Dans le résumé de cette semaine, CTI explore comment les acteurs malveillants réutilisent l’ancien code de preuve de concept (PoC) pour créer un PoC contrefait pour de nouvelles vulnérabilités. Ensuite, la CTI couvre un conseil conjoint en cybersécurité du Federal Bureau of Investigation (FBI) et de la Cybersecurity and Infrastructure Security Agency (CISA) concernant les ransomwares Snatch. Enfin, la CTI enquête sur un acteur chinois de menace d’espionnage appelé Earth Lusca qui cible des organisations gouvernementales dans plusieurs pays avec une nouvelle porte dérobée Linux appelée SprySOCKS.
1. Les auteurs de menaces réutilisent l’ancien code dans le PoC de vulnérabilité factice
Dans un avertissement aux chercheurs, Palo Alto révèle comment un acteur malveillant a commis un faux script PoC dans un référentiel GitHub peu de temps après le signalement public de la vulnérabilité, entraînant le téléchargement de Venom RAT.
Le 17 août, l’initiative Zero Day a signalé publiquement une vulnérabilité d’exécution de code à distance (Remote Code Execution, RCE) dans WinRAR, suivie comme CVE-2023-40477. Quatre jours plus tard, un acteur utilisant l’alias de whalersplonk a commis un faux script PoC dans son référentiel GitHub. Cette fausse PoC est basée sur un script PoC disponible publiquement qui a exploité une vulnérabilité d’injection SQL.
Le faux script PoC n’exploite pas la vulnérabilité prévue, et est plutôt basé sur un code PoC disponible publiquement pour une vulnérabilité dans GeoServer. Au lieu d’exploiter la vulnérabilité WinRAR, comme vous vous attendez à ce que le code PoC le fasse, il déclenche une chaîne d’infection qui entraîne l’installation de VenomRAT.
Le faux PoC est un script Python qui a été téléchargé sur VirusTotal dans une archive ZIP nommée CVE-2023-40477-main.zip, en particulier poc.py.
Composant d’ingénierie sociale
Le fichier README.md dans l’archive ZIP tente d’inciter les utilisateurs à compromettre leur propre système en fournissant un résumé de la vulnérabilité ainsi que des instructions d’utilisation pour le script supposé du PoC. Les instructions incluent également un lien vers une vidéo. Cependant, la vidéo n’est plus hébergée sur cette URL car elle a été définie pour expirer.
Les chercheurs ont déterminé qu’il y avait plus de 100 vues individuelles de la vidéo référencée dans le fichier README. Ils ont pu obtenir deux captures d’écran qui ont été utilisées comme miniatures pour afficher des parties de la vidéo.
- La première image s’affiche avant que l’utilisateur clique sur le bouton de lecture et affiche le bureau de l’acteur malveillant et le gestionnaire de tâches, y compris un processus nommé Windows.Jaming.Preview. Il s’agit du même nom d’exécutable que la charge utile VenomRAT.
- La deuxième capture d’écran est censée être capturée à mi-parcours de la vidéo et montre une archive de Burp Suite, un mot de passe dans Notepad et le client PuTTY. Il affiche également la date et l’heure de l’horloge Windows, ce qui a été utile pour déterminer une chronologie.
Le faux PoC
Le faux script Python PoC dans l’archive s’appelait poc.py et était basé sur le PoC CVE-2023-25157 open source avec quelques modifications.
Les modifications comprennent :
- Suppression des commentaires concernant les détails de la vulnérabilité CVE-2023-25157
- Suppression des lignes de code qui suggéreraient qu’il s’agit d’une vulnérabilité liée au réseau, telle que le paramètre des variables nommées PROXY et PROXY_ENABLED
- Chaînes modifiées du géoserveur à exploiter
- Inclusion d’un code supplémentaire qui télécharge et exécute un script de lot avec un commentaire de « vérifier la dépendance »
Un script par lots exécutera un script PowerShell codé pour télécharger un script PowerShell supplémentaire qui est enregistré dans %TEMP %\c.ps1. Ce script téléchargé téléchargera et exécutera un autre exécutable avant de créer une tâche planifiée (Windows.Gaming.Preview.exe) pour exécuter l’exécutable toutes les trois minutes.
Windows.Gaming.Preview.exe est une variante de VenomRAT. Cette variante démarre une fonctionnalité d’enregistreur de clés pour enregistrer les frappes avant de commencer à communiquer avec son C2.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La motivation derrière cette attaque est intéressante, car il semble que le ciblage soit probablement plutôt opportuniste, mais toujours axé sur les chercheurs en sécurité. »
« Cette activité met l’accent sur le fait que les acteurs malveillants recherchent constamment de nouvelles voies d’attaque et joueront sur les intérêts de leurs cibles. Cela nous rappelle également l’importance d’utiliser des sources crédibles, en particulier lors du téléchargement du code PoC. »
2. Le FBI et la CISA publient un conseil conjoint pour Snatch RaaS
Le FBI et la CISA ont publié un conseil conjoint en cybersécurité pour diffuser les derniers IOC et TTP associés au ransomware Snatch.
Snatch ransomware est apparu pour la première fois en 2018, fonctionnant comme un modèle de ransomware en tant que service (RaaS). Le groupe s’appelait à l’origine Team Truniger en raison du surnom d’un membre clé du groupe. Les acteurs malveillants ont utilisé une variante de rançongiciel personnalisée qui était la plus notable pour redémarrer les appareils en mode sécurisé, permettant au rançongiciel de contourner la détection et de chiffrer les fichiers lorsque moins de services sont exécutés.
Les acteurs malveillants ont été connus pour acheter des données volées par d’autres variantes de rançongiciels afin d’exploiter davantage ces victimes. Comme nous l’avons déjà noté, le groupe de ransomware Snatch a revendiqué la responsabilité de plusieurs attaques contre les organisations éducatives , ce qui a entraîné l’exfiltration des IPI des étudiants et du personnel sur le dark web. Depuis la mi-2021, les acteurs des menaces par ransomware Snatch font constamment évoluer leurs TTP pour tirer parti de l’évolution du paysage des menaces. Les acteurs malveillants ont toujours ciblé un large éventail de secteurs d’infrastructures critiques, notamment la base industrielle de défense (DIB), l’alimentation et l’agriculture, et les secteurs des technologies de l’information.
Les acteurs malveillants de rançongiciel Snatch effectuent des opérations impliquant l’exfiltration de données et la double extorsion. Ils communiquent souvent directement avec les victimes pour demander une rançon et menacent de publier des données volées sur leur blog d’extorsion.
Accès initial et persistance
Les acteurs de la menace Snatch disposent de plusieurs méthodes pour obtenir l’accès et maintenir la persistance. Les affiliés ont tendance à s’appuyer sur l’exploitation des faiblesses du RDP pour forcer et obtenir des informations d’identification d’administrateur sur le réseau. Dans certains cas, les affiliés ont acheté des informations d’identification compromises auprès de forums cybercriminels souterrains.
Les acteurs malveillants établissent la persistance en compromettant un compte administrateur et en établissant des connexions sur le port 443 à un serveur C2 . Le serveur C2 est situé sur un service d’hébergement bulletproof russe.
Découverte des données et mouvement latéral
Les acteurs malveillants utilisent divers TTP pour découvrir les données, se déplacer latéralement et rechercher des données pour l’exfiltration. Sc.exe est utilisé pour configurer, interroger, arrêter, démarrer, supprimer et ajouter des services système à l’aide de la ligne de commande Windows. Les acteurs malveillants ont également utilisé Metasploit et Cobalt strike.
Avant de déployer le ransomware, les acteurs malveillants passent jusqu’à trois mois sur le système de la victime. Pendant cette période, les acteurs malveillants exploitent le réseau, se déplaçant latéralement via RDP pour le déploiement le plus important possible de ransomware.
Évasion et exécution de la défense
Au cours des premières phases de la chaîne d’attaque, les acteurs malveillants de Snatch tentent de désactiver le logiciel antivirus et d’exécuter un exécutable en tant que fichier nommé safe.exe. Dans les cas plus récents, le nom exécutable du ransomware se composait d’une chaîne de caractères hexadécimaux, correspondant au hachage SHA-256 des fichiers.
Une fois initiée, la charge utile du rançongiciel interrogera et modifiera les clés de registre, utilisera divers outils Windows natifs pour énumérer le système, trouver des processus et créer des processus bénins pour exécuter des fichiers de lot Windows. Dans certains cas, le ransomware supprime les copies d’ombre de volume. Après l’exécution des fichiers de lot, le ransomware supprime les fichiers de lot du système.
L’exécutable ransomware ajoute une série de caractères hexadécimaux à chaque fichier et nom de dossier qu’il chiffre. Cela est unique à chaque infection. Il déposera également un fichier COMMENT RESTAURER VOS FICHIERS.txt dans chaque dossier. Les acteurs malveillants communiquent avec leurs victimes par e-mail et via la plateforme de communication Tox, en fonction des identifiants laissés dans les notes de rançon.
Certaines victimes ont signalé avoir reçu un appel usurpé d’une femme inconnue prétendant être associée au groupe rançongiciel Snatch et les avoir dirigées vers le site d’extorsion du groupe. Dans certains cas, les victimes avaient une variante de rançongiciel différente déployée sur leurs systèmes, mais ont toujours reçu la note de rançon Snatch.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce qui est unique dans ce groupe de rançongiciels, ce sont ses appels téléphoniques parfois usurpés, qui vont directement à la victime et les dirigent vers le site d’extorsion. Bien que cette tactique n’apparaisse pas dans toutes les attaques par ransomware Snatch, elle pose toujours la question de savoir pourquoi et si la tendance s’appliquera à d’autres familles de ransomwares. »
« Les trois dernières pages du conseil conjoint comprennent des recommandations détaillées d’atténuation du FBI et du CISA. Leurs principales recommandations comprennent la sécurisation et la surveillance étroite des RDP, la maintenance des sauvegardes de données hors ligne, ainsi que l’activation et l’application de la MFA résistante à l’hameçonnage. »
3. Les acteurs malveillants déploient de nouveaux logiciels malveillants SprySOCKS Linux dans les attaques de cyberespionnage
Un acteur chinois de menaces d’espionnage connu sous le nom de Earth Lusca cible désormais des organisations gouvernementales dans plusieurs pays avec une nouvelle porte dérobée Linux appelée SprySOCKS. La porte dérobée provient du logiciel malveillant Windows open source Trochilus, avec un grand nombre de ses fonctions portées pour fonctionner sur les systèmes Linux.
Activité récente de Earth Lusca
Earth Lusca est restée active en 2023, effectuant des attaques ciblant les services gouvernementaux dans les affaires étrangères, la technologie et les télécommunications.
Earth Lusca exploite désormais plus fréquemment les vulnérabilités N-day basées sur serveur pour un accès initial. Après cela, il déploiera une web shell et installera Cobalt Strike pour effectuer un mouvement latéral. Le groupe exfiltrera les documents, les informations d’identification de compte de messagerie et déploiera d’autres backdoors avancés tels que ShadowPad et la version Linux de Winnti.
Composant du chargeur mandibule
Trend Micro a observé un fichier nommé libmonitor.so.2 hébergé sur le serveur de livraison de Earth Lusca. Ils ont découvert que le chargeur n’était pas développé à partir de zéro. Son développeur a utilisé un injecteur ELF Linux disponible publiquement appelé mandibule.
Le projet d’injecteur ELF d’origine est un outil de ligne de commande avec la possibilité d’injecter une charge utile dans lui-même ou dans un autre projet. Cela a servi de base au chargeur de logiciels malveillants. Le développeur a supprimé l’écran d’utilisation et la possibilité d’injecter d’autres processus et a ajouté une fonction pour charger et décrypter la deuxième étape. Les chercheurs notent qu’il s’agissait d’un travail plutôt lâche, car le développeur n’a pas supprimé les messages de débogage ou supprimé le chargeur.
Le nom du processus est défini sur kworker/0:22 par la commande prctl. Kwoker est généralement un processus d’espace réservé pour les threads de travailleurs de noyau. Ce nom a probablement été choisi pour éviter toute suspicion. Le chargeur accepte deux paramètres de ligne de commande : le chemin vers le fichier chiffré de deuxième étape et l’indicateur de suppression automatique. La deuxième étape est cryptée avec un chiffrement AES-ECB, le mot de passe étant codé en dur dans le chargeur. Le chargeur définit également la persistance en se copiant lui-même et en copiant la deuxième étape cryptée dans le répertoire /usr/sbin/ et en la renommant. Il démarre ensuite le chargeur en tant que service et s’efface automatiquement.
Composant SprySOCKS
Les chercheurs ont examiné la deuxième étape décryptée et ont découvert qu’elle était compilée statiquement via le projet HP-Socket, un cadre réseau haute performance d’origine chinoise. La procédure d’initialisation a révélé un mot de passe crypté codé en dur utilisé pour chiffrer la communication avec le serveur C2 . L’adresse et le port C2 sont également codés en dur, mais en texte brut.
Le logiciel malveillant semble être un mélange de plusieurs logiciels malveillants. Le protocole de communication SprySOCKS C2 est similaire au protocole RedLeaves de backdoor Windows. En revanche, la mise en œuvre de la shell interactive semble dériver du malware Linux connu sous le nom de Derusbi. Le RAT implémente plusieurs commandes backdoor standard telles que la collecte d’informations système, le démarrage d’un shell interactif, la liste des connexions réseau, la création d’un proxy SOCKS, le chargement/téléchargement de fichiers, etc.
Attribution
La charge utile chiffrée SprySOCKS a été hébergée sur un serveur de livraison début juin 2023. Ce serveur a été exploité par l’acteur malveillant Earth Lusca et a fourni des fichiers exécutables de Cobalt Strike et de la version Linux de Winnti à ses cibles. La charge utile SprySOCKS contient un numéro de version de 1,3,6 et utilise un domaine C2 particulier. Les chercheurs ont trouvé une autre charge utile SprySOCKS sur VirusTotal avec le numéro de version 1,1, qui se connectait à un domaine C2 différent. Ce domaine C2 avait plusieurs chevauchements avec un domaine connu pour être un C2 de Earth Lusca.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Trend Micro n’a observé que le logiciel malveillant SprySOCKS utilisé par Earth Lusca à l’heure actuelle. Cependant, étant donné que les acteurs malveillants chinois partagent souvent des logiciels malveillants personnalisés, il ne serait pas surprenant de voir d’autres acteurs malveillants chinois tirer parti de SprySOCKS à l’avenir. »
« Le logiciel malveillant ne semble pas être incroyablement complexe en ce moment, mais ses multiples versions indiquent qu’il est probablement toujours en cours de développement et de maturité. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
