Dans le tour d'horizon de cette semaine, CTI revient sur certaines des principales cybermenaces qui ont émergé au cours des derniers mois. Nous vous proposons tout d'abord un aperçu de la récente opération menée par le FBI pour démanteler le malware Qakbot, suivie d'une analyse des modèles d'apprentissage automatique d' en tant que vecteur d'attaque émergent. Vous trouverez également des informations actualisées concernant ESXiArgs, Bumblebee, les groupes Andariel et APT29 , ainsi que la situation actuelle en matière de ransomware.
1. Le FBI démantèle le réseau de zombies Qakbot
Dans l'article « décembre 2022 », CTI a signalé une recrudescence des infections par Qakbot dans les environnements de ses clients, principalement des entreprises basées aux États-Unis.
À l'époque, les chercheurs avaient attribué cette augmentation à une campagne de rançongiciel à grande échelle menée par Black Basta, un groupe de rançongiciel relativement récent apparu en avril 2022. À l'époque, Black Basta s'est servi de Qakbot pour s'introduire dans les réseaux cibles et s'y déplacer latéralement.
Qakbot — également connu sous les noms de Quackbot, Qbot, Pinkslipbot et TA570 — est l'un des botnets les plus tristement célèbres et est à l'origine de milliers d'infections par des logiciels malveillants à l'échelle mondiale. Il a été découvert pour la première fois en 2008, ce qui en fait l'un des botnets les plus anciens.
L'opération « Duck Hunt » est un succès
Fin août, une opération policière internationale a permis de démanteler le botnet Qakbot. Cette campagne, baptisée « » (Opération Duck Hunt) (s'ouvre dans un nouvel onglet), serait à ce jour la plus grande opération menée par les États-Unis visant à perturber les activités financières et les réseaux de bots.
L'opération « Duck Hunt » consistait à rediriger le trafic vers des serveurs contrôlés par le gouvernement, ce qui a permis aux agents de prendre le contrôle du botnet. Le FBI a ordonné aux ordinateurs infectés par Qakbot de télécharger un programme de désinstallation propriétaire, qui a isolé les ordinateurs des victimes et empêché toute nouvelle installation de logiciels malveillants.
Security Boulevard explique que la stratégie adoptée par le FBI lors de l'opération « » visant à démanteler le réseau Qakbot (s'ouvre dans un nouvel onglet) s'apparente fortement au « hacking back » — une tactique que les autorités déconseillent généralement aux organisations d'utiliser en raison des risques potentiels liés à l'exécution de commandes sur des systèmes distants.
Au cours de cette opération, le FBI et ses partenaires internationaux ont saisi l'infrastructure de Qakbot en Europe et aux États-Unis. Le ministère américain de la Justice a également saisi plus de 8,6 millions de dollars en cryptomonnaies volées au groupe Qakbot. Cette opération a permis de mettre au jour environ 700 000 appareils infectés par Qakbot, dont plus de 200 000 aux États-Unis. Le FBI estime toutefois que le nombre de victimes de Qakbot pourrait s'élever à plusieurs millions.
Même si le FBI a porté un coup dur à Qakbot, il était possible que ce botnet refasse surface. Depuis cette intervention, des acteurs malveillants affiliés à Qakbot ont été observés (s'ouvre dans un nouvel onglet) en train de diffuser le ransomware Ransom Knight et le logiciel malveillant Remcos. Même si les auteurs de ces attaques ne diffusent pas Qakbot lui-même, ils restent actifs, ce qui signifie qu'il est possible qu'ils décident de remettre en place l'infrastructure de Qakbot.
CTI continuera à suivre l'évolution de la situation.
2. Apprentissage automatique : un vecteur d'attaque émergent
Au cours de l'année écoulée, on a assisté à une explosion du nombre de services de chat dotés d'IA et d'apprentissage automatique performants — et ce n'est que le début de ce qui nous attend. Une étude récente de Gartner révèle que 70 % des organisations en sont désormais au stade de l’« exploration » dans le cadre de leurs recherches et analyses sur l’IA générative . (s’ouvre dans un nouvel onglet)
ChatGPT — qui utilise les modèles GPT-3,5 et GPT-4 d'OpenAI — reste l'un des outils d'IA les plus populaires du marché, principalement en raison de sa polyvalence et de sa facilité d'utilisation. L'adoption par les entreprises pourrait encore s'accélérer dans les mois à venir, suite à l'annonce de ChatGPT Enterprise, que OpenAI présente comme la version la plus performante de ChatGPT à ce jour. de ChatGPT Enterprise (s'ouvre dans un nouvel onglet) offre également une sécurité et une confidentialité de niveau entreprise.
Voici quelques autres chatbots basés sur l'IA à connaître :
- Bing Chat, qui utilise le modèle GPT-4 d'OpenAI. Le nouveau Bing dispose d'un accès à Internet et fonctionne comme un moteur de recherche.
- de Google Bard, optimisé par PaLM 2 et une version allégée de LaMDA.
- Claude, un modèle LLM développé par Anthropic et basé sur l'IA constitutionnelle.
- de Perplexity AI, un chatbot connecté à Internet qui fonctionne avec les modèles GPT-3 et GPT-4.
- Jasper, un chatbot de rédaction très apprécié basé sur GPT-3,5.
Le débat actuel sur la cybersécurité concernant l'apprentissage automatique
Comme l'a souligné CTI à la suite de l'apparition de ChatGPT fin 2022, la communauté de la sécurité de l' reste divisée quant au rôle de l'apprentissage automatique (ML) dans la cybersécurité. Certains le qualifient de « sauveur de la cybersécurité », tandis que d'autres s'inquiètent vivement du fait qu'il constitue un nouveau vecteur d'attaque dangereux.
D'une part, les progrès récents dans ce domaine permettent aux entreprises de gérer plus facilement les menaces émergentes et d'y faire face. Par exemple, Exabeam a intégré les fonctionnalités d’IA générative d’ (s’ouvre dans un nouvel onglet) à sa plateforme de gestion des informations et des événements de sécurité (SIEM) « New-Scale », permettant ainsi aux utilisateurs de classer rapidement les menaces, de résumer les risques et de découvrir des recommandations de correction. Il existe aujourd'hui de nombreux autres services de sécurité basés sur l'IA générative , notamment (s'ouvre dans un nouvel onglet),et , parmi lesquels figurent Google Cloud Security AI Workbench, Microsoft Security Copilot et CrowdStrike Charlotte AI.
Mais si le ML et l'IA sont prometteurs, il s'agit encore de technologies émergentes. Il est fréquent que les systèmes d'alerte basés sur l'apprentissage automatique génèrent un nombre excessif de faux positifs et de notifications, ce qui pose des difficultés aux équipes chargées de la gestion des incidents. De plus, la signification et la portée de ces alertes peuvent être difficiles à interpréter.
De plus, les cybercriminels s'attaquent de plus en plus aux modèles d'IA (s'ouvre dans un nouvel onglet) en recourant à des tactiques telles que l'empoisonnement des données, le vol de modèles, la compromission de la chaîne d'approvisionnement et les portes dérobées dans l'IA. Environ 20 % des entreprises ont été victimes d'attaques visant des modèles d'IA de type « » ou d'incidents de compromission au cours de l'année écoulée, tandis que 49 % des responsables de la sécurité s'inquiètent de voir des acteurs malveillants corrompre les modèles d'IA et d'apprentissage automatique afin de contourner les mesures de sécurité.
Compte tenu de cela, les entreprises et les professionnels de la sécurité devraient envisager d'adopter l'IA et l'apprentissage automatique, tout en reconnaissant la nécessité d'une approche prudente et stratégique pour leur mise en œuvre.
La NSA annonce la création d'un nouveau centre de sécurité dédié à l'IA
Le 28 septembre, l'Agence nationale de sécurité (NSA) a annoncé la création d'un nouveau centre de sécurité dédié à l'intelligence artificielle, chargé de superviser le développement et l'intégration des capacités d'IA au sein des systèmes de sécurité nationale américains.
Selon le ministère américain de la Défense, le Centre de sécurité de l'IA deviendra le pôle de référence pour l'élaboration de bonnes pratiques en matière d'IA, de méthodologies d'évaluation et de cadres de gestion des risques.
Ce centre aura pour mission de favoriser l'adoption sécurisée des nouvelles capacités en matière d'intelligence artificielle au sein de l'ensemble du secteur de la sécurité nationale et de la base industrielle de défense. Cela permettra également de regrouper les activités de l'agence liées à l'intelligence artificielle et à la sécurité.
3. ESXiArgs : toujours en circulation
En février dernier, CTI a tiré la sonnette d'alarme concernant la campagne de ransomware « ESXiArgs » ( ), qui se propageait rapidement. À l'époque, les pirates ciblaient activement les serveurs VMware ESXi, en particulier ceux qui n'avaient pas été mis à jour et qui étaient vulnérables à la faille CVE-2021-21974.
À la mi-février, plus de 500 serveurs avaient été compromis par la variante ESXiArgs de l' (s'ouvre dans un nouvel onglet), la plupart des victimes se trouvant en France, aux Pays-Bas, en Allemagne, au Royaume-Uni et en Ukraine.
Quelles sont les nouveautés d'ESXiARGS ?
ESXiArgs est toujours actif et continue de se propager ; il convient donc de le surveiller de près. Les entreprises qui n'ont pas appliqué les correctifs à leurs serveurs ESXi continuent de courir le risque d'être victimes d'une attaque.
VMware recommande à ses clients de procéder à la mise à niveau vers la dernière version prise en charge de vSphere (s'ouvre dans un nouvel onglet) afin de corriger toutes les vulnérabilités signalées. VMware recommande également de désactiver le service OpenSLP dans ESXi.
4. Le logiciel malveillant Bumblebee refait surface après deux mois d'absence
En mai, CTI a signalé que Google Ads servait à diffuser un nouveau logiciel malveillant, « Bumblebee » ( ). Des cybercriminels utilisent Google Ads pour promouvoir des versions infectées par un cheval de Troie de programmes d'installation d'applications populaires et pour diffuser le chargeur du logiciel malveillant « Bumblebee » auprès de leurs victimes.
L'équipe Conti a très probablement développé Bumblebee pour remplacer la porte dérobée BazarLoader, afin de permettre aux cybercriminels d'accéder plus facilement aux réseaux et de diffuser des ransomwares ainsi que d'autres charges utiles secondaires. Des campagnes récentes ont révélé que le logiciel malveillant Bumblebee, qui cible les entreprises, était diffusé via Google Ads, en recourant à l'empoisonnement SEO pour créer des publicités destinées à attirer les utilisateurs désireux de télécharger facilement des logiciels populaires, tels que Zoom, Citrix Workspace et Cisco AnyConnect.
La dernière campagne de Bumblebee
Après une pause estivale, Bumblebee a fait son retour en septembre avec une campagne qui recourt à de nouvelles techniques de diffusion.
Selon Bleeping Computer, Bumblebee exploite actuellement de manière malveillante 4shared services WebDAV de : (s'ouvre dans un nouvel onglet),et . WebDAV est une extension du protocole HTTP qui permet aux clients d'effectuer des opérations de création à distance, telles que la création, la consultation, la mise à jour et la suppression de contenu sur un serveur web.
Selon Bleeping Computer, la dernière campagne « Bumblebee » s'appuie sur des e-mails indésirables qui se font passer pour des scans, des factures et des notifications. Cette campagne vise à inciter les destinataires à télécharger des pièces jointes malveillantes. La plupart des pièces jointes sont des fichiers LNK, c'est-à-dire des raccourcis Windows. Cependant, on trouve également certaines archives ZIP contenant des fichiers LNK, ce qui signifie que les opérateurs de Bumblebee sont très probablement en train de tester différentes approches afin de déterminer la meilleure.
Les analystes ont également découvert une version mise à jour du chargeur du logiciel malveillant Bumblebee dans le cadre de cette campagne. Le chargeur est passé du protocole WebSocket au protocole TCP pour les communications C2 . De plus, le nouveau chargeur n'utilise plus les C2 adresses codées en dur. Au lieu de cela, il utilise un algorithme de génération de noms de domaine pour créer 100 noms de domaine dans l'espace du TLD « .life » après son exécution.
Extrait de Bleeping Computer :
Les domaines sont générés à l'aide d'une valeur de graine statique de 64 bits, et Bumblebee s'y connecte en parcourant la liste créée jusqu'à ce qu'il en trouve un qui renvoie une adresse IP active d'un serveur C2 .
Bumblebee a déjà été associé à la diffusion de charges utiles de ransomware, notamment Conti et Akira ; le fait qu’il adopte désormais un canal de diffusion plus efficace et plus difficile à détecter constitue donc une évolution préoccupante.
De plus, l'adoption de la technologie DGA complique la cartographie de l'infrastructure de Bumblebee, le blocage de ses domaines et la perturbation significative de ses opérations, ce qui ajoute une complexité supplémentaire à la mise en œuvre de mesures préventives contre le chargeur de logiciel malveillant.
5. Andariel utilise de nombreuses variantes de logiciels malveillants dans le cadre de ses attaques
Une mise à jour du CTI publiée en juillet expliquait comment l'acteur malveillant soutenu par la Corée du Nord, identifié sous les noms d' t d'Andariel , avait déployé le logiciel malveillant EarlyRat lors de 2022 cyberattaques d'une série exploitant la vulnérabilité Log4j .
Andariel — également connu sous les noms de Silent Chollima et Stonefly — est un sous-groupe de l'acteur APT nord-coréen « Lazarus Group ». Ce groupe mène régulièrement des opérations de cyberespionnage visant des entités gouvernementales et militaires étrangères présentant un intérêt stratégique pour la Corée du Nord. Andariel génère principalement des revenus et soutient les opérations militaires du gouvernement nord-coréen.
Les principales cibles d’Andariel comprennent les institutions financières, les entreprises du secteur de la défense, les universités, les organismes publics, les entreprises du secteur de l’énergie et les fournisseurs de solutions de cybersécurité.
Des chercheurs lancent une nouvelle mise en garde concernant Andariel
Andariel a récemment été identifié comme utilisant divers outils et tactiques malveillants dans le cadre de cyberattaques de type « » menées contre des organisations ciblées. (s'ouvre dans un nouvel onglet)
Par exemple, ce groupe recourt au spear-phishing, aux attaques par la chaîne d'approvisionnement et aux « watering holes » pour diffuser ses charges utiles. Andariel utilise également un mélange de familles de logiciels malveillants telles que Gh0st RAT, NukeSped, DTrack, YamaBot, Phandoor, Rifdoor, Andarat, TigerRAT (ainsi que son successeur, MagicRAT) et Andaratm. De plus, le groupe utilise de nouvelles souches telles que Black RAT, Goat RAT, AndarLoader et DurianBeacon. Black RAT et Goat RAT sont écrits en Go, tandis qu'AndarLoader est écrit en .NET. DurianBeacon utilise Go et Rust.
Communiqué du Centre d'intervention d'urgence en matière de sécurité d'AhnLab (ASEC) :
Le groupe Andariel fait partie des groupes malveillants les plus actifs qui ciblent la Corée, aux côtés de Kimsuky et de Lazarus. Au départ, ce groupe menait des attaques dans le but d'obtenir des informations liées à la sécurité nationale, mais il mène désormais des attaques à des fins lucratives.
Pour une analyse approfondie des dernières activités d'attaques d'Andariel, consultez le rapport complet de l'ASEC (s'ouvre dans un nouvel onglet).
6. Les ransomwares restent l'une des principales menaces pour les entreprises
Dans un rapport publié en juillet, CTI a révélé que les attaques par rançongiciel et les paiements associés connaissaient une hausse fulgurante , les chercheurs ayant constaté une augmentation générale du nombre de paiements effectués, qu'ils soient importants ou modestes. Selon Chainalysis, les attaques par rançongiciel sont en passe de battre les records précédents.
Source : BleepingComputer (s'ouvre dans un nouvel onglet):
« Les ransomwares constituent la forme de criminalité liée aux cryptomonnaies qui connaît la plus forte progression depuis le début de l'année 2023 », peut-on lire dans le rapport de Chainalysis. « En effet, les auteurs d'attaques par ransomware sont en passe de réaliser leur deuxième meilleure année de tous les temps, puisqu'ils ont extorqué au moins 449,1 millions de dollars jusqu'au mois de juin. »
Les attaques par ransomware ne cessent de s'intensifier
Une étude menée par Coalition, assureur spécialisé dans la cyberassurance, révèle que les paiements liés au ransomware « » (s'ouvre dans un nouvel onglet) ont augmenté de 12 % en glissement annuel en 2023.
Les demandes de rançon représentent désormais environ un cinquième de l'ensemble des déclarations de sinistre, ce qui en fait le facteur le plus important dans le dépôt de ces déclarations. Les demandes de rançon liées aux ransomwares ont également augmenté de 27 % au cours du premier semestre de 2023. Le coût des sinistres a augmenté de 42 % au cours du premier semestre, les assurés ayant déclaré un préjudice moyen supérieur à 115 000 dollars.
Voici quelques attaques récentes et notables par ransomware :
- Johnson Controls (s'ouvre dans un nouvel onglet) a récemment été victime d'une cyberattaque dévastatrice, au cours de laquelle le groupe de ransomware « Dark Angels » a dérobé 27 To de données.
- Les données de milliers de patients ont été volées à la suite d'une attaque par le ransomware « » (s'ouvre dans un nouvel onglet) qui a paralysé les ordinateurs de deux hôpitaux du Connecticut, notamment Waterbury Health et Prospect Medical Holdings.
- Comté de Rock, Wisconsin (s'ouvre dans un nouvel onglet) a été contraint de mettre certains de ses systèmes hors ligne à la suite d'une attaque par ransomware visant son service de santé publique.
Tendance du moment : les attaques par double ransomware
Le FBI met désormais en garde contre une tendance à la hausse connue sous le nom d’attaques « » (double ransomware) (s’ouvre dans un nouvel onglet), dans le cadre desquelles les auteurs de menaces mènent des attaques distinctes à quelques heures ou quelques jours d’intervalle.
Extrait de Dark Reading :
Ces attaques par ransomware touchent une même victime en l'espace de peu de temps et, dans la réalité, les auteurs de ces menaces ont parfois déployé différentes variantes de ransomware à chaque étape de l'attaque, telles qu'AvosLocker, Diamond, Hive Karakurt, LockBit, Quantum et Royal. Ces variantes sont diffusées sous différentes combinaisons doubles, ce qui aboutit finalement à un mélange de chiffrement de données, d'exfiltration et d'extorsion.
Les entreprises ont du mal à prendre des décisions concernant le paiement des rançons
La plupart des experts en cybersécurité déconseillent de céder aux demandes de rançon, car les entreprises qui s'acquittent d'une rançon risquent davantage d'être victimes d'attaques ultérieures. Par ailleurs, le paiement des rançons peut également soutenir et favoriser les organisations criminelles et les groupes pratiquant l'extorsion.
Cependant, les entreprises ne peuvent pas toujours éviter d'effectuer des paiements. Comme l'a récemment expliqué Lorraine Dryland, responsable de la sécurité des systèmes d'information (RSSI) chez First Sentier Investors, lors du sommet Gartner sur la sécurité et la gestion des risques, les RSSI ont souvent du mal à empêcher les dirigeants de verser des rançons.
« Contraindre un cadre à emprunter cette voie ne peut que déboucher sur des résultats négatifs et de mauvaises expériences, car ce sont des personnes très déterminées : elles ne sont pas arrivées là où elles en sont en évitant les défis ; elles voudront prendre une décision », a expliqué M. Dryland.
Dryland recommande d'utiliser un système de notation « » (s'ouvre dans un nouvel onglet) qui permet aux dirigeants de calculer les risques liés à leur choix. Toutefois, le paiement ne doit être envisagé qu'en dernier recours.
La Maison Blanche envisage d'interdire le paiement des rançons
Plusieurs États ont déjà interdit aux collectivités locales de verser des rançons aux auteurs d'attaques par ransomware. À l'heure actuelle, la Maison Blanche envisage de mettre en place une interdiction fédérale des paiements aux auteurs de rançongiciels (s'ouvre dans un nouvel onglet) afin de réduire les incitations financières pour les cybercriminels. Si elle était adoptée, cette politique empêcherait les entreprises de verser des rançons aux auteurs de logiciels de rançon afin de récupérer leurs données chiffrées.
Les partisans de cette approche font valoir que cela exercerait une pression accrue sur les hauts responsables pour qu'ils préviennent les violations de données et y réagissent, et que cela ferait de la cybersécurité une responsabilité davantage partagée. Toutefois, une interdiction nationale des paiements aux auteurs de ransomware, telle que celle proposée par l' (s'ouvre dans un nouvel onglet) , pourrait également semer la confusion chez les chefs de petites entreprises et donner aux cybercriminels un moyen de pression pour continuer à faire chanter les entreprises qui enfreignent les règles. Parallèlement, les cybercriminels pourraient se tourner vers des victimes qui se sentent obligées de payer.
À ce stade, on ne sait pas encore si le gouvernement fédéral mettra en œuvre un plan visant à limiter les paiements versés aux auteurs de rançongiciels. C'est une affaire qu'il faudra suivre de près au cours des prochains mois.
7. Le APT29 continue de représenter une menace croissante
En juillet, CTI a indiqué que le groupe de menaces persistantes avancées « », soutenu par la Russie et dénommé « APT29 » (également connu sous les noms de Nobelium et Cozy Bear), utilise désormais des services de confiance tels que Google Drive et Dropbox pour échapper à la détection, diffuser des logiciels malveillants et des outils de piratage, et exfiltrer des données.
Il est fort probable que « APT29 » agisse pour le compte du Service des renseignements extérieurs russe (SVR). Ce groupe a pour principale motivation l'espionnage ; on lui attribue des campagnes de spear-phishing sophistiquées et efficaces visant des entités gouvernementales, militaires et diplomatiques qui semblent s'aligner sur la ligne officielle et les intérêts du gouvernement russe.
Ce groupe est connu pour diffuser des e-mails et des documents de hameçonnage portant sur des thèmes de politique étrangère, et pour rediriger ses victimes vers de faux sites web afin de les infecter avec des portes dérobées. Des chercheurs ont également observé récemment que ce groupe utilisait une publicité pour une voiture BMW afin de cibler des diplomates d' ie à Kiev (s'ouvre dans un nouvel onglet).
Les dernières actualités sur la APT29
En 2023, l'unité APT29 a intensifié l'ampleur et la fréquence de ses attaques d'espionnage, le Kremlin cherchant à obtenir davantage de renseignements pour soutenir sa guerre d' e contre l'Ukraine (s'ouvre dans un nouvel onglet).
Selon la Cyber Risk Alliance, le groupe APT29 a procédé à des modifications importantes afin d'améliorer son efficacité et d'échapper à la détection. Par ailleurs, la APT29 e a intensifié ses opérations d'espionnage courantes à l'encontre d'entités diplomatiques à l'échelle mondiale. Le groupe se concentre désormais en priorité sur les ministères des Affaires étrangères et les ambassades européennes, tout en menant des opérations visant à servir les intérêts mondiaux de la Russie.
Selon Mandiant, le groupe APT29 poursuit sa campagne d'accès initial visant les services cloud de Microsoft (s'ouvre dans un nouvel onglet), tout en faisant évoluer ses TTP. Par exemple, cette année, le groupe APT29 s'est tourné vers l'hébergement de charges utiles de première phase sur des services web piratés.
« La migration de la charge utile de première phase vers le côté serveur a probablement permis à APT29 d’exercer un plus grand contrôle sur sa chaîne de diffusion de logiciels malveillants et a permis au groupe de faire preuve de plus de discernement quant à la divulgation de ses capacités de phases ultérieures », ont déclaré les chercheurs de Mandiant.
En mars, le groupe a ajouté un nouveau niveau de dissimulation à sa campagne, en utilisant TinyURL pour créer des liens de hameçonnage malveillants de type « ». Les chercheurs ont également observé, pour la première fois, APT29 cas d'intégration de Rootsaw dans un fichier PDF.
Le APT29 est toujours en liberté et devient de plus en plus dangereux. Alors que la guerre en Ukraine continue de s'intensifier, il est possible que le groupe « APT29 » et d'autres groupes similaires redoublent encore davantage d'efforts.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
