L'un des moyens les plus efficaces d'introduire un logiciel malveillant au sein d'une organisation ciblée consiste à exploiter l'une des nombreuses relations de confiance qu'elle entretient avec des éditeurs de logiciels. C'est ainsi que des pirates informatiques russes ont compromis plusieurs agences gouvernementales américaines lors de la tristement célèbre campagne SolarWinds menée par l' (s'ouvre dans un nouvel onglet). C'est précisément pour cette raison que les utilisateurs de la célèbre application de bureau 3CX , dédiée aux appels vocaux et vidéo, doivent désormais redoubler de vigilance.
Un groupe présumé nord-coréen a réussi à intégrer une porte dérobée dans des mises à jour signées numériquement de l'application, puis à activer un logiciel malveillant de deuxième phase afin de voler des données auprès de cibles spécifiques. Comme toujours, le temps presse : les entreprises clientes doivent identifier et corriger dès que possible toutes les versions logicielles concernées.
Qu'est-ce que le 3CX ?
3CX (s'ouvre dans un nouvel onglet) est un fournisseur de services VoIP et PBX qui affirme compter plus de 12 millions d'utilisateurs et plus de 600 000 entreprises clientes dans 190 pays à travers le monde — parmi lesquelles figurent des marques de renom telles que Mercedes-Benz et PwC.
L'application 3CX DesktopApp de l'entreprise a été prise pour cible par des acteurs malveillants — , et plus précisément ses versions (s'ouvre dans un nouvel onglet) de l'application Electron pour Windows (versions 18,12,407 et 18,12,416 ) et de l'application Electron pour Mac (versions 18,11,1213, 18,12,402, 18,12,407 et 18,12,416).
Quelle était l'origine de cet incident ?
Selon 3CX, les charges utiles malveillantes ont été insérées dans des bibliothèques groupées compilées via Git. Cela laisse penser que la faille provenait d'un dépôt open source compromis utilisé par les développeurs de l'entreprise. Selon certaines informations (s'ouvre dans un nouvel onglet) , ce problème aurait pu être détecté dès la phase de développement, car il existait des indices révélateurs d'une manipulation.
Quoi qu'il en soit, la menace n'a pas été détectée en amont à ce stade précoce, et les versions de l'application concernées, tant sous Windows que sous macOS, étaient signées numériquement à l'aide de la clé de signature officielle 3CX . Les versions macOS ont même été certifiées par Apple, ce qui signifie que le géant technologique de Cupertino n'a détecté aucune activité malveillante.
Que s'est-il passé ?
Comme elles étaient signées numériquement, ces applications infectées par un cheval de Troie parvenaient à contourner la plupart des défenses périmétriques. Les assaillants ont également pris d'autres mesures pour éviter de déclencher les alarmes. Les programmes d'installation compromis, tant pour la version Windows que pour la version macOS, , auraient contenu des versions saines (s'ouvre dans un nouvel onglet), qui fonctionnaient parfaitement. Les cybercriminels ont ensuite utilisé une technique de chargement parallèle de DLL afin d'ajouter une charge utile supplémentaire chez certaines victimes. Cette charge utile a été chiffrée afin d'échapper à la détection et a poussé la machine infectée à se connecter à un serveur contrôlé par le pirate afin de télécharger un logiciel malveillant de deuxième phase.
On pensait initialement que la charge utile finale avait été conçue pour dérober des informations critiques à partir du navigateur d'une machine infectée, ce qui laissait supposer qu'il s'agissait d'une campagne de cyberespionnage ciblée. Selon certaines informations (s'ouvre dans un nouvel onglet) , une partie du code découvert dans ce logiciel malveillant correspond « octet par octet » à celui utilisé par le tristement célèbre groupe Lazarus, lié au régime nord-coréen. Toutefois, des éléments d'information plus récents laissent penser que l'objectif final aurait pu être d'implanter une porte dérobée modulaire, baptisée « Gopuram », sur un petit nombre de machines. À l'heure où nous écrivons ces lignes, moins de 10 entreprises du secteur des cryptomonnaies ont été visées de cette manière. Cela pourrait laisser supposer que ces attaques avaient une motivation financière.
Comment Tanium peut vous aider
3CX a invité (s'ouvre dans un nouvel onglet) tous les clients concernés à :
- Désinstallez l'application de bureau 3CX Electron de tous les ordinateurs fonctionnant sous Windows ou macOS
- Poursuivez l'analyse antivirus et EDR afin de détecter d'éventuels logiciels malveillants, en utilisant les dernières signatures disponibles
- Passer à l'application client Web 3CX’s PWA
Tanium peut aider les organisations à identifier rapidement les versions concernées de l'application 3CX ainsi que les indicateurs de compromission. Il existe plusieurs façons de procéder :
Tanium Interact (s'ouvre dans un nouvel onglet) permet d'identifier l'application de bureau 3CX dans un environnement Windows à l'aide de la requête suivante : « Récupérer les applications installées dont le nom contient 3CX parmi toutes les machines où le nom des applications installées contient 3CX . »
Tanium Threat Response (s'ouvre dans un nouvel onglet) permet d'importer des règles YARA afin d'identifier le logiciel malveillant utilisé lors de cette attaque. Au fur et à mesure qu'ils sont identifiés, les hachages de fichiers vulnérables peuvent également être ajoutés à Tanium Threat Response.
