auxquelles la nation est actuellement confrontée en des termes plus techniques, le président Biden, que ce soit intentionnellement ou non, a indiqué que le gouvernement américain détient la compréhension du public de la confidentialité des données et l’urgence avec laquelle la nation doit améliorer sa protection en haute considération.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les États-Unis manquent toujours d’une loi fédérale sur la confidentialité des données vraiment complète et inclusive et d’un cadre réglementaire connexe. Le pire scénario ici est que nous continuons simplement à avoir un vide national lorsqu’il s’agit de la loi nationale sur la confidentialité des données. À tout le moins, les déclarations du président Biden exercent une pression suffisante des deux côtés de son administration pour faire avancer la balle auprès des législateurs. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
