Cette semaine, CTI se penche sur une campagne de logiciels malveillants récemment découverte, qui exploite de fausses pages Google Sites et l'injection de code HTML pour diffuser le logiciel malveillant Azorult. Next CTI vous présente les points clés du rapport « State of API Security » d’Imperva, qui dresse un état des lieux de la sécurité des API. CTI analyse également une campagne de menaces persistantes avancées (APT) actuellement en cours, qui cible plusieurs entités gouvernementales à travers le monde.
1. Des pirates informatiques diffusent des logiciels malveillants via de fausses pages Google Sites
Une campagne de logiciels malveillants récemment découverte exploite de fausses pages Google Sites ainsi que la technique de « smuggling » HTML pour diffuser un type de logiciel malveillant connu sous le nom d’Azorult.
Dans cette campagne, la charge utile est intégrée dans un fichier JSON distinct hébergé en externe. Le programme de vol d'informations « Azorult », qui fonctionne sans fichier, est ensuite exécuté via un chargement de code réflexif afin de contourner la détection et de réduire au minimum les traces.
Google Sites pour l'injection de code HTML
Netskope a mis au jour cette activité récente impliquant de fausses pages Google Docs intitulées « » ( ) sur Google Sites, qui ont été utilisées par des acteurs malveillants pour dissimuler du code HTML afin de télécharger des charges utiles malveillantes.
L'auteur de cette attaque incite ses victimes à se rendre sur de fausses pages Google Docs et les amène à télécharger un fichier qu'elles croient provenir de Google Docs. Dans le cadre de cette campagne, l'auteur de la menace a intégré la charge utile malveillante dans un fichier JSON de sorte que, lorsque la victime accédait au site, celui-ci envoyait une requête GET pour télécharger ce fichier JSON.
L'auteur de la menace a également utilisé le CAPTCHA pour contourner les scanners d'URL. Une fois que la victime a franchi le CAPTCHA, le code de contrebande HTML reconstitue la charge utile et la télécharge. La charge utile téléchargée est un fichier LNK qui utilise l'icône PDF pour faire croire aux utilisateurs qu'il s'agit d'un fichier téléchargé en toute légitimité depuis Google Docs. Le logiciel malveillant finalement téléchargé est le logiciel malveillant Azorult, destiné au vol d'informations.
Chargement du logiciel malveillant sans fichier Azorult
La campagne exécute le programme de vol d'informations « Azorult » en mémoire via le chargement réflexif de code, ce qui constitue une technique supplémentaire visant à contourner les systèmes de défense. En d'autres termes, il charge le code dans la mémoire propre d'un processus PowerShell en cours d'exécution et ne laisse donc pas autant de traces derrière lui.
Pour ce faire, un script PowerShell est exécuté afin de contourner l'AMSI, c'est-à-dire l'interface d'analyse anti-malware. Ensuite, un deuxième script PowerShell est exécuté afin de télécharger le chargeur Azorult, de définir un shellcode et d'exécuter une routine qui chargera à la fois le shellcode et le fichier exécutable dans la mémoire du processus.
Qu'est-ce que le logiciel malveillant Azorult ?
Azorult existe depuis l'an 2016. La procédure commence par la réalisation d'une capture d'écran de l'appareil, qui est ensuite enregistrée au format JPEG. Il procède ensuite à la collecte de données du navigateur, notamment les identifiants de connexion à Chrome, l'état local, les cookies et les données Web. Cette procédure s'applique également à Firefox. Le logiciel malveillant copie les données du portefeuille cryptographique avant de rechercher des fichiers sensibles sur le bureau. Il recherche des extensions de fichiers spécifiques telles que TXT, AXX, DOC, XLS, KDBX, DOCX et XLSX. Il recherchera également les noms de fichiers contenant des mots-clés spécifiques tels que « backup », « wallet », « ledger » et « secret ». Une fois qu'il dispose des informations nécessaires, il enregistre les données dans un flux mémoire qui est ensuite exfiltré vers le C2.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La « contrebande HTML » est une technique de plus en plus utilisée par les auteurs de menaces pour diffuser des logiciels malveillants, d'où la difficulté à attribuer cette activité à un acteur spécifique.
Comme le souligne Netskope, « Contrairement aux fichiers de type « smuggling » courants, où le blob se trouve déjà au sein du code HTML, cette campagne copie une charge utile codée à partir d'un site compromis distinct. »
Cela confirme que les cybercriminels recourent de plus en plus à cette technique et qu'ils la modifient également afin d'échapper davantage à la détection.
2. Les cybercriminels exploitent les API
Imperva a récemment publié son rapport intitulé « État des lieux de la sécurité des API : », qui dresse un état des lieux de la sécurité des API à partir des attaques ciblant ces dernières.
Imperva a constaté que les API constituent désormais un vecteur d'attaque très prisé par les acteurs malveillants, car elles leur permettent d'accéder directement à des données sensibles. Ce rapport présente les tendances en matière d'attaques visant les API, ainsi que des recommandations visant à renforcer la sécurité de ces dernières.
Les principaux vecteurs API à connaître
Imperva a analysé les vecteurs d'attaque des API observés au cours de l'année écoulée. La logique métier arrivait en tête de liste, représentant 27 % de l'ensemble des attaques visant les API — soit une augmentation de 10 % par rapport à l'année précédente.
Ce type d'attaque se produit lorsqu'un acteur malveillant cherche à « exploiter les fonctionnalités prévues d'une API à des fins malveillantes, telles que l'exfiltration de données sensibles ou la perturbation d'une application essentielle au bon fonctionnement de l'entreprise ». Il peut être difficile de détecter les abus de la logique métier des API, car ces attaques imitent de très près une utilisation légitime.
Le deuxième facteur le plus important, avec 19 %, concerne les attaques provenant d'agents automatisés ou de « bots malveillants ». Imperva s'est également penché sur les principaux secteurs d'activité présentant un nombre élevé d'appels d'API et, par conséquent, un trafic de bots important. Ils ont constaté que le secteur bancaire et financier représentait 31 %, suivi par le commerce électronique et la grande distribution avec 17,9 %, puis par le secteur technologique avec 7,1 %. Même si tout le trafic généré par des bots n'est pas nécessairement malveillant, ces données, associées au nombre d'appels d'API, constituent une tendance qui mérite d'être examinée.
Le piratage de comptes via l'API constitue un autre type d'attaque courante. Cela se produit lorsqu'un acteur malveillant exploite une vulnérabilité au sein du processus d'authentification d'une API pour accéder aux comptes des utilisateurs. Imperva a constaté que 45,8 % de toutes les attaques qu'elle a recensées visaient des points de terminaison d'API, ce qui représente une augmentation de 11 % par rapport à l'année précédente.
Points de terminaison API mal gérés
Le rapport d'Imperva examine en détail trois types courants de points de terminaison d'API mal gérés qui augmentent le risque de ces attaques.
- Les API « shadow » sont des API non documentées ou encore inconnues. Il s'agit essentiellement d'API tombées dans l'oubli, et Imperva estime qu'elles représentent 4,7 % des API actives d'une entreprise.
- Les API obsolètes sont des points de terminaison d'API qui ne bénéficient plus de mises à jour et sont davantage exposées aux attaques.
- Les points de terminaison non authentifiés sont généralement dus à une erreur de configuration ou à une négligence.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels sont constamment à la recherche de nouveaux vecteurs d'attaque et surveillent l'écosystème dans son ensemble afin d'identifier des cibles potentiellement lucratives.
L'une des raisons pour lesquelles les API constituent probablement une cible de choix pour les cybercriminels tient au fait que les organisations ne disposent pas toujours d'une visibilité complète sur leurs API.
Comme Imperva le souligne régulièrement dans son rapport, ces attaques sont difficiles à détecter. « La nature dynamique des interactions via les API et le volume considérable de requêtes légitimes rendent difficile pour les mesures de sécurité traditionnelles de détecter les activités malveillantes », indique le rapport.
Étant donné que les acteurs malveillants recourent à diverses techniques pour cibler les API, différents types de mesures d'atténuation sont nécessaires pour garantir une couverture complète. Dans son rapport, Imperva propose des conseils pour atténuer ces risques.
3. Une campagne d'attaques ciblées (APT) vise des entités gouvernementales à l'échelle mondiale
Des chercheurs suivent depuis 2022 une campagne APT menée par l' , , qui cible plusieurs entités gouvernementales à travers le monde.
Cette campagne — que les chercheurs attribuent à un acteur malveillant dénommé Earth Krahang — exploite des infrastructures publiques pour mener d'autres attaques contre des entités gouvernementales. L'acteur malveillant utilise cet accès pour héberger des charges utiles malveillantes, acheminer du trafic d'attaque via un proxy et envoyer des e-mails de phishing de type « spear-» à partir de comptes de messagerie gouvernementaux compromis. L'acteur a également mis en place récemment un serveur VPN sur un serveur public compromis afin d'obtenir un accès permanent au réseau privé de la victime.
Reconnaissance et accès initial
L'un des vecteurs d'infection utilisés dans cette campagne consiste à analyser des serveurs accessibles au public. L'acteur malveillant utilise des outils open source pour rechercher des fichiers .git ou .idea. Cet acteur procède également parfois directement à des attaques par force brute sur des répertoires. L'acteur recherche des serveurs potentiellement non entretenus et cherche à y accéder afin d'y implanter des « web shells » et d'y installer des portes dérobées. Dans certains cas, l'auteur de la menace recourt également au spear phishing.
Trend Micro a constaté qu'Earth Krahang avait obtenu des centaines d'adresses e-mail auprès de la cible au cours de la phase de reconnaissance. Dans un cas précis, l'auteur de la menace a exploité la boîte mail piratée d'un fonctionnaire pour envoyer un document malveillant à 796 autres adresses e-mail appartenant à la même administration. Cet acteur abuse également de la confiance établie entre les entités gouvernementales pour mener à bien ses attaques.
Activités post-exploitation
On sait que cet acteur malveillant installe le VPN SoftEther sur les serveurs accessibles au public qu’il parvient à compromettre. L'exécutable du serveur SoftEther est ensuite renommé afin de se fondre parmi les fichiers légitimes du système.
Ce VPN est ensuite utilisé pour se connecter au réseau de la victime et mener d'autres activités post-exploitation. Parmi les activités observées après l'exploitation, on peut citer la mise en place d'une persistance via une porte dérobée à l'aide de tâches planifiées, l'activation de connexions de bureau à distance, l'accès aux identifiants, l'analyse du réseau, l'exécution latérale de code, l'exploitation de vulnérabilités à des fins d'élévation de privilèges, et bien d'autres encore.
Exfiltration d'e-mails
On a constaté que l'auteur de l'attaque procédait à des attaques par force brute contre des serveurs Exchange via les portails OWA de ses victimes. L'acteur utilise un script Python personnalisé ciblant le service ActiveSync sur le serveur OWA pour mener cette attaque. Par ailleurs, cet acteur a utilisé l'outil open source appelé « Ruler » pour procéder à des attaques par force brute visant les identifiants de messagerie. Un autre script Python a également été utilisé pour extraire des e-mails d'un serveur Zimbra.
Le logiciel malveillant d'Earth Krahang
Au cours de cette longue campagne, Earth Krahang a diffusé toute une série de logiciels malveillants, notamment Cobalt Strike et deux portes dérobées personnalisées différentes : REDSHELL et XDealer.
REDSHELL a principalement été utilisé pendant la campagne de 2022. Depuis, l'acteur utilise principalement XDealer, qui existe en versions Windows et Linux.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Trend Micro affirme avoir identifié 48 organismes publics victimes d'une intrusion. 49 organismes publics supplémentaires ont également été pris pour cible. Ces chiffres sont stupéfiants, mais la campagne est en cours depuis au moins 2022 , ce qui laisse à l'acteur malveillant largement le temps de mener ses attaques.
Bien que cette campagne ait ciblé d’autres secteurs, elle s’attaque principalement aux entités publiques et exploite des comptes de messagerie administratifs compromis. Cela dit, il est important de faire preuve d’un « scepticisme de bon aloi face à d’éventuels problèmes de sécurité et d’adopter certaines habitudes, comme celle de s’abstenir de cliquer sur des liens ou d’ouvrir des pièces jointes sans avoir vérifié l’identité de l’expéditeur ».
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos récents résumés sur les menaces informatiques publiés sur notre blog « » :.
