Dans le résumé de cette semaine, CTI enquête sur une campagne liée à Microsoft Teams qui fournit un malware DarkGate Loader. Ensuite, vous trouverez un aperçu d’une campagne d’hameçonnage qui propage une nouvelle variante d’Agent Tesla. Enfin, CTI examine une variante de logiciel malveillant de Chaes avancée qui utilise une mise en œuvre personnalisée du protocole Google DevTools pour obtenir un accès direct aux fonctions du navigateur.
1. Les pirates informatiques ciblent Microsoft Teams avec des logiciels malveillants DarkGate Loader
Truesec a récemment mené une enquête sur une campagne Microsoft Teams qui fournit aux victimes des programmes malveillants DarkGate Loader . Dans cette campagne, les acteurs malveillants envoient des messages de chat compromis à des comptes Office 365 externes et utilisent l’ingénierie sociale pour inciter les victimes à télécharger et à ouvrir des fichiers malveillants.
Qui envoie DarkGate Loader ?
Truesec a utilisé l’outil eDiscovery de Microsoft Purview pour rechercher les expéditeurs dans Microsoft Teams. Ils ont identifié les deux expéditeurs comme :
- Akkaravit Tattamanas (63090101@my.buu.ac[0,]e)
- ABNER DAVID RIVERA ROJAS (adriverar@unadvirtual.edu[.]co).
Les chercheurs ont confirmé que ces deux comptes ont été compromis via des logiciels malveillants inconnus et mis en vente sur le dark web en août 2023. Ils ont pivoté pour recueillir plus d’informations sur le locataire O365 auquel les comptes appartenaient, en utilisant les domaines répertoriés pour rechercher des messages supplémentaires.
Les deux expéditeurs ont utilisé un leurre identique contenant un lien vers un fichier. Le fichier est appelé « Modifications apportées au fichier vacation schedule.zip » et est hébergé sur SharePoint. Si la victime clique sur l’URL dans le message Teams, elle est dirigée vers le site SharePoint où le fichier est disponible pour téléchargement. Microsoft Defender a depuis identifié le fichier comme « BAT/Tisifi.A# ».
Analyse du logiciel malveillant
Le fichier ZIP contient un fichier LNK malveillant se présentant comme un document PDF. Truesec a extrait la ligne de commande qu’il exécuterait et a constaté qu’elle déclencherait le téléchargement et l’exécution d’un autre fichier.
Les commandes utilisent une version Windows de cURL, renommée wbza, pour télécharger et exécuter Autoit3.exe et le script groupé eszexz.au3. Le script AutoIT pré-compilé masque le code au milieu du fichier en recherchant les octets magiques.
AutoIT déposera un nouveau fichier contenant un shellcode et vérifiera si l’antivirus Sophos est installé avant l’exécution. Si Sophos est absent, le code supplémentaire dans le script AutoIT est désobfusqué pour lancer le shellcode. Lorsque le shellcode s’exécute, il charge octet par octet dans une technique de chaînes empilées pour créer un nouveau fichier. La charge utile peut ensuite être extraite de la mémoire et analysée. La charge utile a été identifiée comme DarkGate Loader sur VirusTotal.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce n’est pas la première fois que des acteurs malveillants tirent parti de Microsoft Teams pour mener des activités malveillantes. Par exemple, Microsoft a récemment identifié une campagne au cours de laquelle les acteurs russes de la menace ciblaient les organisations via Teams dans le but d’inciter les victimes à approuver les demandes d’AMF via l’ingénierie sociale. »
« Microsoft a déjà fourni des recommandations sur la manière d’aider à se protéger contre ces attaques. Cependant, cela revient finalement à l’importance de la formation et de l’éducation à la sensibilisation à la sécurité. »
2. La campagne d’hameçonnage tire parti de la nouvelle variante Agent Tesla
Fortinet a récemment observé une campagne d’hameçonnage qui propage une nouvelle variante Agent Tesla. La campagne exploite deux vulnérabilités plus anciennes de 2017 et 2018.
Bien que des correctifs pour ces vulnérabilités aient été publiés il y a plusieurs années, ils sont toujours populaires parmi les acteurs malveillants, ce qui suggère qu’il existe toujours des appareils non corrigés dans les années qui suivent.
L’e-mail d’hameçonnage
Les deux vulnérabilités exploitées dans cette campagne sont CVE-2017-11882 et CVE-2018-0802. Les deux sont des vulnérabilités d’exécution de code à distance (RCE) qui entraînent une corruption de la mémoire dans le processus EQNEDT32.exe lors de l’analyse des données d’équation élaborées. L’exploitation de ceux-ci peut entraîner une exécution arbitraire du code.
Le fichier Excel joint dans l’e-mail d’hameçonnage est au format OLE (object linking and embedding) et contient des données d’équation élaborées qui exploitent ces vulnérabilités, en exécutant finalement un shellcode malveillant.
Lorsque la victime ouvre le fichier joint, Excel affiche un message trompeur à l’utilisateur pendant l’exécution du shellcode à l’intérieur des données de l’équation élaborée en arrière-plan. Les données d’équation malveillante sont analysées automatiquement par un processus MS Office, EQNEDT32.exe, déclenchant la vulnérabilité CVE-2017-11882/CVE-2018-0802 et par la suite le shellcode malveillant.
Après l’auto-décryptage, le principal travail du shellcode est de télécharger et d’exécuter un fichier malveillant supplémentaire. Pour ce faire, il appellera plusieurs API pour télécharger le logiciel malveillant dans un dossier local et l’exécuter sur l’appareil de la victime.
Le fichier téléchargé
Le fichier téléchargé, dasHost.exe, est un programme .Net protégé par deux conditionneurs. Il extrait deux modules d’exécution sans fichier, l’un étant le module de charge utile d’Agent Tesla et l’autre étant un module de chargement dans le fichier de charge utile d’Agent Tesla.
Charge utile Tesla de l’agent
La fonction principale de cette charge utile, en dehors de la persistance, est d’effectuer un creusement du processus avant de placer un fichier exécutable décrypté sur le processus creux et de l’exécuter. Ce fichier exécutable décrypté est le module principal de l’agent Tesla.
Le logiciel malveillant exécute une commande pour créer une tâche dans le TaskScheduler du système à l’intérieur du module de charge utile. La tâche est définie pour commencer à la connexion. Le module principal ajoute également un élément d’exécution automatique dans le registre système qui se lance automatiquement au démarrage du système.
Le module principal Agent Tesla recueillera des informations à partir de l’appareil, y compris les informations d’identification enregistrées de certains logiciels, les informations d’enregistrement de clé de la victime et les captures d’écran de l’appareil. Il peut voler des informations d’identification à partir de logiciels spécifiés installés sur l’appareil, y compris des navigateurs Web, des clients de messagerie et des clients FTP, entre autres.
L’agent Tesla dispose de plusieurs moyens de soumettre les données volées, y compris en utilisant la méthode HTTP POST ou comme corps d’un e-mail via SMTP. Cette variante choisit d’exfiltrer les données par e-mail. L’adresse et le port du serveur SMTP sont tous deux codés en dur dans cette variante.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne ne réussit que parce qu’elle exploite deux vulnérabilités. Chaque jour, Fortinet observe et atténue environ 3 000 attaques et environ 1 300 appareils vulnérables, un rappel de l’importance des correctifs en temps opportun. »
« Cette activité souligne également le fait que les acteurs malveillants ne se contentent pas de passer d’une vulnérabilité une fois qu’un correctif est publié et peuvent tenter d’être exploités pendant des années. »
3. Les logiciels malveillants de Chaes utilisent le protocole Chrome DevTools pour voler des données
Une nouvelle variante avancée du logiciel malveillant Chaes a émergé et utilise une mise en œuvre personnalisée du protocole Chrome DevTools pour accéder directement aux fonctions du navigateur de la victime et voler des données à l’aide de WebSockets. La chaîne d’infection implique des installateurs MSI trompeurs qui déclenchent une infection en plusieurs étapes à l’aide de sept modules distincts pour effectuer diverses fonctions.
Qu’est-ce qu’un logiciel malveillant Chaes ?
Chaes existe depuis au moins novembre 2020, avec sa première poussée survenant au cours du quatrième trimestre 2021. Elle se caractérisait par sa capacité à voler des données financières liées à MercadoLibre et son utilisation de plusieurs langages de programmation.
En 2022 , le logiciel malveillant a été mis à jour avec une chaîne d’infection affinée, une communication C2 améliorée, de nouveaux modules et l’adoption de WMI pour la collecte de données. La quatrième et dernière version de Chaes contient des améliorations significatives, notamment une architecture de code raffinée et une modularité améliorée, des couches de chiffrement supplémentaires, un passage prédominant à Python, WebSockets pour la communication, etc.
Initialisation et balisage de Chaes
La phase d’initialisation du logiciel malveillant est chargée de définir la persistance sur le système et de migrer l’exécution pour s’exécuter à l’intérieur de la mémoire des processus légitimes. Un script permet au logiciel malveillant de rester crypté sur le disque et pour les modules à décrypter et à charger uniquement pendant l’exécution. L’initialisation se produira uniquement si l’instance en cours d’exécution actuelle est unique, si l’implant n’est pas en cours d’exécution et si le processus d’exécution est Python (ou l’une de ses copies), ce qui indique que le logiciel malveillant doit être initialisé sur le système.
Après la phase d’initialisation, le logiciel malveillant quitte le processus actuel et le reste de l’exécution continue à partir de l’un des processus injectés. L’implant fonctionne en boucle infinie, effectuant C2 communications. L’implant résout l’URL C2’s WebSocket à l’aide d’une demande DNS TXT vers une adresse codée en dur.
Modules supplémentaires
Sept modules ont été identifiés et peuvent être mis à jour indépendamment sans modifier la fonctionnalité principale. Chacune de ces fonctions peut être envoyée par l’acteur malveillant pour être exécutée sur le système infecté.
Bien que de nombreux modules étaient présents dans les versions précédentes, cette version fournit une nouvelle mise en œuvre pour ceux qui disposent de fonctionnalités améliorées, d’une base de code différente et de techniques uniques.
- Init : il s’agit du premier module envoyé par l’acteur malveillant. Il agit comme une identification/inscription de nouvelles victimes. Il collectera des données sur le système infecté.
- En ligne : ce module renvoie un message « en ligne » à l’acteur malveillant et agit comme un module de balisage pour surveiller les victimes qui sont toujours actives.
- Chronod : il s’agit d’un voleur d’informations d’identification et d’une tondeuse. Il est responsable de l’interception de l’activité du navigateur pour voler des informations à l’utilisateur.
- Appita : il s’agit d’un module similaire au module précédent en termes de structure et d’objectif. Il cible spécifiquement l’application de la Banque Itau.
- Chrautos : il s’agit d’un module amélioré basé sur Chronod et Appita avec une meilleure architecture de code. Il a la capacité d’étendre les cibles et les tâches et se concentre actuellement sur les données bancaires et WhatsApp.
- Voleur : ce module est responsable du vol de données sur les navigateurs basés sur Chromium, y compris les données de connexion, les cartes de crédit, les cookies et le remplissage automatique.
- Téléchargement de fichiers : ce module permet de rechercher et de charger des fichiers du système infecté vers le serveur C2 . Dans la version actuelle, le module télécharge uniquement les données liées à l’extension Chrome de MetaMask.
Abus de protocole Google DevTools
Le logiciel malveillant utilise le protocole DevTools de Google pour se connecter à l’instance de navigateur actuelle. Ce protocole permet une communication directe avec la fonctionnalité du navigateur interne sur WebSockets. Il permet à l’acteur malveillant d’exécuter des scripts, d’intercepter les demandes réseau, de lire les corps POST avant d’être chiffré, et bien plus encore.
Le module Chrautos exploite le protocole DevTools de Google pour ouvrir activement le site Web d’un service et voler toutes les données pertinentes au lieu d’attendre que le service ciblé soit ouvert par l’utilisateur.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les logiciels malveillants de Chaes évoluent depuis quelques années maintenant. Sa dernière utilisation du protocole DevTools de Google le soutient encore davantage. »
« D’après les chercheurs, il s’agit du premier cas notable de logiciels malveillants à proposer une mise en œuvre personnalisée de ce protocole DevTools pour effectuer des opérations malveillantes. Cela dit, il sera intéressant de voir si d’autres familles de logiciels malveillants commencent à tirer parti de cela à l’avenir. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
