Cette semaine, CTI examine une campagne de logiciels malveillants récemment découverte qui exploite de fausses pages Google Sites et la contrebande HTML pour distribuer les logiciels malveillants Azorult. Le CTI suivant fournit les principaux enseignements du rapport « État de la sécurité des API » d’Imperva qui examine le paysage actuel de la sécurité des API. CTI décompose également une campagne continue de menaces persistantes avancées (APT) qui cible plusieurs entités gouvernementales à travers le monde.
1. Les pirates informatiques propagent des logiciels malveillants via de fausses pages Google Sites
Une campagne de logiciels malveillants récemment découverte exploite de fausses pages Google Sites ainsi que la technique de contrebande HTML pour distribuer un type de logiciels malveillants appelé Azorult.
Dans cette campagne, la charge utile est intégrée dans un fichier JSON hébergé en externe distinct. L’ infostealer Azorult sans fichier est ensuite exécuté via le chargement de code réfléchissant pour contourner la détection et minimiser les artefacts.
Sites Google pour la contrebande HTML
Netskope a découvert cette dernière activité impliquant de fausses pages Google Docs sur les sites Google qui ont été utilisées par les acteurs malveillants pour la contrebande HTML afin de télécharger des charges utiles malveillantes.
L’acteur malveillant qui se cache derrière cette activité incite ses victimes à visiter de fausses pages Google Docs et leur demande de télécharger un fichier qu’elles estiment provenir de Google Docs. Dans cette campagne, l’acteur malveillant a intégré la charge utile malveillante dans un fichier JSON afin que, lorsque la victime a accédé au site, elle envoie une demande GET pour télécharger le fichier JSON.
L’acteur malveillant a également exploité CAPTCHA pour éviter les scanners d’URL. Une fois que la victime passe par le CAPTCHA, le code de contrebande HTML reconstruit la charge utile et la télécharge. La charge utile téléchargée est un fichier LNK qui utilise l’icône PDF pour faire croire aux utilisateurs qu’il s’agit d’un fichier légitimement téléchargé à partir de Google Docs. Le logiciel malveillant finalement téléchargé est le logiciel malveillant de vol d’ informations Azorult.
Chargement de programmes malveillants sans fichier Azorult
La campagne exécute le voleur d’ informations Azorult en mémoire via le chargement de code réfléchissant comme technique d’évasion de défense supplémentaire. En d’autres termes, il charge le code dans la mémoire d’un processus PowerShell en cours d’exécution et ne laisse donc pas autant d’artefacts derrière.
Pour ce faire, un script PowerShell est exécuté pour contourner l’AMSI ou l’interface d’analyse anti-programme malveillant. Ensuite, un second script PowerShell est exécuté pour télécharger le chargeur Azorult, définir un shellcode et exécuter une routine qui chargera à la fois le shellcode et l’exécutable dans la mémoire du processus.
Qu’est-ce qu’un malware Azorult ?
Azorult existe depuis 2016. Cela commence par prendre une capture d’écran de l’appareil et l’enregistrer au format JPEG. Il collecte ensuite les données du navigateur, y compris les données de connexion de Chrome, l’état local, les cookies et les données Web. Il applique également la même routine à Firefox. Le logiciel malveillant copie les données du crypto-portefeuille avant de rechercher des fichiers sensibles sur le bureau. Il recherche des extensions de fichier spécifiques telles que TXT, AXX, DOC, XLS, KDBX, DOCX et XLSX. Il recherchera également des noms de fichiers, y compris des mots-clés spécifiques tels que sauvegarde, portefeuille, grand livre et secret. Une fois qu’il dispose des informations dont il a besoin, il écrit les données dans un flux de mémoire qui est ensuite exfiltré vers le C2.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La contrebande HTML est une technique de plus en plus utilisée par les acteurs malveillants pour fournir des logiciels malveillants, d’où la difficulté de pouvoir attribuer cette activité à un acteur spécifique.
Comme le souligne Netskope, « Contrairement aux fichiers de contrebande courants où le blob se trouve déjà à l’intérieur du code HTML, cette campagne copie une charge utile codée à partir d’un site compromis distinct. »
Cela soutient le fait que les acteurs malveillants utilisent de plus en plus cette technique, et la modifient également pour échapper davantage à la détection.
2. Les cybercriminels tirent parti des API
Imperva a récemment publié son rapport « État de la sécurité des API », qui examine le paysage actuel de la sécurité des API en fonction des attaques ciblant les API.
Imperva a découvert que les API sont désormais un vecteur d’attaque populaire pour les acteurs malveillants étant donné leur ligne directe pour accéder aux données sensibles. Le rapport couvre les tendances d’attaque des API ainsi que des recommandations sur la manière d’améliorer la posture de sécurité des API.
Principaux vecteurs d’API à connaître
Imperva a analysé les vecteurs d’attaque API observés au cours de l’année passée. La logique commerciale est en tête de liste, représentant 27 % de toutes les attaques sur les API, soit une augmentation de 10 % par rapport à l’année précédente.
Ce type d’attaque se produit lorsqu’un acteur malveillant cherche à « exploiter la fonctionnalité prévue d’une API à des fins malveillantes, telles que l’exfiltration de données sensibles ou la perturbation d’une application critique ». Détecter les abus de logique métier API peut être difficile, car les attaques imitent étroitement l’utilisation légitime.
Le prochain vecteur principal, à 19 %, est les attaques qui proviennent d’agents automatisés ou de « mauvais robots ». Imperva a également examiné les principaux secteurs avec un nombre élevé d’appels d’API et donc un nombre élevé de trafic de robots. Ils ont constaté que le secteur bancaire et financier représentait 31 %, suivi de l’e-commerce et du commerce de détail à 17,9 %, et de la technologie à 7,1 %. Bien que tout le trafic des robots ne soit pas malveillant, ces données associées au nombre d’appels d’API sont un modèle qui vaut la peine d’être examiné.
Les usurpations de compte API sont un autre type d’attaque courante. Cela se produit lorsqu’un acteur malveillant exploite une vulnérabilité dans le processus d’authentification d’une API pour accéder aux comptes d’utilisateur. Imperva a constaté que 45,8 % de toutes les attaques ont enregistré des endpoints API ciblés, ce qui représente une augmentation de 11 % par rapport à l’année précédente.
endpoints API mal gérés
Le rapport d’Imperva explore trois types courants d’endpoints d’API mal gérés qui augmentent le risque de ces attaques.
- Les API Shadow sont des API non documentées ou non découvertes. Il s’agit essentiellement d’API qui ont été oubliées et Imperva estime que cela représente 4,7 % des API actives d’une organisation.
- Les API obsolètes sont des endpoints d’API qui manquent de mises à jour et sont plus ouverts aux attaques.
- Les endpoints non authentifiés sont généralement introduits par une mauvaise configuration ou supervision.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants recherchent constamment de nouveaux vecteurs d’attaque et surveillent l’écosystème global pour identifier les cibles potentiellement lucratives.
L’une des raisons pour lesquelles les API sont probablement une cible attrayante pour les acteurs malveillants est le fait que les organisations n’ont pas toujours une visibilité complète sur leurs API.
Comme Imperva le note continuellement dans leur rapport, ces attaques sont difficiles à détecter. « La nature dynamique des interactions API et le volume considérable de demandes légitimes rendent difficile pour les mesures de sécurité traditionnelles de discerner les activités malveillantes », déclare le rapport.
Étant donné que les acteurs malveillants utilisent diverses techniques pour cibler les API, différents types d’atténuation sont nécessaires pour assurer une couverture complète. Imperva propose des conseils d’atténuation dans son rapport.
3. La campagne APT cible les entités gouvernementales mondiales
Les chercheurs suivent une campagne APT depuis 2022 qui cible plusieurs entités gouvernementales à travers le monde.
La campagne, que les chercheurs attribuent à un acteur malveillant appelé Earth Krahang, accède à l’infrastructure publique pour attaquer davantage d’autres entités gouvernementales. L’acteur malveillant utilise cet accès pour héberger des charges utiles malveillantes, du trafic d’attaque par proxy et envoyer des e-mails de spear phishing à partir de comptes de messagerie gouvernementaux compromis. L’acteur a également récemment construit un serveur VPN sur un serveur public compromis pour obtenir un accès persistant au réseau privé de la victime.
Reconnaissance et accès initial
L’un des vecteurs d’infection de cette campagne implique l’analyse des serveurs destinés au public. L’acteur malveillant utilise des outils open source pour rechercher .git ou .idea. Cet acteur s’occupera également parfois directement des répertoires de force brute. L’acteur recherche des serveurs potentiellement non entretenus et vise à accéder aux serveurs pour supprimer des shells Web et installer des backdoors. Dans certains cas, l’acteur malveillant tirera également parti du spear phishing.
Trend Micro a observé Earth Krahang obtenir des centaines d’adresses e-mail de la cible pendant la phase de reconnaissance. Dans un exemple spécifique, l’acteur malveillant a tiré parti d’une boîte aux lettres compromise d’un employé du gouvernement pour envoyer un document malveillant à 796 autres adresses e-mail appartenant à la même entité gouvernementale. L’acteur abuse également de la confiance établie entre les entités gouvernementales pour poursuivre leurs attaques.
Activité post-exploitation
Cet acteur malveillant est connu pour installer le VPN SoftEther sur les serveurs publics qu’il est en mesure de compromettre. L’exécutable du serveur SoftEther est ensuite renommé pour se mélanger aux fichiers légitimes sur le système.
Ce VPN est ensuite utilisé pour se connecter au réseau de la victime et effectuer d’autres activités post-exploitation. Certaines activités post-exploitation observées comprennent l’établissement de la persistance de la porte dérobée via des tâches planifiées, l’activation des connexions de bureau à distance, l’accès aux informations d’identification, l’analyse du réseau, l’exécution latérale du code, l’exploitation des vulnérabilités pour l’escalade des privilèges, etc.
Exfiltration des e-mails
L’acteur malveillant a été observé en forçant brutalement les serveurs Exchange via les portails OWA de ses victimes. L’acteur utilise un script Python personnalisé ciblant le service ActiveSync sur le serveur OWA pour effectuer cette attaque. De plus, cet acteur a utilisé l’outil open source connu sous le nom de règle pour forcer les informations d’identification d’e-mail. Un autre script Python a également été utilisé pour exfiltrer les e-mails d’un serveur Zimbra.
Malware de Earth Krahang
Earth Krahang a fourni une gamme de logiciels malveillants tout au long de cette longue campagne, notamment Cobalt Strike et deux backdoors personnalisés différents, notamment REDSHELL et XDealer.
REDSHELL a été principalement utilisé pendant la campagne en 2022. L’acteur est depuis passé à l’utilisation principale de XDealer , qui dispose de variantes Windows et Linux.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Trend Micro prétend avoir identifié 48 organisations gouvernementales compromises. 49 organisations gouvernementales supplémentaires ont également été ciblées. Ces chiffres sont stupéfiants, mais la campagne est en cours depuis au moins 2022 , ce qui laisse suffisamment de temps à l’acteur malveillant pour exécuter des attaques.
Bien que la campagne ait ciblé d’autres secteurs, elle s’attaque massivement aux entités gouvernementales et exploite les e-mails gouvernementaux compromis. Cela dit, il est important de développer un « scepticisme sain lorsqu’il implique des problèmes de sécurité potentiels et de développer des habitudes telles que de s’abstenir de cliquer sur des liens ou d’ouvrir des pièces jointes sans vérification de l’expéditeur. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
