Cette semaine, nous examinons un rapport Sentinel One qui révèle une augmentation récente du nombre de charges utiles Geacon soumises à la plateforme d’analyse des logiciels malveillants VirusTotal. Ensuite, vous trouverez un aperçu d’un rapport Proofpoint sur la décision de Microsoft l’année dernière de désactiver les macros par défaut dans les documents provenant d’Internet, et son impact sur le paysage des cybermenaces. Enfin, CTI examine un nouveau rapport de Check Point sur la manière dont les cybercriminels ciblent Microsoft VSCode Marketplace. Trois extensions Visual Studio malveillantes auraient été téléchargées sur Marketplace qui, au moment de la publication, avaient été téléchargées 46 600 fois par les développeurs Windows.
1. Les pirates informatiques utilisent la variante Golang de Cobalt Strike pour cibler les systèmes macOS
SentinelOne a observé une augmentation du nombre de charges utiles Geacon apparaissant sur VirusTotal au cours des derniers mois.
Les organisations utilisent généralement Geacon, une mise en œuvre Golang de Cobalt Strike, ainsi que Cobalt Strike pour les engagements d’équipe rouge. Il s’avère que les acteurs malveillants utilisent également Geacon pendant les attaques.
Voici quelques informations générales sur Geacon :
- Geacon est apparu pour la première fois il y a plusieurs années sur GitHub en tant que variante Go de Cobalt Strike Beacon. Bien qu’il existe depuis un certain temps, SentinelOne n’avait observé son déploiement sur les cibles macOS que récemment.
- SentinelOne a analysé les charges utiles de Geacon sur VirusTotal et a remarqué ce qui semble être un changement à la hausse de la popularité de deux fourches Geacon développées par un développeur chinois anonyme.
- Le développeur derrière Geacon utilise la poignée z3ratu1 et a noté récemment octobre 2022 que « un jour, je viens de faire des achats et j’ai vu cette balise de projet, donc ce projet de jouet et son guide de développement sont apparus. » La première charge utile Geacon a été soumise à VirusTotal peu après la publication du développeur.
- D’ici avril 2023, le public geacon_plus et le privé (et potentiellement à vendre ?) Les projets geacon_pro (tous deux développés par la même personne) avaient gagné près de 1 000 étoiles. Les projets ont également été ajoutés au projet 404 Starlink, qui est un référentiel public d’équipes rouges open source et d’outils de test de pénétration. Pendant cette même période, deux charges utiles Geacon différentes ont été soumises à VirusTotal qui ont déclenché l’enquête de SentinelOne.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien qu’il soit probable que certaines des observations de SentinelOne fassent partie de l’utilisation légitime de tests d’équipe rouge/pénétration, il est également tout aussi probable que les acteurs malveillants utilisent également cet outil dans le cadre d’attaques malveillantes. »
« Nous avons vu à quel point Cobalt Strike est populaire parmi les cybercriminels, et l’augmentation observée des échantillons de Geacon téléchargés sur VirusTotal fait certainement une question si Geacon deviendra le prochain outil de choix pour les cybercriminels. »
2. Les cybercriminels s’adaptent à la fonctionnalité de blocage macro de Microsoft
Proofpoint signale que la février 2022 décision de Microsoft de désactiver les macros par défaut dans les documents provenant d’Internet a forcé les cybercriminels à développer des chaînes d’attaque très différentes.
Microsoft a annoncé qu’elle commencerait à bloquer les macros XL4 et VBA par défaut pour les utilisateurs Office dans octobre 2021 et février 2022 respectivement. Les changements ont commencé à être déployés en 2022.
Le paragraphe d’introduction du rapport de Proofpoint explique parfaitement l’impact de la décision de Microsoft de bloquer les macros par défaut :
« L’écosystème cybercriminel a connu un changement monumental dans l’activité et le comportement des menaces au cours de l’année passée, d’une manière qui n’a pas été observée auparavant par les chercheurs sur les menaces. Les acteurs malveillants motivés financièrement qui obtiennent un accès initial par e-mail n’utilisent plus de chaînes d’attaque statiques et prévisibles, mais plutôt des techniques dynamiques et en évolution rapide. »
Le mouvement du géant des logiciels a forcé pratiquement tous les nœuds de la chaîne alimentaire des cybermenaces, des acteurs de produits de base à petitecriminalité aux cybercriminels les plus expérimentés, à changer considérablement leur façon de mener leurs activités.
Principales conclusions du rapport
Grâce au point de vue de Proofpoint sur sa télémétrie et sa capacité à analyser des milliards de messages chaque jour, le fournisseur est particulièrement bien placé pour extraire des conclusions importantes sur le paysage des cybermenaces.
Parmi ces résultats :
- Les principaux acteurs de la cybercriminalité utilisent désormais des ensembles de tactiques, techniques et procédures de plus en plus diversifiés.
- Les courtiers d’accès initiaux et autres acteurs malveillants « suivent souvent le leader » en utilisant diverses techniques.
- Les défenseurs doivent réagir rapidement au paysage en constante évolution des menaces d’une manière qui n’a pas été observée auparavant par les chercheurs.
- Certains acteurs cybercriminels majeurs disposent des ressources nécessaires pour rechercher et développer de nouvelles chaînes d’attaque complexes.
Le quart commence
Avant 2022, les macros étaient l’arme de choix pour les cybercriminels cherchant à armer les documents de leurre avec des scripts malveillants conçus pour faciliter le téléchargement des charges utiles des logiciels malveillants d’accès initial sur les systèmes ciblés pendant les campagnes d’hameçonnage par e-mail.
Depuis Proofpoint :
Les macros VBA sont utilisées par les acteurs malveillants pour exécuter automatiquement du contenu malveillant lorsqu’un utilisateur a activement activé les macros dans les applications Office. XL4 macros sont spécifiques à l’application Excel, mais peuvent également être armées par les acteurs malveillants. Généralement, les acteurs malveillants qui distribuent des documents macros s’appuient sur l’ingénierie sociale pour convaincre un destinataire que le contenu est important, et l’activation des macros est nécessaire pour le visualiser.
Depuis que Microsoft a mis en œuvre la politique de blocage des macros, les rapports de Proofpoint ont continuellement mis en évidence les diverses nouvelles façons dont les acteurs malveillants avaient commencé à s’éloigner de l’utilisation des macros.
Ces techniques comprenaient :
- L’utilisation de fichiers d’archive, tels que des pièces jointes ISO, pour fournir des logiciels malveillants. Cette technique a été exploitée par des cybercriminels cherchant à contourner la vérification par Microsoft des attributs de marque du Web (MOTW) des fichiers, que le géant du logiciel utilisait pour bloquer les macros dans les documents téléchargés sur Internet.
- L’utilisation de raccourcis ou de fichiers LNK a également été privilégiée, du moins initialement, comme technique par un large éventail de cybercriminels. Cette tactique était particulièrement populaire parmi divers acteurs classés comme IAB. Depuis Proofpoint :
« Proofpoint a observé que les pièces jointes LNK utilisées par au moins huit grands acteurs de la menace d’ecrime considéraient les IAB, leur utilisation ayant atteint un pic en juin et septembre 2022 avant que les acteurs ne commencent à basculer vers de nouveaux TTP. »
- Les fichiers XLL, un type de fichier DLL (Dynamic Link Library) pour Excel conçu pour augmenter la fonctionnalité de l’application, ont également commencé à être utilisés par les grands acteurs de l’ecrime. Finalement, Proofpoint « a observé au moins six grands acteurs de l’ecrime expérimenter des fichiers XLL dans la livraison de logiciels malveillants et plusieurs clusters de menaces non attribués, mais les fichiers XLL sont beaucoup moins utilisés que d’autres types de fichiers et n’ont pas connu d’augmentation notable de l’utilisation dans le paysage des menaces. »
- La contrebande HTML a également augmenté de manière significative parmi les données de campagne observées par Proofpoint depuis 2022. Comme son nom l’indique, cette stratégie implique la « contrebande » d’un script codé dans une pièce jointe HTML apparemment inoffensive. Lorsqu’il est ouvert, le navigateur Web des utilisateurs décode le script malveillant destiné à assembler la charge utile du logiciel malveillant sur l’ordinateur des victimes.
- L’utilisation de fichiers PDF par divers acteurs malveillants est une technique populaire depuis que Proofpoint a commencé à suivre les acteurs malveillants. Après la mise en œuvre par Microsoft de la politique de blocage des macros, les chercheurs de Proofpoint ont observé des pièces jointes PDF de plus en plus utilisées par plusieurs acteurs de menaces suivies et des IAB connus.
L’essor des IAB
L’un des changements les plus importants à avoir eu lieu ces dernières années, et l’un certainement affecté par la politique de Microsoft, est peut-être la dépendance accrue aux courtiers d’accès initiaux (IAB) par les cybercriminels majeurs, les gangs de ransomwares et d’autres opérations malveillantes.
Il est courant que les acteurs malveillants achètent l’accès à des groupes indépendants de cybercriminels qui se spécialisent dans l’infiltration de cibles de grande valeur et vendent un accès précieux aux rançongiciels ou à d’autres extorsionnistes à des fins de profit.
Depuis Proofpoint :
Généralement, les IAB sont des acteurs de menace opportunistes fournissant un accès aux affiliés et autres acteurs de menace de cybercriminalité après les faits, par exemple en faisant de la publicité pour l’accès à la vente sur des forums. Aux fins de ce rapport, Proofpoint considère les IAB comme les groupes qui obtiennent un accès initial via des charges utiles de malware de premier niveau et peuvent ou non travailler directement avec les acteurs de la menace de ransomware. Ces auteurs de menaces criminelles compromettent les organisations victimes avec des logiciels malveillants de premier niveau tels que Qbot, IcedID ou Bumblebee, puis vendent leur accès aux opérateurs de ransomware pour déployer des opérations de vol de données et de chiffrement.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Alors que les défenses continuent d’évoluer et de devenir plus robustes, la CTI s’attend à ce que les acteurs malveillants continuent à expérimenter de nouvelles techniques et méthodes de livraison de logiciels malveillants. »
Proofpoint partage ces sentiments :
L’expérimentation et le passage régulier à de nouvelles techniques de mise à disposition de la charge utile par les acteurs de menaces suivis, en particulier les IAB, sont très différents des chaînes d’attaque observées avant 2022 et annoncent une nouvelle normalité de l’activité des menaces. Les cybercriminels les plus expérimentés ne s’appuient plus sur une ou plusieurs techniques, mais ils développent et itèrent fréquemment de nouveaux TTP. Le taux de changement rapide pour de nombreux acteurs malveillants suggère qu’ils ont le temps, la capacité et la compréhension du paysage des menaces pour développer et exécuter rapidement de nouvelles techniques.
« Le rythme croissant d’adoption de nouvelles techniques par les cybercriminels d’aujourd’hui est source de ramifications pour les professionnels de la sécurité qui font de leur mieux pour se défendre contre eux. CTI continuera de faire de son mieux pour se tenir au courant des dernières tendances afin d’émerger du paysage des cybermenaces et de les diffuser de manière appropriée auprès de nos autres parties prenantes. »
3. Les extensions malveillantes de VSCode Marketplace volent les mots de passe, ouvrent des shells distants
Un nouveau rapport des analystes de Check Point révèle que les cybercriminels ont commencé à cibler Microsoft VSCode Marketplace.
Trois extensions Visual Studio malveillantes ont été téléchargées sur Marketplace, qui, au moment de la publication, avait été téléchargée 46 600 fois par les développeurs Windows.
À propos de Visual Studio Code Marketplace
Visual Studio Code est un éditeur de code source gratuit populaire proposé par Microsoft aux développeurs Windows à la recherche d’un environnement de codage efficace et personnalisable capable de prendre en charge une grande variété de langages de programmation, de cadres et d’outils.
Microsoft propose également VSCode Extensions Marketplace, que Check Point décrit comme un « hub central où les développeurs peuvent découvrir et installer de nouvelles extensions pour améliorer leur expérience de codage ». Le Marketplace contient des extensions Microsoft officielles et tierces développées par la communauté, ces extensions étant actuellement d’environ 50 000.
Ces extensions VSCode sont des modules complémentaires conçus pour être installés par les développeurs afin de mettre à niveau la fonctionnalité de leur éditeur. Ils peuvent ajouter de nouvelles fonctionnalités, faciliter la prise en charge de nouveaux langages de programmation et s’intégrer à des outils et ressources externes.
D’autre part, les extensions malveillantes présentent un risque de sécurité important pour les utilisateurs de diverses manières.
Extensions malveillantes
Les extensions VSCode malveillantes peuvent installer des logiciels malveillants, voler des données d’utilisateur et effectuer d’autres actions nuisibles. Selon Check Point, le logiciel malveillant contenu dans ces extensions Visual Studio a permis aux attaquants de voler les enregistrements d’informations personnellement identifiables (PII) des utilisateurs et d’installer des shells à distance sur les appareils des victimes.
Les extensions ont été découvertes et signalées sur 4 mai 2023, et supprimées de Marketplace sur 14 mai. Ils comprenaient « Theme Dracula Dark », « python-vscode » et « la plus jolie Java ».
Bien que Check Point ait également découvert plusieurs extensions suspectes, celles qui ne pouvaient pas être décrites comme malveillantes avec un degré élevé de certitude, mais qui ont démontré un comportement dangereux, Microsoft a fait un travail louable en mettant en œuvre plusieurs mesures de sécurité pour le marché des extensions VSCode. Cela comprend l’ajout d’outils d’analyse automatique des extensions qui détectent et suppriment les extensions malveillantes de Marketplace et la possibilité d’examiner et de noter les utilisateurs pour faciliter l’identification et le signalement des extensions malveillantes.
Check Point affirme qu’avant la découverte des trois extensions malveillantes, pratiquement aucune extension malveillante n’avait été publiée sur la Marketplace qui a été détectée par la suite comme nuisible. Cependant, Check Point insiste également sur le fait que les extensions malveillantes que ses analystes ont découvertes ne sont pas nouvelles. La plupart d’entre eux ont plus d’un an. Ainsi, quels que soient les types de contrôles et de vérifications qui peuvent être en place, il existe toujours un certain degré de risque impliqué dans la publication et l’utilisation des composants open source.
Référentiels logiciels et risque de la chaîne d’approvisionnement
Il y a toujours un degré de risque impliqué avec les composants open source. Il en va de même pour les référentiels logiciels qui autorisent les contributions des utilisateurs. Par exemple, des référentiels tels que NPM et PyPI ont prouvé à plusieurs reprises qu’ils contenaient des risques inhérents, car ils sont devenus des cibles de plus en plus attrayantes pour les acteurs de la cybermenace.
Bien que l’ajout de VSCode Marketplace à la liste des référentiels ciblés par les cybercriminels puisse être une surprise pour certains, BleepingComputer a souligné que « AquaSec a démontré en janvier qu’il était assez facile de télécharger des extensions malveillantes sur VSCode Marketplace et a présenté des cas hautement suspects. Cependant, ils n’ont pas pu trouver de logiciel malveillant. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les attaques de la chaîne d’approvisionnement logicielle devenant de plus en plus fréquentes et percutantes, il est plus important que jamais d’examiner soigneusement chaque composant logiciel sur lequel les développeurs s’appuient pour effectuer leurs tâches quotidiennes. »
« Il n’y a jamais de garantie que les packages logiciels open source sont sûrs. Il en va de même pour les référentiels qui les hébergent. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
