Cette semaine, nous nous penchons sur un rapport de Sentinel One qui révèle une récente augmentation du nombre de charges utiles Geacon soumises à la plateforme d'analyse de logiciels malveillants VirusTotal. Nous allons maintenant vous présenter un aperçu d’un rapport de Proofpoint consacré à la décision prise l’année dernière par Microsoft de désactiver par défaut les macros dans les documents provenant d’Internet, ainsi qu’à son impact sur le paysage des cybermenaces. Enfin, CTI se penche sur un nouveau rapport de Check Point concernant la manière dont les cybercriminels ciblent le Microsoft VSCode Marketplace. Trois extensions Visual Studio malveillantes auraient été mises en ligne sur le Marketplace ; au moment de la publication de cet article, elles avaient été téléchargées 46 600 fois par des développeurs Windows.
1. Des pirates informatiques utilisent une variante de Cobalt Strike écrite en Golang pour cibler les systèmes macOS
SentinelOne a constaté une augmentation du nombre de charges utiles Geacon (s'ouvre dans un nouvel onglet) apparaissant sur VirusTotal ces derniers mois.
Les organisations utilisent couramment Geacon — une implémentation de Cobalt Strike en Go — en complément de Cobalt Strike pour leurs exercices de « red team ». Il s'avère que les cybercriminels utilisent également Geacon lors de leurs attaques.
Voici quelques informations générales sur Geacon :
- Geacon a fait son apparition il y a plusieurs années sur GitHub en tant que variante en Go de Cobalt Strike Beacon. Bien qu'il existe depuis un certain temps déjà, SentinelOne n'avait pas constaté son déploiement sur des cibles macOS jusqu'à récemment.
- SentinelOne a analysé les charges utiles Geacon sur VirusTotal et a constaté ce qui semble être une hausse de la popularité de deux variantes de Geacon développées par un développeur chinois anonyme.
- Le développeur à l'origine de Geacon utilise le pseudonyme « z3ratu1 » et a déclaré fin octobre 2022 : « Un jour, je suis simplement allé faire des courses et j'ai découvert ce projet, Geacon. C'est ainsi que ce projet ludique et son guide de développement ont vu le jour. » La première charge utile Geacon a été soumise à VirusTotal peu après la publication du message du développeur.
- Par avril 2023, le compte public geacon_plus et le compte privé (et peut-être à vendre ?) Les projets « geacon_pro » (tous deux développés par la même personne) avaient recueilli près de 1 000 étoiles. Ces projets ont également été ajoutés au projet « 404 Starlink », qui est un référentiel public d'outils open source dédiés aux simulations d'attaques (red team) et aux tests d'intrusion. Au cours de cette même période, deux charges utiles Geacon distinctes ont été soumises à VirusTotal, ce qui a déclenché l'enquête de SentinelOne.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« S'il est probable que certaines des observations de SentinelOne s'inscrivent dans le cadre d'utilisations légitimes de tests de pénétration ou d'exercices de « red team », il est tout aussi probable que des acteurs malveillants utilisent également cet outil dans le cadre d'attaques malveillantes. »
« Nous avons pu constater à quel point Cobalt Strike est populaire auprès des cybercriminels, et l'augmentation observée du nombre d'échantillons de Geacon mis en ligne sur VirusTotal nous amène certainement à nous demander si Geacon ne deviendra pas le prochain outil de prédilection des cybercriminels. »
2. Les cybercriminels s'adaptent à la fonctionnalité de blocage des macros de Microsoft
Proofpoint indique que la décision de Microsoft février 2022 de désactiver par défaut les macros (s'ouvre dans un nouvel onglet) dans les documents provenant d'Internet a contraint les cybercriminels à mettre au point des chaînes d'attaque radicalement différentes.
Microsoft a annoncé qu'il commencerait à bloquer par défaut les macros XL4 et VBA pour les utilisateurs d'Office, respectivement dans les versions « octobre 2021 » et «février 2022 ». Les modifications ont commencé à être mises en place dans la version 2022.
Le paragraphe d'introduction du rapport de Proofpoint explique très bien l'ampleur de l'impact qu'a eu la décision de Microsoft de bloquer les macros par défaut :
« L’écosystème cybercriminel a connu, au cours de l’année écoulée, une évolution considérable de ses activités et du comportement des menaces, d’une ampleur jamais observée auparavant par les chercheurs spécialisés dans ce domaine. » « Les acteurs malveillants motivés par l'appât du gain qui obtiennent un accès initial par e-mail n'utilisent plus de chaînes d'attaque statiques et prévisibles, mais plutôt des techniques dynamiques qui évoluent rapidement. »
La décision prise par ce géant de l'informatique a contraint pratiquement tous les maillons de la chaîne des cybercriminels — des petits délinquants spécialisés dans le commerce de produits illicites aux cybercriminels les plus expérimentés — à modifier radicalement leur mode opératoire.
Principales conclusions du rapport
Grâce à la vision globale dont dispose Proofpoint sur ses données télémétriques et à sa capacité à analyser des milliards de messages chaque jour, ce fournisseur est particulièrement bien placé pour tirer des conclusions importantes sur le paysage des cybermenaces.
Parmi ces conclusions, on peut citer :
- Les principaux acteurs de la cybercriminalité ont désormais recours à un éventail de plus en plus varié de tactiques, de techniques et de procédures.
- Les intermédiaires d'accès initial et autres acteurs malveillants ont souvent tendance à « suivre le mouvement » en recourant à diverses techniques.
- Les défenseurs doivent réagir rapidement à un paysage des menaces en constante évolution, d'une manière qui n'avait jamais été observée auparavant par les chercheurs.
- Certains acteurs majeurs de la cybercriminalité disposent des ressources nécessaires pour mener des travaux de recherche et de développement sur de nouvelles chaînes d'attaques complexes.
Le changement commence
Avant la version 2022, les macros « » constituaient l’arme de prédilection des cybercriminels cherchant à exploiter des documents leurres à l’aide de scripts malveillants conçus pour faciliter le téléchargement de charges utiles de logiciels malveillants d’accès initial sur les systèmes ciblés lors de campagnes de phishing par e-mail de type « ».
Source : Proofpoint :
Les macros VBA sont utilisées par les cybercriminels pour exécuter automatiquement du contenu malveillant lorsqu'un utilisateur a activé les macros dans les applications Office. XL4 de ces macros sont spécifiques à l'application Excel, mais peuvent également être détournées à des fins malveillantes par les cybercriminels. En règle générale, les auteurs de menaces qui diffusent des documents contenant des macros ont recours à l'ingénierie sociale pour convaincre le destinataire que le contenu est important et qu'il est nécessaire d'activer les macros pour le consulter.
Depuis que Microsoft a mis en place sa politique de blocage des macros, les rapports de Proofpoint n'ont cessé de mettre en évidence les différentes nouvelles méthodes utilisées par les auteurs de menaces pour s'affranchir de l'utilisation des macros.
Parmi ces techniques, on peut citer :
- L'utilisation de fichiers d'archives, tels que les pièces jointes au format ISO, pour diffuser des logiciels malveillants. Cette technique a été exploitée par des cybercriminels cherchant à contourner le contrôle effectué par Microsoft sur les attributs « Mark-of-the-Web » (MOTW) des fichiers, que le géant du logiciel utilisait pour bloquer les macros dans les documents téléchargés depuis Internet.
- L'utilisation de fichiers de raccourci ou de fichiers LNK a également été privilégiée — du moins au début — comme technique par un large éventail de cybercriminels. Cette tactique était particulièrement répandue parmi divers acteurs classés comme IAB. Source : Proofpoint :
« Proofpoint a constaté que des pièces jointes au format LNK étaient utilisées par au moins huit acteurs majeurs de la cybercriminalité considérés comme des IAB ; leur utilisation a atteint un pic en juin et en septembre 2022 , avant que ces acteurs ne se tournent vers de nouvelles TTP. »
- Les fichiers XLL — un type de fichier de bibliothèque de liens dynamiques (DLL) pour Excel, conçu pour étendre les fonctionnalités de l'application — ont également commencé à être utilisés par les principaux acteurs de la cybercriminalité. En fin de compte, Proofpoint « a observé qu’au moins six acteurs majeurs de la cybercriminalité avaient testé l’utilisation de fichiers XLL pour la diffusion de logiciels malveillants, ainsi que plusieurs groupes de menaces non identifiés ; toutefois, les fichiers XLL sont nettement moins utilisés que d’autres types de fichiers et leur utilisation n’a pas connu de hausse notable dans l’ensemble du paysage des menaces. »
- La contrebande de code HTML a également connu une hausse significative dans les données relatives aux campagnes observées par Proofpoint depuis le numéro 2022. Comme son nom l'indique, cette stratégie consiste à « dissimuler » un script codé dans une pièce jointe HTML en apparence inoffensive. Une fois ouvert, le navigateur Web de l'utilisateur décode le script malveillant destiné à installer la charge utile du logiciel malveillant sur l'ordinateur de la victime.
- L'utilisation de fichiers PDF par divers acteurs malveillants est une technique couramment employée depuis que Proofpoint a commencé à suivre ces acteurs. Suite à la mise en œuvre par Microsoft de la politique de blocage des macros, les chercheurs de Proofpoint ont constaté que les pièces jointes au format PDF étaient de plus en plus utilisées par plusieurs acteurs malveillants suivis et par des IAB connus.
L'essor des IAB
L'un des changements les plus marquants de ces dernières années — et qui a sans aucun doute été influencé par la politique de Microsoft — est sans doute le recours accru aux « courtiers en accès initial » (IAB) par les principaux cybercriminels, les groupes spécialisés dans les ransomwares et d'autres opérations de logiciels malveillants.
Il est courant que les auteurs de menaces achètent des accès auprès de groupes indépendants de cybercriminels spécialisés dans l'infiltration de cibles de grande valeur et vendent ces accès précieux à des auteurs de ransomware ou à d'autres extorqueurs dans un but lucratif.
Source : Proofpoint :
En règle générale, les IAB sont des acteurs malveillants opportunistes qui fournissent un accès à des affiliés et à d'autres acteurs de la cybercriminalité a posteriori, par exemple en proposant cet accès à la vente sur des forums. Aux fins du présent rapport, Proofpoint considère que les IAB sont les groupes qui obtiennent un accès initial par le biais de charges utiles de logiciels malveillants de première phase et qui peuvent ou non collaborer directement avec les auteurs de ransomware. Ces acteurs malveillants compromettent les organisations victimes à l'aide de logiciels malveillants de première phase tels que Qbot, IcedID ou Bumblebee, puis revendent leurs droits d'accès à des opérateurs de ransomware afin que ceux-ci mènent des opérations de vol et de chiffrement de données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« À mesure que les systèmes de défense continuent d'évoluer et de se renforcer, CTI s'attend à ce que les auteurs de menaces continuent d'expérimenter de nouvelles techniques et de nouveaux moyens de diffusion de logiciels malveillants. »
Proofpoint partage ce point de vue :
Les expérimentations menées par les acteurs malveillants identifiés, en particulier les IAB, ainsi que leur réorientation régulière vers de nouvelles techniques de diffusion de charges utiles, diffèrent considérablement des chaînes d'attaque observées avant l'opération 2022 et annoncent une nouvelle norme en matière d'activité malveillante. Les cybercriminels les plus expérimentés ne se contentent plus d’utiliser une ou quelques techniques, mais développent et perfectionnent régulièrement de nouvelles TTP. La rapidité avec laquelle évoluent de nombreux acteurs malveillants laisse supposer qu’ils disposent du temps, des capacités et d’une bonne compréhension du paysage des menaces nécessaires pour mettre au point et mettre en œuvre rapidement de nouvelles techniques.
« Le rythme toujours plus soutenu d'adoption de nouvelles techniques par les cybercriminels d'aujourd'hui a des répercussions sur les professionnels de la sécurité qui font de leur mieux pour s'en défendre. » « CTI continuera à faire de son mieux pour se tenir informée des dernières tendances qui se dessinent dans le domaine des cybermenaces et pour les diffuser de manière appropriée auprès de nos partenaires. »
3. Des extensions malveillantes du Marketplace de VSCode volent des mots de passe et ouvrent des shells à distance
Un nouveau rapport rédigé par les analystes de Check Point révèle que les cybercriminels ont commencé à cibler la boutique Microsoft VSCode Marketplace de l' . (s'ouvre dans un nouvel onglet)
Trois extensions Visual Studio malveillantes auraient été mises en ligne sur le Marketplace ; au moment de la publication de cet article, elles avaient été téléchargées 46 600 fois par des développeurs Windows.
À propos du Marketplace de Visual Studio Code
Visual Studio Code est un éditeur de code source gratuit et très populaire proposé par Microsoft aux développeurs Windows à la recherche d'un environnement de développement efficace et personnalisable, capable de prendre en charge une grande variété de langages de programmation, de frameworks et d'outils.
Microsoft propose également la boutique d'extensions VSCode, que Check Point décrit comme « une plateforme centrale où les développeurs peuvent découvrir et installer de nouvelles extensions afin d'améliorer leur expérience de programmation ». Le Marketplace propose des extensions officielles de Microsoft ainsi que des extensions tierces développées par la communauté ; leur nombre s'élève actuellement à environ 50 000.
Ces extensions VSCode sont des modules complémentaires conçus pour être installés par les développeurs afin d'améliorer les fonctionnalités de leur éditeur. Ils peuvent ajouter de nouvelles fonctionnalités, faciliter la prise en charge de nouveaux langages de programmation et s'intégrer à des outils et ressources externes.
En revanche, les extensions malveillantes représentent un risque de sécurité important pour les utilisateurs, et ce de diverses manières.
Extensions malveillantes
Les extensions VSCode malveillantes peuvent installer des logiciels malveillants, voler des données utilisateur et effectuer d'autres actions nuisibles. Selon Check Point, le logiciel malveillant contenu dans ces extensions Visual Studio permettait aux pirates de dérober les données personnelles identifiables (PII) des utilisateurs et d'installer des shells à distance sur les appareils des victimes.
Ces extensions ont été découvertes et signalées sur 4 mai 2023, puis retirées du Marketplace sur 14 mai. Parmi celles-ci figuraient « Theme Dracula Dark », « python-vscode » et « prettiest java ».
Alors que Check Point aurait également découvert plusieurs extensions suspectes — celles qui ne pouvaient pas être qualifiées de malveillantes avec un haut degré de certitude, mais qui présentaient un comportement dangereux —, Microsoft a fait un travail remarquable en mettant en place plusieurs mesures de sécurité pour la boutique d'extensions VSCode (s'ouvre dans un nouvel onglet). Cela implique notamment l'ajout d'outils d'analyse automatique des extensions, capables de détecter et de supprimer les extensions malveillantes de la boutique en ligne, ainsi que la mise en place d'un système d'avis et de notes par les utilisateurs afin de faciliter l'identification et le signalement des extensions malveillantes.
Check Point affirme qu'avant la découverte de ces trois extensions malveillantes, pratiquement aucune extension malveillante n'avait été publiée sur le Marketplace et n'avait par la suite été identifiée comme nuisible. Toutefois, Check Point tient également à souligner que les extensions malveillantes découvertes par ses analystes ne sont pas nouvelles. La plupart d'entre eux ont plus d'un an. Ainsi, quels que soient les types de contrôles et de vérifications mis en place, la publication et l'utilisation de composants open source comportent toujours un certain degré de risque.
Les référentiels logiciels et les risques liés à la chaîne d'approvisionnement
L'utilisation de composants open source comporte toujours un certain degré de risque. Il en va de même pour les référentiels de logiciels qui permettent aux utilisateurs d'apporter leur contribution. Par exemple, il a été démontré à maintes reprises que des référentiels tels que NPM et PyPI comportent des risques inhérents, car ils sont devenus des cibles de plus en plus attractives pour les auteurs de cybermenaces.
Si l'ajout du VSCode Marketplace à la liste des référentiels ciblés par les cybercriminels peut en surprendre certains, BleepingComputer a souligné qu’« AquaSec a démontré en janvier qu’il était relativement facile de mettre en ligne des extensions malveillantes sur le VSCode Marketplace et a présenté quelques cas particulièrement suspects. » « Cependant, ils n’ont pu détecter aucun logiciel malveillant. »
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les attaques visant la chaîne d'approvisionnement logicielle devenant de plus en plus fréquentes et de plus en plus graves, il est plus important que jamais de vérifier minutieusement chaque composant logiciel sur lequel s'appuient les développeurs pour accomplir leurs tâches quotidiennes. »
« Il n'y a jamais aucune garantie que les logiciels libres soient sûrs. » Il en va de même pour les référentiels qui les hébergent. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
