Dans le tour d'horizon de cette semaine, CTI se penche sur une campagne liée à Microsoft Teams qui diffuse le logiciel malveillant DarkGate Loader. Nous allons maintenant vous présenter un aperçu d'une campagne de hameçonnage de type « » ( ) qui diffuse une nouvelle variante d'Agent Tesla. Enfin, CTI se penche sur une variante avancée du logiciel malveillant Chaes qui utilise une implémentation personnalisée du protocole Google DevTools pour obtenir un accès direct aux fonctions du navigateur.
1. Des pirates informatiques ciblent Microsoft Teams à l'aide du logiciel malveillant « DarkGate Loader »
Truesec a récemment enquêté sur une campagne Microsoft Teams qui diffuse auprès des victimes le logiciel malveillant « DarkGate Loader » de . Dans le cadre de cette campagne, les auteurs de menaces envoient des messages de messagerie instantanée piégés à des comptes Office 365 externes et recourent à l'ingénierie sociale pour inciter les victimes à télécharger et à ouvrir des fichiers malveillants.
Qui diffuse DarkGate Loader ?
Truesec a utilisé l'outil eDiscovery de Microsoft Purview pour rechercher les expéditeurs dans Microsoft Teams. Ils ont identifié les deux expéditeurs comme étant :
- Akkaravit Tattamanas (63090101@my.buu.ace)
- ABNER DAVID RIVERA ROJAS (adriverar@unadvirtual.edu[.]co).
Des chercheurs ont confirmé que ces deux comptes avaient été piratés à l'aide d'un logiciel malveillant non identifié et mis en vente sur le dark web à l'adresse août 2023. Ils ont alors changé de stratégie afin de recueillir davantage d'informations sur le locataire n° O365 auquel appartenaient ces comptes, en utilisant les domaines répertoriés pour rechercher d'autres messages.
Les deux expéditeurs ont utilisé un leurre identique contenant un lien vers un fichier. Le fichier s'intitule « Modifications apportées au calendrier des congés.zip » et est hébergé sur SharePoint. Si la victime clique sur le lien figurant dans le message Teams, elle est redirigée vers le site SharePoint où le fichier est disponible au téléchargement. Microsoft Defender a depuis identifié ce fichier comme « BAT/Tisifi.A# ».
Analyse du logiciel malveillant
Le fichier ZIP contient un fichier LNK malveillant se faisant passer pour un document PDF. Truesec a extrait la ligne de commande qu'il allait exécuter et a constaté que celle-ci déclencherait le téléchargement et l'exécution d'un autre fichier.
Ces commandes utilisent une version Windows de cURL, renommée « wbza », pour télécharger et exécuter le fichier Autoit3.exe ainsi que le script associé eszexz.au3. Le script AutoIT précompilé masque le code situé au milieu du fichier en recherchant les octets magiques.
AutoIT créera un nouveau fichier contenant un shellcode et vérifiera si l'antivirus Sophos est installé avant de l'exécuter. Si Sophos est absent, du code supplémentaire présent dans le script AutoIT est désobfusqué afin de lancer le shellcode. Lorsque le shellcode s'exécute, il se charge octet par octet selon une technique d'empilement de chaînes de caractères afin de créer un nouveau fichier. La charge utile peut alors être extraite de la mémoire et analysée. La charge utile a été identifiée comme étant « DarkGate Loader » sur VirusTotal.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce n’est pas la première fois que des cybercriminels exploitent Microsoft Teams à des fins malveillantes. » « Par exemple, Microsoft a récemment mis au jour une campagne dans laquelle des acteurs malveillants russes ciblaient des organisations via Teams dans le but d'amener les victimes à valider des demandes d'authentification à plusieurs facteurs (MFA) par le biais de techniques d'ingénierie sociale. »
« Microsoft a déjà formulé certaines recommandations sur la manière de se prémunir contre ces attaques. » « Toutefois, cela nous ramène en fin de compte à l’importance de la formation et de la sensibilisation à la sécurité. »
2. Une campagne de hameçonnage exploite la nouvelle variante d'Agent Tesla
Fortinet a récemment détecté une campagne de hameçonnage visant à diffuser une nouvelle variante de l' , Agent Tesla : (s'ouvre dans un nouvel onglet). Cette campagne exploite deux vulnérabilités antérieures, les numéros 2017 et 2018.
Bien que des correctifs aient été publiés il y a plusieurs années pour remédier à ces vulnérabilités, celles-ci restent très prisées par les cybercriminels, ce qui laisse supposer qu'il existe encore, des années plus tard, des appareils non mis à jour en circulation.
L'e-mail de hameçonnage
Les deux vulnérabilités exploitées dans le cadre de cette campagne sont les suivantes : CVE-2017-11882 (s'ouvre dans un nouvel onglet) et CVE-2018-0802 (s'ouvre dans un nouvel onglet). Il s'agit dans les deux cas de vulnérabilités permettant l'exécution de code à distance (RCE) qui entraînent une corruption de mémoire au sein du processus EQNEDT32.exe lors de l'analyse des données d'équation spécialement conçues. L'exploitation de ces failles peut entraîner l'exécution de code arbitraire.
Le fichier Excel joint à l'e-mail de hameçonnage est au format OLE (Object Linking and Embedding) et contient des données Equation spécialement conçues pour exploiter ces vulnérabilités, ce qui aboutit à l'exécution d'un shellcode malveillant.
Lorsque la victime ouvre le fichier joint, Excel affiche un message trompeur à l'utilisateur tout en exécutant en arrière-plan le shellcode contenu dans les données « Equation » spécialement conçues à cet effet. Les données de l'équation malveillante sont analysées automatiquement par un processus MS Office, EQNEDT32.exe, ce qui déclenche la vulnérabilité CVE-2017-11882/CVE-2018-0802 , puis l'exécution du shellcode malveillant.
Une fois le déchiffrement automatique terminé, la fonction principale du shellcode consiste à télécharger et à exécuter un fichier malveillant supplémentaire. Pour ce faire, il fera appel à plusieurs API afin de télécharger le logiciel malveillant dans un dossier local et de l'exécuter sur l'appareil de la victime.
Le fichier téléchargé
Le fichier téléchargé, dasHost.exe, est un programme .NET protégé par deux outils de compression. Il extrait deux modules d'exécution sans fichier : l'un est le module de charge utile d'Agent Tesla et l'autre est un module de chargement du fichier de charge utile d'Agent Tesla.
Charge utile de l'Agent Tesla
La fonction principale de cette charge utile, outre la persistance, consiste à procéder à un « process hollowing » avant de placer un fichier exécutable déchiffré dans le processus « évidé » et de l'exécuter. Ce fichier exécutable déchiffré constitue le module central d'Agent Tesla.
Le logiciel malveillant exécute une commande visant à créer une tâche dans le planificateur de tâches du système (TaskScheduler) au sein du module de charge utile. La tâche est configurée pour démarrer à la connexion. Le module principal ajoute également une entrée « Démarrage automatique » dans le registre système, qui se lance automatiquement au démarrage du système.
Le module central d'Agent Tesla recueillera des informations provenant de l'appareil, notamment les identifiants enregistrés de certains logiciels, les données de keylogging de la victime et des captures d'écran de l'appareil. Il peut voler les identifiants de certains logiciels installés sur l'appareil, notamment les navigateurs Web, les clients de messagerie et les clients FTP, entre autres.
L'agent Tesla dispose de plusieurs moyens pour transmettre les données volées, notamment via la méthode HTTP POST ou dans le corps d'un e-mail envoyé via SMTP. Cette variante choisit d'exfiltrer les données par e-mail. L'adresse et le port du serveur SMTP sont tous deux codés en dur dans cette variante.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne ne peut réussir que parce qu’elle exploite deux failles de sécurité. » « Chaque jour, Fortinet détecte et neutralise environ 3 000 attaques et identifie environ 1 300 appareils vulnérables, ce qui rappelle à quel point il est important d'appliquer les correctifs en temps opportun. »
« Cette activité met également en évidence le fait que les acteurs malveillants ne se contentent pas de passer à autre chose dès qu’un correctif est publié, mais peuvent tenter d’exploiter une vulnérabilité pendant des années. »
3. Le logiciel malveillant Chaes utilise le protocole Chrome DevTools pour voler des données
Une nouvelle variante sophistiquée du malware « Chaes » ( ) (s'ouvre dans un nouvel onglet) a fait son apparition. Elle utilise une implémentation personnalisée du protocole Chrome DevTools pour accéder directement aux fonctions du navigateur de la victime et voler des données via WebSockets. La chaîne d'infection repose sur des programmes d'installation MSI trompeurs qui déclenchent une infection en plusieurs étapes, en utilisant sept modules distincts pour exécuter diverses fonctions.
Qu'est-ce que le logiciel malveillant Chaes ?
Le « chaes » existe depuis au moins l' novembre 2020, et a connu son premier essor au cours du quatrième trimestre de l'année 2021. Il se caractérisait par sa capacité à dérober des données financières relatives à MercadoLibre et par son utilisation de plusieurs langages de programmation.
En 2022 , le logiciel malveillant a été mis à jour avec une chaîne d'infection optimisée, des capacités de communication améliorées C2 , de nouveaux modules et l'utilisation de WMI pour la collecte de données. La quatrième et dernière version de Chaes comporte des améliorations significatives, notamment une architecture de code optimisée et une modularité renforcée, des niveaux de chiffrement supplémentaires, une transition massive vers Python, l'utilisation de WebSockets pour la communication, et bien plus encore.
Initialisation et diffusion de balises Chaes
La phase d'initialisation du logiciel malveillant sert à assurer sa persistance au sein du système et à transférer son exécution afin qu'elle s'effectue dans la mémoire de processus légitimes. Un script permet au logiciel malveillant de rester chiffré sur le disque et aux modules d'être déchiffrés et chargés uniquement au moment de l'exécution. L'initialisation n'aura lieu que si l'instance actuellement en cours d'exécution est unique, si l'implant n'est pas en cours d'exécution et si le processus en cours d'exécution est Python (ou l'une de ses copies), ce qui indique que le logiciel malveillant doit être initialisé sur le système.
Une fois la phase d'initialisation terminée, le logiciel malveillant quitte le processus en cours, et le reste de l'exécution se poursuit à partir de l'un des processus injectés. L'implant fonctionne en boucle infinie, effectuant C2 communications. L'implant résout l'URL WebSocket C2’s à l'aide d'une requête DNS de type TXT vers une adresse codée en dur.
Modules supplémentaires
Sept modules ont été identifiés, qui peuvent être mis à jour indépendamment sans modifier les fonctionnalités essentielles. Chacune de ces fonctions peut être envoyée par l'auteur de la menace afin d'être exécutée sur le système infecté.
Bien que bon nombre de ces modules figuraient déjà dans les versions précédentes, cette version propose une réimplémentation de ceux-ci, dotée de fonctionnalités améliorées, d'une base de code différente et de techniques spécifiques.
- Init : Il s'agit du premier module envoyé par l'acteur malveillant. Cela sert à l'identification et à l'enregistrement des nouvelles victimes. Il recueillera des données sur le système infecté.
- En ligne : Ce module renvoie un message « en ligne » à l'auteur de la menace et fait office de module de balisage permettant de surveiller quelles victimes sont encore actives.
- Chronod : Il s'agit d'un logiciel conçu pour voler et capturer des identifiants. Il a pour fonction d'intercepter l'activité du navigateur afin de dérober des informations à l'utilisateur.
- Appita : Ce module est similaire au précédent tant par sa structure que par son objectif. Elle vise spécifiquement l'application de la banque Itaú.
- Chrautos : Il s'agit d'un module amélioré, basé sur Chronod et Appita, doté d'une meilleure architecture de code. Il est capable d'élargir ses cibles et ses missions et se concentre actuellement sur les données bancaires et celles de WhatsApp.
- Stealer : Ce module est chargé de voler des données sur les navigateurs basés sur Chromium, notamment les identifiants de connexion, les informations de carte bancaire, les cookies et les données de remplissage automatique.
- Téléchargement de fichiers : Ce module permet de rechercher et de télécharger des fichiers depuis le système infecté vers le serveur C2 . Dans la version actuelle, le module ne télécharge que les données relatives à l'extension Chrome de MetaMask.
Abus du protocole Google DevTools
Ce logiciel malveillant utilise le protocole DevTools de Google pour se connecter à l'instance actuelle du navigateur. Ce protocole permet une communication directe avec les fonctionnalités internes du navigateur via WebSockets. Cela permet à l'auteur de la menace d'exécuter des scripts, d'intercepter des requêtes réseau, de lire le contenu des requêtes POST avant leur chiffrement, et bien plus encore.
Le module Chrautos exploite le protocole DevTools de Google pour ouvrir activement le site web d'un service et voler toutes les données pertinentes, au lieu d'attendre que l'utilisateur ouvre lui-même le service ciblé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le logiciel malveillant Chaes n'a cessé d'évoluer depuis quelques années déjà. » « Son utilisation récente du protocole DevTools de Google vient encore étayer cette affirmation. »
« Selon les chercheurs, il s'agit du premier cas notable de logiciel malveillant intégrant une implémentation personnalisée de ce protocole DevTools afin d'effectuer des opérations malveillantes. » Cela dit, il sera intéressant de voir si d’autres familles de logiciels malveillants commenceront à exploiter cette faille à l’avenir. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .