Dans le tour d'horizon de cette semaine, CTI examine les dernières activités du groupe nord-coréen Lazarus , selon , notamment des attaques répétées contre un éditeur de logiciels dont le nom n'a pas été divulgué et le déploiement de plusieurs familles de logiciels malveillants. Dans son prochain rapport, le CTI met en lumière « Prolific Puma », un acteur malveillant spécialisé dans les attaques DNS qui opère dans l'ombre depuis plusieurs années. CTI conclut son analyse en se penchant sur un acteur malveillant nord-coréen dont les activités recoupent celles du groupe Lazarus et qui cible désormais les ingénieurs spécialisés dans la blockchain d'une plateforme d'échange de cryptomonnaies à l'aide d'un nouveau logiciel malveillant pour macOS.
1. Le groupe Lazarus cible un éditeur de logiciels
Le groupe Lazarus, lié à la Corée du Nord ( ) (s'ouvre dans un nouvel onglet) , a été observé à plusieurs reprises en train de compromettre un éditeur de logiciels dont le nom n'a pas été divulgué. Le groupe a réussi à exploiter ces failles malgré la mise à disposition de nombreux correctifs et avertissements. Les pirates ont eu recours à plusieurs techniques de contournement et ont déployé plusieurs familles de logiciels malveillants.
Présentation de l'attaque
Selon SecureList (s'ouvre dans un nouvel onglet), ce fournisseur avait déjà été la cible à plusieurs reprises du groupe Lazarus . Cette violation récurrente laisse supposer l'existence d'un acteur malveillant persistant qui envisagerait de mener une attaque visant la chaîne d'approvisionnement.
Le logiciel malveillant SIGNBT utilisé lors de cette attaque a recouru à une chaîne d'infection variée et à des techniques sophistiquées. L'acteur malveillant a également utilisé LPEClient pour mener toute une série d'attaques ciblées.
À propos du chargeur SIGNBT
Dans l'article « juillet 2023 », SecureList a détecté une série d'attaques visant plusieurs victimes par le biais de logiciels de sécurité légitimes conçus pour chiffrer les communications Web à l'aide de certificats numériques.
Dans un cas précis, SecureList a découvert le logiciel malveillant SIGNBT et son shellcode, qui permettaient de lancer un fichier exécutable Windows directement en mémoire. L'acteur malveillant a eu recours à différentes tactiques pour assurer la persistance au cours de l'attaque et à plusieurs méthodes pour charger la charge utile finale SIGNBT. L'auteur de la menace a principalement eu recours au chargement latéral de DLL pour diffuser SIGNBT.
Le logiciel malveillant SIGNBT : aperçu général
La plupart des instances du logiciel malveillant SIGNBT sont lancées à partir du chargeur de ce logiciel malveillant, qui fonctionne en mémoire.
Une fois lancé, il commence à communiquer avec le serveur C2 , en envoyant une balise après avoir initialisé ses données de configuration. Sa communication utilise des chaînes de caractères distinctives commençant par « SIGNBT », d'où le nom de ce logiciel malveillant. Le logiciel malveillant crée une valeur de 24 octets et génère 24 octets supplémentaires de données aléatoires, qui sont ensuite combinés par une opération XOR. Les valeurs codées sont associées à trois ou sept noms de paramètres HTTP générés aléatoirement, ce qui rend la détection et l'analyse de ses communications plus difficiles. Ce logiciel malveillant comporte un ensemble complet de fonctionnalités pouvant être exécutées selon les instructions du document C2.
Voici quelques-unes des commandes prises en charge par SIGNBT :
- CCBrush : Permet notamment d'obtenir des informations sur le système, de tester la connectivité et de configurer les paramètres.
- CCList : Gère les processus, notamment l'obtention de la liste des processus en cours d'exécution, l'arrêt des processus, l'exécution de fichiers et la manipulation des DLL.
- CCComboBox : Permet d'interagir avec le système de fichiers, notamment pour obtenir la liste des lecteurs, modifier les propriétés des fichiers et créer de nouveaux dossiers.
- CCButton : Télécharge et envoie des fichiers, les charge en mémoire et effectue des captures d'écran.
- CCBitmap : Met en œuvre les commandes et utilitaires Windows les plus courants.
LPEClient
On a constaté que cet acteur diffusait des outils tels que LPEClient et des utilitaires permettant d'extraire des identifiants. Le logiciel malveillant LPEClient n'est pas nouveau, puisqu'il a été découvert en 2020. Il recueille des informations sur les victimes et télécharge des charges utiles supplémentaires depuis un serveur distant afin de les exécuter en mémoire.
Selon SecureList, ce logiciel malveillant a considérablement évolué depuis sa découverte. Il exploite désormais des techniques avancées pour améliorer sa discrétion et échapper à la détection, notamment en désactivant le détournement des appels système en mode utilisateur et en restaurant les sections de mémoire des bibliothèques système.
LPEClient a déjà été utilisé dans le cadre d'attaques menées par le groupe Lazarus. Ce logiciel malveillant sert régulièrement de vecteur d'infection initial afin de permettre le profilage des victimes et de déployer des charges utiles supplémentaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce dernier rapport souligne une nouvelle fois à quel point le groupe Lazarus peut se montrer déterminé et tenace, en s'attaquant à plusieurs reprises à la même entreprise afin de mener une attaque visant la chaîne d'approvisionnement.
Il est clair que ce groupe est déterminé à rester l'un des principaux acteurs malveillants. Au cours de leurs tentatives répétées visant à compromettre cette même entreprise de logiciels, ils se sont largement appuyés sur l'exploitation de vulnérabilités pour lesquelles un correctif avait déjà été publié, ce qui démontre une fois de plus l'importance d'appliquer les correctifs en temps opportun.
2. Un service de raccourcissement de liens abuse du domaine de premier niveau .US
Des chercheurs surveillent de près un acteur malveillant spécialisé dans les attaques DNS, baptisé « » (Puma prolifique) (s'ouvre dans un nouvel onglet), qui crée des noms de domaine à l'aide d'un algorithme de génération de domaines enregistrés (RDGA) et les utilise pour fournir un service de raccourcissement de liens à d'autres acteurs malveillants à des fins de hameçonnage et d'autres activités malveillantes. Ce service de raccourcissement de liens fait un usage abusif du domaine de premier niveau (TLD) .US.
Qu'est-ce que « Prolific Puma » ?
Prolific Puma joue un rôle mineur au sein de la chaîne d'approvisionnement cybercriminelle en permettant à d'autres cybercriminels de mener des activités malveillantes. Ce groupe génère de manière algorithmique un grand nombre de noms de domaine et les utilise pour créer des liens raccourcis. D'autres acteurs malveillants utilisent ces liens pour dissimuler leurs activités.
Des chercheurs ont découvert des mentions des services de raccourcissement de liens de « Prolific Puma » ( ) : (s'ouvre dans un nouvel onglet),et , dont les origines remontent à janvier 2020. Les liens raccourcis sont principalement envoyés aux victimes par SMS. Toutefois, ils pourraient également être utilisés dans d'autres contextes.
Détection et caractéristiques des noms de domaine
Infoblox a regroupé les journaux de requêtes DNS passives avec d'autres sources de données afin de réaliser une série d'analyses sur les domaines récemment interrogés, enregistrés ou configurés. Cela leur a permis de caractériser ces domaines, d'en signaler certains comme suspects et d'en attribuer d'autres à un acteur malveillant spécifique dans le domaine du DNS. Ils ont mis en œuvre des algorithmes de détection des RDGA au début de cette année, ce qui leur a permis d'identifier des groupes de domaines Prolific Puma.
Le lien entre les domaines « Prolific Puma » et les véritables pages de destination finales est indirect. Le trafic malveillant est réparti entre les domaines de redirection en faibles volumes, ce qui permet à certains d'entre eux d'acquérir une « bonne » réputation grâce à un vieillissement stratégique.
Prolific Puma a enregistré entre 35 000 et 75 000 domaines uniques depuis le avril 2022, avec environ 43 nouveaux domaines recensés chaque jour. L'acteur utilise principalement NameSilo comme registraire de noms de domaine et laisse stratégiquement les domaines « vieillir » avant de commencer à héberger son service auprès de fournisseurs anonymes. Cet acteur abuse constamment du TLD .US et est connu pour enregistrer aussi bien des domaines nouveaux que des domaines libérés.
Les noms de domaine sont alphanumériques, générés de manière pseudo-aléatoire et comptent généralement entre trois et quatre caractères. Ces domaines sont également enregistrés sous 12 extensions de premier niveau (TLD), dont environ 55 % le sont sous l'extension .US.
Utilisation abusive du domaine de premier niveau .US
Seuls les citoyens américains et les entreprises liées aux États-Unis peuvent enregistrer des noms de domaine .US. Pour enregistrer un nom de domaine .US auprès de NameSilo, vous devez disposer d'une adresse e-mail et sélectionner une catégorie qui indique votre lien avec les États-Unis. On a observé que Puma, très actif, choisissait la catégorie « Citoyen américain ».
Le déclarant doit également fournir un nom, une adresse et un numéro de téléphone — informations qui ne semblent pas faire l'objet d'une vérification au cours de la procédure. Il s'agit d'un problème récurrent pour de nombreux TLD, car il est difficile pour un bureau d'enregistrement de contrôler les noms de domaine.
Comment la marque Puma, très prolifique, tire parti du vieillissement stratégique
Les acteurs malveillants ciblant le DNS sont similaires à ceux qui ciblent les logiciels malveillants, mais ils laissent très peu d'informations exploitables dans les enregistrements DNS et d'enregistrement de domaines. Prolific Puma préfère recourir à l'enregistrement de noms de domaine privés, mais continue de s'appuyer largement sur les enregistrements de TLD qui doivent obligatoirement être publics.
L'acteur laissera le nom de domaine inutilisé ou « en attente » pendant plusieurs semaines après son enregistrement, une technique que l'on appelle le « vieillissement stratégique ». Cette mesure est prise délibérément, car de nombreuses attaques de hameçonnage sont liées à des domaines nouvellement enregistrés et certaines entreprises bloquent l'accès à ces derniers en réaction à ce phénomène. Au cours de ce processus de maturation, l'acteur malveillant effectuera quelques requêtes DNS afin de donner une bonne réputation au domaine.
Il semblerait que Prolific Puma fournisse un service à d'autres acteurs malveillants et que les pages de destination finales ne soient pas sous son contrôle — bien que cela soit possible. On ignore également comment Prolific Puma fait la promotion de ses services et comment ses utilisateurs reçoivent l'URL raccourcie.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les chercheurs consacrent souvent beaucoup de temps à examiner le point de départ et le point d'arrivée d'une campagne malveillante, c'est-à-dire la page de destination. Ce que nous observons avec Prolific Puma, c'est le maillon intermédiaire de la chaîne d'approvisionnement cybercriminelle au sens large, et la manière dont ces acteurs malveillants spécialisés dans le DNS peuvent faciliter davantage les agissements d'autres cybercriminels. C'est ce qui rend Prolific Puma et son service de raccourcissement de liens si intéressants.
3. Des pirates informatiques ciblent les experts en cryptomonnaies à l'aide du logiciel malveillant KANDYKORN
Des acteurs malveillants nord-coréens ciblent désormais les ingénieurs spécialisés dans la blockchain travaillant pour une plateforme d'échange de cryptomonnaies à l'aide d'un nouveau logiciel malveillant pour macOS, (s'ouvre dans un nouvel onglet) baptisé KANDYKORN.
Cette activité, dont les origines remontent à avril 2023, repose sur une combinaison de solutions sur mesure et open source et recoupe les activités du groupe Lazarus.
Le déroulement de l'exécution
Dans cet exemple, les auteurs de la menace ont commencé par se faire passer pour des membres de la communauté des ingénieurs spécialisés dans la blockchain sur un serveur Discord public. L'acteur a ensuite eu recours à l'ingénierie sociale pour convaincre les victimes de télécharger et de décompresser une archive ZIP contenant du code malveillant, en leur faisant croire qu'elles installaient un « bot d'arbitrage », c'est-à-dire un outil logiciel permettant de tirer profit des écarts de cours des cryptomonnaies entre différentes plateformes.
Cette chaîne d'attaques aboutit finalement à la diffusion du logiciel malveillant KANDYKORN.
- Droppers de la phase 1 : testSpeed.py et FinderTools sont deux droppers utilisés lors de la première phase de l'attaque.
Le fichier testSpeed.py établit une connexion sortante et récupère un fichier Python supplémentaire à partir d'une URL Google Drive (FinderTools). testSpeed.py enregistre ensuite ce nouveau fichier et l'exécute.
FinderTools est un énième « dropper » qui télécharge et exécute une charge utile cachée de deuxième phase (.sld).
- Charge utile de l'étape 2 : Cette étape consiste à exécuter un fichier binaire obfusqué nommé SUGARLOADER. Ce fichier binaire est utilisé à deux reprises sous deux noms distincts, à savoir .sld et .log. Il sert à la connexion initiale sur la machine, puis à l'initialisation de l'environnement pour la phase finale. Son objectif principal est de se connecter à un serveur C2 afin de télécharger et d'exécuter la charge utile de la phase finale, KANDYKORN.
SUGARLOADER s'assurera que le fichier de configuration existe, qu'il est chargé en mémoire et qu'il est déchiffré avant d'établir une connexion avec le serveur distant. La dernière étape consiste à télécharger la charge utile de la phase finale depuis le serveur C2 et à l'exécuter. Cet acteur exploite une technique appelée « chargement binaire réflexif », qui permet d'exécuter une charge utile à partir d'un tampon en mémoire. SUGARLOADER charge de manière réflexive le fichier binaire KANDYKORN.
- Discord du chargeur « Stage 3 » : Au cours de cette phase de l'attaque, une charge utile appelée HLOADER tente de se faire passer pour l'application Discord légitime. Elle a été identifiée à l'aide d'une technique de signature de code binaire macOS qui avait déjà été associée à l'intrusion « 3CX » du groupe Lazarus.
Pour assurer sa persistance, l'acteur exploite le détournement du flux d'exécution. L'objectif principal du chargeur est d'exécuter le bundle Discord légitime ainsi que la charge utile .log mentionnée précédemment, qui sert à exécuter des fichiers binaires Mach-O à partir de la mémoire.
- Étape 4 KANDYKORN : KANDYKORN constitue la dernière étape de la chaîne d'exécution et dispose d'un ensemble complet de fonctionnalités permettant d'accéder aux données et de les exfiltrer.
Ses processus sont créés par fork et s'exécutent en arrière-plan sous forme de démons avant de charger leur fichier de configuration. Une fois la communication établie, KANDYKORN attendra les commandes provenant du serveur C2 au lieu d'effectuer des interrogations pour les obtenir. Parmi les commandes disponibles, on trouve notamment la collecte d'informations, le transfert de fichiers, l'archivage d'un répertoire, ainsi que l'exfiltration, le remplacement et la suppression de fichiers, l'arrêt de processus, le lancement d'un shell, le téléchargement d'un nouveau fichier de configuration, et bien d'autres encore. Vous trouverez la liste complète des commandes prises en charge dans le rapport d'Elastic.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce n'est pas la première fois qu'un groupe lié à Lazarus utilise un logiciel malveillant ciblant macOS. Cela semble toutefois indiquer que l'acteur malveillant pourrait commencer à privilégier les logiciels malveillants ciblant macOS. Bien que cette attaque semble viser spécifiquement le secteur des cryptomonnaies, bon nombre des autres TTP ne sont pas propres à ce cas et pourraient donc réapparaître à l'avenir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
