Dans le résumé de cette semaine, CTI revisite certaines des cybermenaces les plus en développement au cours des derniers mois. Tout d’abord, vous trouverez une vue d’ensemble du récent retrait des logiciels malveillants Qakbot par le FBI, suivi d’un examen des modèles de machine learning comme vecteur d’attaque émergent. Vous trouverez également des mises à jour sur ESXiArgs, Bumblebee, les groupes Andariel et APT29 , ainsi que l’état actuel des ransomwares.
1. Le FBI perturbe le botnet Qakbot
En décembre 2022, CTI a averti d’une hausse des infections par Qakbot dans des environnements clients appartenant principalement à des entreprises basées aux États-Unis.
À l’époque, les chercheurs ont attribué l’augmentation à une campagne de rançongiciel généralisée menée par Black Basta, un groupe de rançongiciels relativement nouveau qui a émergé en avril 2022. À l’époque, Black Basta utilisait Qakbot pour entrer et se déplacer latéralement sur les réseaux cibles.
Qakbot, également connu sous le nom de Quackbot, Qbot, Pinkslipbot et TA570 , est l’un des botnets les plus connus et est responsable de milliers d’infections mondiales par des logiciels malveillants. Il a été découvert pour la première fois en 2008, ce qui en fait l’un des botnets les plus anciens.
L’opération Duck Hunt est un succès
Fin août, une opération mondiale d’application de la loi a réussi à démanteler le botnet Qakbot. La campagne, baptisée Opération Duck Hunt, serait la plus grande perturbation financière et de botnet menée par les États-Unis à ce jour.
L’opération Duck Hunt impliquait la redirection du trafic vers des serveurs contrôlés par le gouvernement, permettant aux agents de contrôler le botnet. Le FBI a demandé aux machines infectées par Qakbot de télécharger un désinstallateur propriétaire, qui a séparé les machines victimes et empêché d’autres installations de logiciels malveillants de se produire.
Security Boulevard explique que la stratégie du FBI pendant le retrait du Qakbot ressemble étroitement à un « retour au piratage », une tactique que les autorités découragent généralement les organisations d’essayer en raison des risques potentiels associés à l’exécution de commandes sur des systèmes distants.
Pendant l’opération, le FBI et ses partenaires internationaux ont saisi l’infrastructure de Qakbot en Europe et aux États-Unis. Le ministère de la Justice américain a également pris plus de 8,6 millions USD en cryptomonnaie volée auprès du groupe Qakbot. L’opération a révélé environ 700 000 appareils atteints d’infections par Qakbot, avec plus de 200 000 aux États-Unis. Cependant, le FBI pense qu’il pourrait y avoir des millions de victimes de Qakbot.
Bien que le FBI ait traité Qakbot d’un coup lourd, il y avait une possibilité que le botnet puisse potentiellement revenir. Depuis le retrait, des acteurs malveillants affiliés à Qakbot ont été observés en distribuant des ransomwares Ransom Knight et des logiciels malveillants Remcos. Bien que les acteurs malveillants ne distribuent pas le Qakbot lui-même, ils sont toujours opérationnels, ce qui signifie qu’il est possible qu’ils choisissent de reconstruire l’infrastructure du Qakbot.
CTI continuera à surveiller la situation pour détecter les développements.
2. Apprentissage automatique : un vecteur d’attaque émergent
Au cours de l’année dernière, il y a eu une explosion de puissants services de chat IA et ML, et ce n’est que le début de ce qui va arriver. Une étude récente de Gartner révèle que 70 % des organisations sont désormais dans les étapes d’« exploration » de la recherche et de l’enquête génératives sur l’IA.
ChatGPT, qui utilise les modèles GPT-3,5 et GPT-4 d’OpenAI, reste l’un des outils d’IA les plus populaires sur le marché, principalement pour sa polyvalence et sa facilité d’utilisation. L’adoption des entreprises pourrait augmenter encore plus dans les mois à venir suite à l’annonce de ChatGPT Enterprise, selon laquelle OpenAI est la version la plus puissante de ChatGPT à ce jour. ChatGPT Enterprise offre également une sécurité et une confidentialité de niveau entreprise.
Voici quelques chatbots d’IA supplémentaires à connaître :
- Bing Chat, qui utilise le modèle GPT-4 d’OpenAI. Le nouveau Bing dispose d’un accès Internet et fonctionne comme un moteur de recherche.
- Google Bard, optimisé par PaLM 2 et une version légère de LaMDA.
- Claude, un LLM développé par Anthropic et basé sur l’IA constitutionnelle.
- Perplexity AI, un chatbot connecté à Internet qui s’exécute sur GPT-3 et GPT-4.
- Jasper, un chatbot d’écriture populaire basé sur GPT-3,5.
Le débat en cours sur la cybersécurité concernant l’apprentissage automatique
Comme le souligne CTI suite à l’émergence de ChatGPT fin 2022, la communauté de la sécurité reste divisée sur le rôle du ML dans la cybersécurité. Certains l’appellent le sauveur de la cybersécurité, tandis que d’autres sont profondément préoccupés par sa position en tant que nouveau vecteur d’attaque dangereux.
D’une part, les récentes avancées dans ce domaine facilitent la gestion et la réponse des entreprises aux menaces émergentes. Par exemple, Exabeam a ajouté des capacités d’IA génératives à sa plateforme SIEM (New-Scale Security Information and Event Management), permettant aux utilisateurs de classer rapidement les menaces, de résumer les risques et de découvrir des recommandations de remédiation. Il existe de nombreux autres services de sécurité génératifs de l’IA disponibles aujourd’hui, notamment Google Cloud Security AI Workbench, Microsoft Security Copilot et CrowdStrike Charlotte AI.
Mais bien que le ML et l’IA offrent des promesses, ils sont toujours des technologies émergentes. Il est courant que les systèmes d’alerte basés sur le ML génèrent des faux positifs et des notifications excessifs, ce qui pose des défis pour les intervenants en cas d’incident. De plus, la signification et l’importance de ces alertes peuvent être difficiles à interpréter.
De plus, les cybercriminels ciblent de plus en plus les modèles d’IA à l’aide de tactiques telles que l’empoisonnement des données, le vol de modèles, la compromission de la chaîne d’approvisionnement et les portes dérobées de l’IA. Environ 20 % des entreprises ont subi des attaques par modèle d’IA ou compromis des incidents au cours de l’année passée, tandis que 49 % des leaders de la sécurité s’inquiètent de l’empoisonnement des acteurs malveillants par les modèles d’IA et de ML pour contourner les protections de sécurité.
Compte tenu de cela, les entreprises et les professionnels de la sécurité doivent envisager d’adopter l’IA et l’apprentissage automatique, tout en reconnaissant la nécessité d’une approche prudente et stratégique de leur mise en œuvre.
NSA annonce un nouveau centre de sécurité pour l’IA
Le 28 septembre, la National Security Agency (NSA) a annoncé un nouveau centre de sécurité de l’IA pour superviser le développement et l’intégration des capacités d’IA dans les systèmes de sécurité nationale américains.
Selon le ministère de la Défense des États-Unis, le Centre de sécurité de l’IA deviendra le point central pour développer les meilleures pratiques, la méthodologie d’évaluation et les cadres de risque de l’IA.
Le centre favorisera l’adoption sécurisée des capacités émergentes d’IA dans l’entreprise de sécurité nationale et la base industrielle de défense. Il consolidera également les activités liées à l’IA et à la sécurité de l’agence.
3. ESXiArgs : toujours dans la nature
En février, CTI a déclenché l’alarme concernant la campagne de rançongiciel ESXiArgs qui s’est rapidement propagée. À l’époque, les attaquants ciblaient activement les serveurs VMware ESXi, en particulier ceux qui n’étaient pas corrigés et vulnérables à CVE-2021-21974.
À la mi-février, plus de 500 hôtes ont été compromis par la souche ESXiArgs, la plupart des victimes étant en France, aux Pays-Bas, en Allemagne, au Royaume-Uni et en Ukraine.
Quelles sont les nouveautés d’ESXiARGS ?
ESXiArgs est toujours actif et se propage, ce qui en fait quelque chose à garder à votre portée. Les entreprises qui n’ont pas corrigé leurs serveurs ESXi courent toujours le risque d’en être victimes.
VMware conseille aux clients de mettre à niveau vers la dernière version prise en charge des composants vSphere pour traiter toutes les vulnérabilités divulguées. VMware recommande également de désactiver le service OpenSLP dans ESXi.
4. Les logiciels malveillants Bumblebee reviennent après une pause de deux mois
En mai, CTI a averti de la manière dont Google Ads propage de nouveaux logiciels malveillants Bumblebee. Les acteurs malveillants utilisent Google Ads pour promouvoir les versions trojanquées des installateurs pour les applications populaires et fournir le chargeur de logiciels malveillants Bumblebee aux victimes.
L’équipe Conti a probablement développé Bumblebee pour remplacer la backdoor BazarLoader, ce qui permet aux acteurs malveillants d’accéder plus facilement aux réseaux et de distribuer des ransomwares et d’autres charges utiles secondaires. Des campagnes récentes ont vu le malware Bumblebee ciblant l’entreprise distribué via Google Ads, employant l’empoisonnement SEO pour créer des promotions conçues pour attirer les utilisateurs désireux de faciliter le téléchargement facile de logiciels populaires, tels que Zoom, Citrix Workspace et Cisco AnyConnect.
La dernière campagne de Bumblebee
Après avoir pris une pause estivale, Bumblebee est revenu en septembre avec une campagne qui utilise de nouvelles techniques de distribution.
Selon Bleeping Computer, Bumblebee abuse désormais de 4shared services WebDAV. WebDAV est une extension du protocole HTTP et permet aux clients d’exécuter des opérations de création à distance telles que la création, l’accès, la mise à jour et la suppression de contenu de serveur Web.
Bleeping Computer signale que la dernière campagne Bumblebee s’appuie sur des e-mails de spam qui se font passer pour des analyses, des factures et des notifications. La campagne tente d’inciter les destinataires à télécharger des pièces jointes nuisibles. La plupart des pièces jointes sont des fichiers LNK de raccourci Windows. Cependant, il existe également des archives ZIP avec des fichiers LNK, ce qui signifie que les opérateurs de Bumblebee expérimentent probablement pour trouver la meilleure approche.
Les analystes ont également découvert une version mise à jour du chargeur de logiciels malveillants Bumblebee dans cette campagne. Le chargeur est passé du protocole WebSocket au protocole TCP pour les communications C2 . De plus, le nouveau chargeur n’utilise plus d’adresses C2 codées en dur. Au lieu de cela, il utilise un algorithme de génération de domaine pour créer 100 domaines sur l’espace TLD « .life » après l’exécution.
Depuis l’ordinateur de purge :
Les domaines sont générés à l’aide d’une valeur initiale statique de 64 bits, et Bumblebee se connecte à eux en itérant à travers la liste créée jusqu’à ce qu’il trouve une valeur qui se résout en une adresse IP de serveur C2 active.
Bumblebee a déjà été associé à la distribution des charges utiles des ransomwares, y compris Conti et Akira. L’adoption d’un canal de distribution plus efficace et plus insaisissable est donc un développement inquiétant.
De plus, l’adoption de DGA rend plus difficile la cartographie de l’infrastructure de Bumblebee, le blocage de ses domaines et la perturbation significative de ses opérations, ajoutant une complexité supplémentaire dans la mise en œuvre d’une action préventive contre le chargeur de logiciels malveillants.
5. Andariel déploie de nombreuses souches de logiciels malveillants dans les attaques
Une mise à jour CTI de juillet a expliqué comment l’acteur malveillant soutenu par la Corée du Nord a suivi le déploiement par Andariel de logiciels malveillants EarlyRat en 2022 dans une série de cyberattaques exploitant la vulnérabilité Log4j .
Andariel, également connu sous le nom de Silent Chollima et Stonefly, est un sous-groupe de l’acteur APT du groupe Lazarus en Corée du Nord. Le groupe s’engage régulièrement dans des opérations de cyberespionnage visant des entités gouvernementales et militaires étrangères d’intérêt stratégique pour la Corée du Nord. Andariel génère principalement des revenus et soutient les opérations militaires du gouvernement nord-coréen.
Les principaux objectifs d’Andariel comprennent les institutions financières, les entrepreneurs en défense, les universités, les agences gouvernementales, les entreprises énergétiques et les fournisseurs de cybersécurité.
Les chercheurs émettent un nouvel avertissement Andariel
Andariel a récemment été détecté à l’aide de divers outils et tactiques malveillants dans le cadre de cyberattaques contre des organisations cibles.
Par exemple, le groupe utilise le spear-phishing, les attaques de la chaîne d’approvisionnement et les trous d’arrosage pour lancer des charges utiles. Andariel utilise également un mélange de familles de logiciels malveillants telles que Gh0st RAT, NukeSped, DTrack, YamaBot, Phandoor, Rifdoor, Andarat, TigerRAT (ainsi que MagicRAT successeur) et Andaratm. De plus, le groupe utilise de nouvelles souches telles que Black RAT, Goat RAT, AndarLoader et DurianBeacon. Black RAT et Goat RAT sont écrits en Go, tandis qu’AndarLoader est écrit en .NET. DurianBeacon utilise Go et Rust.
Depuis le Centre d’intervention d’urgence de sécurité (ASEC) d’AhnLab :
Le groupe Andariel est l’un des groupes de menaces hautement actifs ciblant la Corée, ainsi que Kimsuky et Lazarus. Le groupe a lancé des attaques pour obtenir des informations liées à la sécurité nationale dès les premiers jours, mais effectue désormais des attaques pour des gains financiers.
Pour en savoir plus sur les dernières activités d’attaque d’Andariel, consultez le rapport complet de l’ASEC.
6. Les rançongiciels restent une menace majeure pour l’entreprise
Dans un rapport de juillet, la CTI a révélé comment les attaques et les paiements par rançongiciels explosent , les chercheurs observant une augmentation globale du nombre de paiements réussis, petits et grands. Selon Chainalysis, les rançongiciels sont sur la bonne voie pour battre les records précédents.
Depuis BleepingComputer :
Les rançongiciels sont la forme unique de crime basé sur les cryptomonnaies en hausse jusqu’à présent en 2023 », lit le rapport Chainalysis. « En fait, les attaquants par ransomware sont en bonne voie pour leur deuxième plus grande année, après avoir extorqué au moins 449,1 millions USD jusqu’en juin.
Les rançongiciels continuent de s’accélérer
L’étude Coalition, un fournisseur de cyber-assurance, révèle que les paiements par rançongiciel ont augmenté de 12 % en glissement annuel en 2023.
Les demandes de rançongiciel représentent désormais environ un cinquième de toutes les réclamations, ce qui en fait le facteur le plus significatif dans les dépôts de réclamations. Les réclamations pour rançongiciels ont également augmenté de 27 % au cours du premier semestre 2023. Le coût des réclamations a augmenté de 42 % au cours du premier semestre, les demandeurs signalant une perte moyenne de plus de 115 000 USD.
Voici quelques attaques de rançongiciel notables récentes :
- Johnson Controls a récemment été frappée par une cyberattaque perturbatrice, le groupe de ransomware Dark Angels ayant gagné 27 To d’informations.
- Des milliers de patients ont fait voler leurs informations à la suite d’une attaque par rançongiciel qui a arrêté les ordinateurs dans deux hôpitaux du Connecticut, y compris Waterbury Health et Prospect Medical Holdings.
- Le comté de Rock, Wisconsin , a été contraint de mettre certains de ses systèmes hors ligne après une attaque par ransomware contre son service de santé publique.
Tendances actuelles : attaques par double ransomware
Le FBI avertit désormais d’une tendance croissante connue sous le nom d’ attaques par rançongiciel double, où les acteurs malveillants effectuent des attaques distinctes à quelques heures ou quelques jours d’intervalle.
À partir de Dark Reading :
Ces attaques par rançongiciel se produisent sur la même victime en peu de temps et, dans la nature, se sont produites avec des acteurs malveillants déployant différentes variantes de rançongiciel pour chaque étape des attaques, telles qu’AvosLocker, Diamond, Hive Karakurt, LockBit, Quantum et Royal. Ces variantes sont libérées dans différentes combinaisons doubles, ce qui aboutit finalement à un mélange de chiffrement des données, d’exfiltration et d’extorsion.
Les organisations ont du mal à prendre des décisions en matière de paiement par rançongiciel
La plupart des experts en cybersécurité déconseillent d’effectuer des paiements par rançongiciels, car les entreprises qui paient une rançon sont plus susceptibles de subir des attaques ultérieures. En outre, les paiements par rançongiciel peuvent également prendre en charge et permettre aux organisations criminelles et aux groupes d’extorsion.
Cependant, il n’est pas toujours possible pour les entreprises d’éviter d’effectuer des paiements. Comme l’a récemment expliqué la RSSI de First Sentier Investors, Lorraine Dryland, lors du Gartner Security & Risk Management Summit, les RSSI ont souvent du mal à empêcher les dirigeants de payer des rançons.
« Forcer un cadre sur cette voie ne peut se traduire que par des résultats négatifs et de mauvaises expériences, car ce sont des personnes très volontaires. Ils n’arrivent pas là où ils se trouvent parce qu’ils hésitent à s’éloigner des choses, ils voudront prendre une décision », a expliqué Dryland.
Dryland recommande d’utiliser un mécanisme de notation qui permet aux dirigeants de calculer les risques impliqués dans leur choix. Cependant, effectuer un paiement doit toujours être un dernier recours.
La Maison Blanche envisage d’interdire les paiements par rançongiciel
Plusieurs États ont déjà interdit aux juridictions de payer les acteurs malveillants dans le cadre d’attaques de ransomware. Aujourd’hui, la Maison-Blanche envisage de mettre en œuvre une interdiction fédérale des paiements par rançongiciels afin de réduire les incitations financières pour les cybercriminels. Si elle était promulguée, cette politique empêcherait les entreprises d’effectuer des paiements par rançongiciel pour récupérer les données chiffrées.
Les partisans soutiennent que cela exercerait plus de pression sur la direction pour prévenir et répondre aux violations de données et rendre la cybersécurité plus une relation partagée. Cependant, une interdiction nationale des paiements par rançongiciel pourrait également créer une confusion pour les propriétaires de petites entreprises et donner aux cybercriminels un effet de levier pour continuer à extorquer les entreprises qui enfreignent les règles. Dans le même temps, les attaquants peuvent se concentrer sur les victimes qui se sentent obligées de payer.
À l’heure actuelle, on ignore si le gouvernement fédéral va avancer dans un plan de limitation des paiements par rançongiciels. Il s’agit d’une histoire à suivre dans les mois à venir.
7. APT29 reste une menace croissante
En juillet, CTI a signalé que le groupe de menaces persistantes avancées APT29 (également connu sous le nom de Nobelium et Cozy Bear) soutenu par la Russie utilise désormais des services de confiance tels que Google Drive et Dropbox pour échapper à la détection, fournir des outils de logiciels malveillants et de piratage, et exfiltrer des données.
APT29 opère très probablement à la demande du Service russe de renseignement étranger (SVR). La motivation du groupe est principalement l’espionnage et est attribuée à des campagnes de harponnage sophistiquées et efficaces ciblant les entités gouvernementales, militaires et diplomatiques qui semblent s’aligner sur l’État et les intérêts du gouvernement russe.
Le groupe est connu pour avoir diffusé des e-mails et des documents d’hameçonnage sur des sujets de politique étrangère, et pour avoir dirigé les victimes vers de faux sites Web pour les infecter par des portes dérobées. Des chercheurs ont également récemment observé le groupe utiliser une publicité automobile BMW pour cibler les diplomates à Kiev.
Dernières informations sur APT29
APT29 a intensifié la portée et la fréquence de ses attaques d’espionnage en 2023, le Kremlin cherchant plus d’informations pour aider sa guerre contre l’Ukraine.
La Cyber Risk Alliance rapporte que APT29 a apporté des modifications substantielles pour augmenter l’efficacité et échapper à la détection. En outre, APT29 a augmenté les opérations d’espionnage de routine contre les entités diplomatiques mondiales. Le groupe donne désormais la priorité aux ministères et ambassades européens des affaires étrangères, tout en menant des opérations qui renforcent les intérêts mondiaux de la Russie.
Selon Mandiant, APT29 poursuit sa campagne d’accès initiale ciblant les services cloud Microsoft et faisant évoluer ses TTP. Par exemple, cette année APT29 est passée à l’hébergement de charges utiles de première étape sur des services Web compromis.
« La migration du côté du serveur de charge utile de première étape a probablement fourni à APT29 un plus grand degré de contrôle sur sa chaîne de distribution de logiciels malveillants et a permis au groupe d’être plus judicieux quant à l’exposition de ses capacités de phase ultérieure », ont déclaré les chercheurs de Mandiant.
Le groupe a ajouté une nouvelle couche de dissimulation à une campagne en mars, tirant parti de TinyURL pour créer des liens d’hameçonnage malveillants. Des chercheurs ont également observé APT29 intégrations de Rootsaw dans un PDF pour la première fois.
Le APT29 est toujours dans la nature et devient de plus en plus dangereux. Alors que la guerre en Ukraine continue de s’intensifier, il est possible que APT29 et des groupes similaires intensifient encore plus leurs efforts.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
