Dans le tour d'horizon de cette semaine, CTI examine comment les acteurs malveillants réutilisent d'anciens codes de preuve de concept (PoC) pour créer de faux PoC ciblant de nouvelles vulnérabilités. CTI aborde ensuite un avis conjoint en matière de cybersécurité publié par le Federal Bureau of Investigation (FBI) et la Cybersecurity and Infrastructure Security Agency (CISA) concernant le ransomware Snatch. Enfin, le CTI enquête sur un acteur malveillant chinois spécialisé dans l'espionnage, connu sous le nom d'Earth Lusca, qui cible des organismes gouvernementaux dans plusieurs pays à l'aide d'une nouvelle porte dérobée Linux appelée SprySOCKS.
1. Les cybercriminels réutilisent de l'ancien code dans de fausses démonstrations de concept (PoC) de vulnérabilité
Dans un avertissement adressé aux chercheurs, Palo Alto révèle comment un acteur malveillant a publié un faux script de preuve de concept ( ) (s'ouvre dans un nouvel onglet) sur un dépôt GitHub peu après la divulgation publique de la vulnérabilité, ce qui a entraîné le téléchargement du RAT Venom.
Le 17 août, la Zero Day Initiative a rendu publique une vulnérabilité permettant l'exécution de code à distance (RCE) dans WinRAR, référencée sous le numéro CVE-2023-40477. À peine quatre jours plus tard, un acteur utilisant le pseudonyme « whalersplonk » a validé un faux script de preuve de concept (PoC) dans son dépôt GitHub. Ce faux PoC s'appuie sur un script PoC accessible au public qui exploitait une vulnérabilité de type injection SQL.
Ce faux script de preuve de concept (PoC) n'exploite pas la vulnérabilité visée, mais s'appuie en réalité sur un code PoC accessible au public concernant une vulnérabilité de GeoServer. Au lieu d'exploiter la vulnérabilité de WinRAR, comme on pourrait s'y attendre de la part d'un code PoC, celui-ci déclenche une chaîne d'infection qui aboutit à l'installation de VenomRAT.
Ce faux PoC est un script Python qui a été mis en ligne sur VirusTotal dans une archive ZIP nommée CVE-2023-40477-main.zip, plus précisément le fichier poc.py.
Volet « ingénierie sociale »
Le fichier README.md contenu dans l'archive ZIP tente d'inciter les utilisateurs à compromettre leur propre système en leur fournissant un résumé de la vulnérabilité ainsi que des instructions d'utilisation du script PoC présumé. Les instructions comportent également un lien vers une vidéo. Cependant, la vidéo n'est plus hébergée à cette adresse, car celle-ci a expiré.
Les chercheurs ont établi que la vidéo mentionnée dans le fichier README avait été visionnée plus de 100 fois. Ils ont pu obtenir deux captures d'écran qui ont servi de vignettes pour présenter des extraits de la vidéo.
- La première image s'affiche avant que l'utilisateur ne clique sur le bouton « Lecture » et montre le bureau et le gestionnaire de tâches de l'auteur de la menace, y compris un processus nommé « Windows.Gaming.Preview ». Il s'agit du même nom de fichier exécutable que celui de la charge utile de VenomRAT.
- La deuxième capture d'écran aurait été réalisée à mi-parcours de la vidéo et montre une archive de Burp Suite, un mot de passe dans le Bloc-notes et le client PuTTY. Il indique également la date et l'heure de l'horloge Windows, ce qui s'est avéré utile pour établir une chronologie.
La fausse démonstration de faisabilité
Le faux script Python de preuve de concept (PoC) contenu dans l'archive s'appelait « poc.py » et s'inspirait du code open source « CVE-2023-25157 PoC », avec quelques modifications.
Ces modifications comprennent :
- Suppression des commentaires concernant les détails relatifs à la vulnérabilité CVE-2023-25157
- Suppression des lignes de code qui pourraient laisser penser qu'il s'agit d'une vulnérabilité liée au réseau, telles que la définition des variables nommées PROXY et PROXY_ENABLED
- Chaînes modifiées provenant de Geoserver à des fins d'exploitation
- Ajout d'un code supplémentaire qui télécharge et exécute un script batch accompagné d'un commentaire indiquant « vérifier les dépendances »
Un script batch exécutera un script PowerShell codé afin de télécharger un autre script PowerShell, qui sera enregistré dans le répertoire %TEMP%\c.ps1. Ce script téléchargé va télécharger et exécuter un autre fichier exécutable avant de créer une tâche planifiée (Windows.Gaming.Preview.exe) afin d'exécuter ce fichier toutes les trois minutes.
Windows.Gaming.Preview.exe est une variante de VenomRAT. Cette variante active une fonctionnalité d'enregistrement des frappes afin de consigner les frappes au clavier avant de commencer à communiquer avec son C2.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La motivation derrière cette attaque est intéressante, car il semble que le ciblage soit plutôt opportuniste, tout en restant axé sur les chercheurs en sécurité. »
« Cette activité met en évidence le fait que les auteurs de menaces recherchent sans cesse de nouvelles voies d'attaque et exploitent les centres d'intérêt de leurs cibles. » Cela nous rappelle également l’importance de recourir à des sources fiables, en particulier lors du téléchargement de code de preuve de concept. »
2. Le FBI et la CISA publient un avis conjoint concernant Snatch RaaS
Le FBI et la CISA ont publié un avis conjoint sur la cybersécurité afin de diffuser les derniers indicateurs de compromission (IOC) et les techniques, tactiques et procédures (TTP) associés au ransomware « Snatch » de . (s'ouvre dans un nouvel onglet)
Le ransomware Snatch est apparu pour la première fois en 2018, fonctionnant selon un modèle de « ransomware-as-a-service » (RaaS). À l'origine, le groupe s'appelait « Team Truniger », en référence au surnom d'un de ses membres clés. Les auteurs de cette attaque ont utilisé une variante personnalisée de ransomware qui se distinguait notamment par le fait qu'elle redémarrait les appareils en mode sans échec, ce qui permettait au ransomware d'échapper à la détection et de chiffrer les fichiers alors que moins de services étaient en cours d'exécution.
On sait que ces cybercriminels achètent des données volées par d'autres variantes de ransomware afin d'exploiter davantage ces victimes. Comme nous l’avons déjà souligné, le groupe de ransomware Snatch a revendiqué la responsabilité de plusieurs attaques visant des établissements d’enseignement , qui ont entraîné l’exfiltration de données à caractère personnel (PII) d’étudiants et de membres du personnel sur le dark web. Depuis le milieu de l'année 2021, les auteurs du ransomware Snatch ne cessent de faire évoluer leurs TTP afin de tirer parti de l'évolution du paysage des menaces. Les acteurs malveillants ont, depuis toujours, ciblé un large éventail de secteurs d'infrastructures critiques, notamment la base industrielle de défense (DIB), l'agroalimentaire et les technologies de l'information.
Les auteurs de la menace du ransomware Snatch mènent des opérations impliquant l'exfiltration de données et la double extorsion. Ils communiquent souvent directement avec les victimes pour exiger une rançon et menacent de publier les données volées sur leur blog dédié au chantage.
Accès initial et persistance
Les acteurs malveillants de type « Snatch » disposent de plusieurs méthodes pour obtenir un accès et maintenir leur présence. Les pirates ont tendance à exploiter les failles du protocole RDP pour mener des attaques par force brute et obtenir les identifiants d'administrateur du réseau. Dans certains cas, des affiliés ont acheté des identifiants piratés sur des forums clandestins de cybercriminels.
Les auteurs de la menace assurent leur persistance en compromettant un compte administrateur et en établissant des connexions via le port 443 vers un serveur C2 . Le serveur C2 est hébergé sur un service d'hébergement russe hautement sécurisé.
Identification des données et déplacement latéral
Les acteurs malveillants ont recours à diverses techniques, tactiques et procédures (TTP) pour identifier des données, se déplacer latéralement et rechercher des données à exfiltrer. Sc.exe permet de configurer, d'interroger, d'arrêter, de démarrer, de supprimer et d'ajouter des services système à l'aide de la ligne de commande Windows. Les auteurs de ces attaques ont également utilisé Metasploit et Cobalt Strike.
Avant de déployer le rançongiciel, les auteurs de la menace passent jusqu’à trois mois sur le système de la victime. Pendant ce temps, les auteurs de l'attaque exploitent le réseau, se déplaçant latéralement via RDP afin de déployer le ransomware à la plus grande échelle possible.
Contournement et exécution des défenses
Au cours des premières étapes de la chaîne d'attaque, les auteurs de la menace Snatch tentent de désactiver les logiciels antivirus et d'exécuter un fichier exécutable portant le nom « safe.exe ». Dans des cas plus récents, le nom du fichier exécutable du rançongiciel était constitué d'une chaîne de caractères hexadécimaux correspondant au hachage SHA-256 des fichiers.
Une fois lancée, la charge utile du ransomware interroge et modifie des clés de registre, utilise divers outils natifs de Windows pour analyser le système, identifie des processus et crée des processus inoffensifs afin d'exécuter des fichiers batch Windows. Dans certains cas, le ransomware supprime les clichés instantanés de volume. Une fois les fichiers batch exécutés, le ransomware supprime ces fichiers du système.
Le fichier exécutable du ransomware ajoute une série de caractères hexadécimaux à chaque nom de fichier et de dossier qu'il chiffre. Cela varie en fonction de chaque infection. Il créera également un fichier intitulé « COMMENT RÉCUPÉRER VOS FICHIERS.txt » dans chaque dossier. Les auteurs de ces attaques communiquent avec leurs victimes par e-mail et via la plateforme de communication Tox, selon les identifiants indiqués dans les demandes de rançon.
Certaines victimes ont signalé avoir reçu un appel frauduleux provenant d'une femme inconnue prétendant être liée au groupe de ransomware Snatch et les redirigeant vers le site d'extorsion de ce groupe. Dans certains cas, les victimes avaient une variante différente de ce ransomware installée sur leurs systèmes, mais ont tout de même reçu la demande de rançon de Snatch.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce qui caractérise ce groupe d'auteurs de ransomware, ce sont les appels téléphoniques frauduleux qu'il passe parfois, qui sont directement adressés à la victime et la redirigent vers le site de chantage. » Même si cette tactique n'est pas présente dans toutes les attaques du ransomware Snatch, elle soulève néanmoins la question de savoir pourquoi — et si cette tendance va se généraliser à d'autres familles de ransomwares. »
« Les trois dernières pages de l'avis conjoint contiennent des recommandations détaillées du FBI et de la CISA en matière de mesures d'atténuation. » Parmi leurs principales recommandations figurent la sécurisation et la surveillance étroite du protocole RDP, la mise en place de sauvegardes de données hors ligne, ainsi que l'activation et l'application d'une authentification multifactorielle (MFA) résistante au phishing. »
3. Des cybercriminels déploient un nouveau logiciel malveillant SprySOCKS pour Linux dans le cadre d'attaques de cyberespionnage
Un acteur malveillant chinois spécialisé dans l'espionnage, connu sous le nom d' , Earth Lusca (s'ouvre dans un nouvel onglet) , cible désormais des organismes gouvernementaux dans plusieurs pays à l'aide d'une nouvelle porte dérobée Linux appelée SprySOCKS. Ce programme malveillant provient du logiciel malveillant open source pour Windows « Trochilus », disponible sur (s'ouvre dans un nouvel onglet), dont de nombreuses fonctionnalités ont été adaptées pour fonctionner sur les systèmes Linux.
Activité récente de la Terre Lusca
Earth Lusca est resté actif en 2023, menant des attaques visant des services gouvernementaux dans les domaines des affaires étrangères, de la technologie et des télécommunications.
Earth Lusca exploite désormais plus fréquemment des vulnérabilités « N-day » hébergées sur des serveurs pour obtenir un accès initial. Ensuite, il déploiera un web shell et installera Cobalt Strike afin d'effectuer un déplacement latéral. Ce groupe se chargera de subtiliser des documents et des identifiants de comptes de messagerie, et de déployer des portes dérobées encore plus sophistiquées, telles que ShadowPad et la version Linux de Winnti.
Composant du chargeur à mâchoires
Trend Micro a détecté un fichier nommé libmonitor.so.2 hébergé sur le serveur de diffusion d'Earth Lusca. Ils ont constaté que le chargeur n'avait pas été développé à partir de zéro. Son développeur a utilisé un injecteur ELF Linux accessible au public, appelé « mandibule ».
Le projet ELF Injector d'origine est un outil en ligne de commande permettant d'injecter une charge utile en son sein ou dans un autre projet. C'est ce qui a servi de base au chargeur du logiciel malveillant. Le développeur a supprimé l'écran d'utilisation ainsi que la possibilité d'injecter d'autres processus, et a ajouté à la place une fonction permettant de charger et de déchiffrer la deuxième phase. Les chercheurs soulignent qu'il s'agissait d'un travail plutôt bâclé, car le développeur n'a ni supprimé les messages de débogage ni dépouillé le chargeur.
Le nom du processus est défini sur « kworker/0:22 » par la commande prctl. Kwoker est généralement un processus de remplacement destiné aux threads de travail du noyau. Ce nom a sans doute été choisi pour ne pas éveiller les soupçons. Le programme de chargement accepte deux paramètres de ligne de commande : le chemin d'accès au fichier chiffré de deuxième étape et l'indicateur d'autodestruction. La deuxième étape est chiffrée à l'aide d'un algorithme AES-ECB, le mot de passe étant intégré en dur dans le chargeur. Le chargeur assure également sa persistance en se copiant lui-même, ainsi que la deuxième phase chiffrée, dans le répertoire /usr/sbin/, puis en les renommant. Il lance ensuite le chargeur en tant que service, puis se supprime automatiquement.
Composant SprySOCKS
Les chercheurs ont examiné le deuxième étage décrypté et ont constaté qu'il avait été compilé de manière statique à l'aide du projet HP-Socket, un framework réseau haute performance d'origine chinoise. La procédure d'initialisation a révélé l'existence d'un mot de passe chiffré et codé en dur, utilisé pour chiffrer les communications avec le serveur C2 . L'adresse C2 et le port sont également codés en dur, mais en texte clair.
Ce logiciel malveillant semble être un mélange de plusieurs logiciels malveillants. Le protocole de communication SprySOCKS C2 est similaire à celui de la porte dérobée RedLeaves sous Windows. En revanche, la mise en œuvre du shell interactif semble provenir du logiciel malveillant Linux connu sous le nom de Derusbi. Le RAT met en œuvre plusieurs commandes standard de porte dérobée, telles que la collecte d'informations système, le lancement d'un shell interactif, la liste des connexions réseau, la création d'un proxy SOCKS, le téléchargement et l'envoi de fichiers, et bien d'autres encore.
Mention de source
La charge utile cryptée de SprySOCKS était hébergée sur un serveur de diffusion au début de l'année juin 2023. Ce serveur était exploité par l'acteur malveillant « Earth Lusca » et diffusait à ses cibles des fichiers exécutables de Cobalt Strike ainsi que la version Linux de Winnti. La charge utile de SprySOCKS comporte un numéro de version égal à 1,3,6 et utilise un domaine C2 spécifique. Des chercheurs ont découvert sur VirusTotal une autre charge utile SprySOCKS portant le numéro de version 1,1, qui se connectait à un autre domaine C2 . Ce domaine C2 présentait de nombreux recoupements avec un domaine connu pour être un C2 de la Terre de Lusca.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« À ce jour, Trend Micro n'a constaté que l'utilisation du logiciel malveillant SprySOCKS par Earth Lusca. » « Toutefois, étant donné que les acteurs malveillants chinois partagent souvent des logiciels malveillants sur mesure, il ne serait pas surprenant de voir d’autres acteurs malveillants chinois exploiter SprySOCKS à l’avenir. »
« Pour l'instant, ce logiciel malveillant ne semble pas particulièrement complexe, mais ses multiples versions indiquent qu'il est probablement encore en cours de développement et d'amélioration. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
