Pour commencer ce tour d'horizon hebdomadaire, CTI se penche sur une nouvelle famille de logiciels de vol d'informations, baptisée MetaStealer, qui cible la plateforme macOS. Nous allons maintenant nous intéresser à une nouvelle famille de ransomware appelée « 03 H », qui a récemment été découverte en circulation. Vous trouverez également un aperçu des familles de logiciels malveillants RedLine et Vidar, ainsi que la manière dont les auteurs de ces menaces diffusent des charges utiles de ransomware en utilisant les mêmes techniques de diffusion que celles qu'ils emploient pour propager des logiciels de vol d'informations.
1. Une nouvelle famille de logiciels espions Go se propage dans le cadre d'attaques ciblées
Sentinel One suit et analyse une nouvelle famille de logiciels de vol d'informations pour macOS appelée « » MetaStealer (s'ouvre dans un nouvel onglet) afin de déterminer en quoi elle diffère des autres logiciels de vol d'informations récents.
Selon SentinelOne, bon nombre des échantillons de MetaStealer sont diffusés sous forme d'ensembles d'applications malveillantes contenus dans un fichier dmg. Les noms des fichiers indiquent que les cibles étaient des utilisateurs professionnels d'appareils Mac. Parmi les noms de fichiers, on trouve notamment « cahier des charges publicitaire (présentation MacOS).dmg », « CONCEPT A3 : menu complet avec plats et traductions en anglais.dmg », « AnimatedPoster.dmg » et « Brief_Presentation-Task_Overview-(SOW)-PlayersClub.dmg ».
L'une des versions de MetaStealer s'intitulait « Conract for paymen & confidentiality agreement Lucasprod.dmg » (fautes de frappe incluses dans le nom de fichier réel). Ce fichier a été mis en ligne sur VirusTotal, accompagné d'un commentaire de la victime expliquant en détail comment elle a été piégée. La victime indique avoir été piégée par une personne se faisant passer pour un client dans le domaine du design, qui lui a envoyé un fichier ZIP protégé par un mot de passe contenant le fichier dmg malveillant. D'autres versions de MetaStealer ont utilisé des noms faisant passer ces fichiers pour des fichiers ou des logiciels Adobe.
Ensembles d'applications malveillantes
Les applications contenues dans les images disque répondent aux exigences minimales requises pour la création d'un bundle macOS. Le pack contient un fichier Info.plsit, un dossier « resources » contenant une icône, ainsi qu'un dossier « macOS » contenant le fichier exécutable malveillant. Aucun des échantillons analysés par SentinelOne ne comportait de signature de code ni n'utilisait de signature ad hoc, ce qui signifie que l'auteur de la menace devrait probablement convaincre la victime de contourner des protections telles que Gatekeeper.
Les échantillons collectés sont des binaires à architecture unique x86_64 et ne fonctionneront que sur les machines Apple Silicon M1 et M2 à l'aide de Rosetta. Des échantillons de MetaStealer ont été régulièrement mis en ligne sur VirusTotal.
Exécutable Go obscurci
Le fichier exécutable principal est un fichier Mach-O Intel x86 contenant du code source Go compilé et fortement obscurci.
La méthode d'obfuscation est similaire à celle utilisée dans les binaires obfusqués des logiciels malveillants Sliver et Poseidon. Malgré les techniques de dissimulation, les chercheurs ont identifié des fonctions permettant d'exfiltrer le trousseau de clés, d'extraire les mots de passe enregistrés et de récupérer des fichiers. Certaines versions contiennent des méthodes permettant de cibler les services Telegram et Meta.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L'apparition de MetaStealer s'inscrit dans la tendance récente des logiciels d'espionnage ciblant les utilisateurs de Mac. » « MetaStealer cible spécifiquement les utilisateurs professionnels d'appareils macOS, ce qui est inhabituel pour les logiciels malveillants destinés aux Mac, qui sont généralement diffusés par le biais de logiciels piratés ou de publicités malveillantes. »
« MetaStealer s'appuie largement sur l'ingénierie sociale pour inciter ses victimes à exécuter elles-mêmes des charges utiles malveillantes. » « C'est un domaine dans lequel les cybercriminels semblent ne cesser de s'améliorer, ce qui nous oblige tous à redoubler de vigilance. »
2. Des chercheurs ont découvert le ransomware « 03 H » en circulation
Symantec a découvert une nouvelle famille de ransomware appelée 03 H (s'ouvre dans un nouvel onglet) en circulation. 03 H a été détecté lors d'un incident isolé au cours duquel un affilié a déployé ce ransomware après une tentative infructueuse de déploiement de LockBit sur le réseau.
Informations générales sur le ransomware « 03 H »
03 H C'est le nom que Symantec a donné à cette famille de ransomwares, en raison des références à 03 H figurant dans la demande de rançon et de l'extension .threeamtime ajoutée aux fichiers chiffrés.
Ce ransomware est écrit en Rust et tentera d'arrêter plusieurs services avant de chiffrer les fichiers. Une fois le chiffrement terminé, le programme tentera de supprimer les clichés de volume.
À ce jour, le ransomware « 03 H » a été très rarement observé. Il n'a été observé que lors d'une seule attaque, à la suite d'un déploiement infructueux de LockBit. À l'heure actuelle, on ignore si ses auteurs sont liés à des acteurs malveillants ou à des groupes connus.
Préparation de l'attaque
La première activité identifiée de l'acteur malveillant consistait à utiliser la commande « gpresult » pour extraire les paramètres de stratégie appliqués sur l'ordinateur pour un utilisateur donné. L'acteur malveillant a ensuite exécuté divers composants de Cobalt Strike avant de tenter d'élever ses privilèges à l'aide de PsExec ; il a exécuté des commandes de reconnaissance (whoami, netstat, quser, netshare) et a tenté de recenser d'autres serveurs du réseau en vue d'un déplacement latéral. Un nouvel utilisateur a ensuite été ajouté afin d'assurer la persistance, avant d'utiliser l'outil Wput pour exfiltrer des fichiers vers un serveur FTP.
L'auteur de la menace a d'abord tenté de déployer le ransomware LockBit, mais celui-ci a été bloqué au niveau du réseau. Cela a contraint l'auteur de la menace à recourir à l' 03 H . L'utilisation d' 03 H n'a été qu'un succès partiel, car les auteurs de la menace n'ont réussi à le déployer que sur trois machines, dont deux ont bloqué le déploiement.
03 H analyse
Ce ransomware est un fichier exécutable 64 bits écrit en Rust. Il prend en charge les paramètres de ligne de commande suivants :
- « -k » – 32 Base64 caractères, désignés sous le nom de « clé d'accès » dans la note de rançon
- « -p » – Inconnu
- « -h » – Inconnu
- « -m » – Méthode : le code vérifie l'une des deux valeurs suivantes avant d'exécuter la logique de chiffrement :
- « local »
- « net »
- « -s » – permet de définir des décalages au sein des fichiers à chiffrer afin de contrôler la vitesse de chiffrement. Ceci est exprimé sous forme de chiffres décimaux.
Les paramètres de ligne de commande « -m » et « -h » s'excluent mutuellement. L'utilisation des paramètres « -h » et « -m » et de leurs valeurs « local » et « net » est très similaire à celle des arguments utilisés par Conti. Une fois lancé, ce programme tentera d'exécuter une longue liste de commandes, dont beaucoup visent à désactiver divers logiciels liés à la sécurité et à la sauvegarde.
Le rançongiciel analyse ensuite le disque et les fichiers répondant à un critère prédéfini, puis chiffre ces fichiers et supprime les originaux. 03 H crée ensuite le fichier « RECOVER-FILES.txt » dans chaque dossier analysé. Ce fichier contient la demande de rançon.
Les fichiers chiffrés contiennent une chaîne de caractères de 0x666 , suivie des données ajoutées par le rançongiciel. Une fois la routine de chiffrement terminée, le programme tentera de supprimer les copies de sauvegarde « Volume Shadow ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« On ne voit pas beaucoup d'informations concernant des cybercriminels qui auraient tenté de déployer un rançongiciel, mais qui seraient passés à un autre lorsque le premier a été bloqué. » « Et on constate encore moins de cas signalés concernant des cybercriminels qui se tournent vers des ransomwares encore inconnus. »
« Le moment semble propice pour tester un nouveau ransomware, en l'utilisant à titre de plan de secours plutôt que dans un but malveillant. » Étant donné que le ransomware « 03 H » n'a connu qu'un succès partiel, il se pourrait que cet acteur malveillant soit encore en train de développer « 03 H » et qu'il se soit rabattu sur celui-ci uniquement parce qu'il n'avait pas d'autre choix. « Étant donné qu’il a été utilisé comme solution de secours par un affilié présumé de LockBit, il ne serait pas surprenant de voir davantage de cas d’ 03 H s à l’avenir. »
3. Les auteurs des attaques RedLine/Vidar se tournent désormais vers les ransomwares
Trend Micro suit de près les familles de logiciels malveillants « », « RedLine » et « Vidar » (s'ouvre dans un nouvel onglet) depuis le milieu de l'année 2022. Ces deux familles ont été utilisées pour cibler des victimes par le biais d'attaques de spear-, ou de phishing. Toutefois, des enquêtes plus récentes révèlent que les auteurs malveillants à l'origine de ces familles de logiciels malveillants diffusent désormais des charges utiles de ransomware en utilisant les mêmes techniques de diffusion que celles qu'ils emploient pour propager des logiciels d'espionnage.
On constate désormais que les auteurs de ces attaques diffusent un logiciel malveillant de type « infostealer » à l'aide de certificats de signature de code EV avant d'envoyer des charges utiles de ransomware par le même canal.
Contexte
Les organisations obtiennent des certificats de signature de code à validation étendue dès lors qu'elles ont prouvé leur existence juridique et physique dans un pays. La procédure de délivrance prévoit une vérification d'identité plus approfondie que pour les certificats de signature de code classiques. Ce processus implique également la génération d'une clé privée, ce qui nécessite un jeton matériel.
Malgré la mise en place de mesures de sécurité supplémentaires en début d'année, plus de 30 échantillons EV signés numériquement ont été utilisés entre juillet etaoût 2023 dans le cadre de cette campagne ou de cette activité. Le logiciel de vol d'informations « Vidar » lié à cette activité était polymorphe, chaque échantillon présentant un hachage différent. Bien qu'il y ait déjà eu des cas où des acteurs malveillants ont utilisé des certificats EV pour leurs logiciels malveillants, Trend Micro souligne que c'est la première fois qu'il observe un acteur malveillant disposant d'un nombre aussi important d'échantillons. On ignore encore comment l'auteur de la menace a pu accéder à la clé privée.
Analyse technique
Les cybercriminels qui utilisent RedLine et Vidar recourent à des techniques courantes pour inciter leurs victimes à exécuter des fichiers malveillants. Cela inclut souvent le spear phishing, l'utilisation de doubles extensions et de fichiers LNK, ainsi que le transfert de fichiers malveillants via Google Drive.
Dans une affaire sur laquelle Trend Micro a enquêté, la victime a été la cible d'une série de campagnes visant à lui faire parvenir un logiciel malveillant de vol d'informations à la mi-juillet de cette année. Puis, le 9 août, ils ont reçu une charge utile de ransomware après avoir été amenés, par la ruse, à télécharger ou à ouvrir la pièce jointe d'un faux e-mail de réclamation de TripAdvisor. La pièce jointe utilisait la technique courante de la double extension — .pdf.htm — pour faire croire à l'utilisateur qu'il s'agissait d'un fichier PDF.
Après avoir ouvert cette pièce jointe et cliqué sur « Lire la plainte », l'utilisateur a, à son insu, exécuté plusieurs fichiers JavaScript. Cela a ensuite entraîné le téléchargement et l'exécution du fichier « TripAdvisor Complaint-Possible Suspension.exe ». Cet exécutable s'est connecté à deux URL, lisant et transformant le contenu d'un fichier PNG en shellcode chiffré. Le shellcode a été déchiffré afin de générer un autre shellcode destiné à être injecté.
La charge utile du ransomware a finalement été identifiée comme étant Ransom.Win64.CYCLOPS.A a été injecté dans le fichier rgb9rast.exe, une application console autonome légitime de 7-Zip. Le programme a ensuite déposé la note de rançon, chiffré les fichiers portant l'extension .knight_l et établi une connexion SMB sortante afin de chiffrer les fichiers présents sur le réseau.
Indicateurs supplémentaires
Les auteurs de la menace ont également utilisé d'autres noms de fichiers pour leurs fichiers malveillants non signés par EV, tels que « Additional informatoin about the reservation.exe » — où le mot « informatoin » est orthographié à la place de « information » — et « TripAdvisor Complaint - Possible Suspension.exe ransomware ». Ces noms de fichiers supplémentaires comportaient également des doubles extensions, telles que « jpg.exe » et « pdf.exe ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même si des mesures de sécurité supplémentaires ont été mises en place, les auteurs de menaces ont tout de même réussi, d'une manière ou d'une autre, à diffuser des logiciels malveillants destinés à voler des informations, dont le code était signé à l'aide de certificats EV. »
« On ignore encore comment l'auteur de cette attaque a pu se procurer la clé privée nécessaire pour mener à bien cette opération. » C'est un sujet sur lequel CTI espère en savoir davantage à l'avenir. Ce qui est particulièrement intéressant, c'est le changement d'approche qu'ils ont opéré dans le cadre de cette campagne : ils sont passés de la simple diffusion de logiciels malveillants à l'envoi de charges utiles de ransomware. »
« Compte tenu de la popularité des ransomwares au cours de l'année écoulée (voire depuis plus longtemps encore), il est de plus en plus fréquent de voir des cybercriminels se lancer dans cette activité. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
