Tout d’abord dans le résumé de cette semaine, CTI fournit un aperçu du rapport 2023 de Specops sur les mots de passe faibles, qui démontre, avant tout, la nécessité d’une vérification de mot de passe compromis qui filtre les mots de passe potentiels par rapport à une liste de mots de passe connus pour avoir été violés.
Ensuite, CTI met en évidence un groupe de piratage nouvellement identifié avec un lien avec la Corée du Nord (APT43), que Mandiant considère comme un groupe sophistiqué de cyberespionnage soutenu par l’État qui aligne ses objectifs opérationnels sur ceux du gouvernement nord-coréen.
Enfin, CTI conclut avec un aperçu de la nouvelle boîte à outils AlienFox distribuée sur Telegram, qui met en évidence l’évolution de l’activité cybercriminelle dans le cloud, est utilisée pour collecter des informations d’identification à partir de clés d’API et des secrets d’authentification à partir de services de messagerie basés sur le cloud.
Les erreurs de mot de passe de l’utilisateur final mettent les organisations en danger
Specops a publié son rapport 2023 sur les mots de passe faibles, qui contient une analyse de plus de 800 millions de mots de passe compromis.
Le rapport détaille certaines des mauvaises pratiques en matière de mots de passe qui mettent souvent les entreprises en danger et explore pourquoi les mots de passe sont toujours l’un des maillons les plus faibles d’un réseau.
Principales conclusions du rapport Specops
- Specops a analysé plus de 800 millions de mots de passe compromis et les a testés conformément à cinq normes réglementaires, notamment NIST, HITRUST pour HIPAA, PCI, ICO pour RGPD et Cyber Essentials pour NCSC. Les recherches de l’entreprise ont révélé que 83 % des mots de passe compromis satisfaisaient toujours aux exigences de complexité et de longueur des mots de passe de ces normes.
- Specops a examiné les mots de passe utilisés pour attaquer les ports RDP lors d’attaques réelles et a analysé un sous-ensemble de 4,6 millions de mots de passe. Plus de 88 % des mots de passe utilisés dans les attaques étaient de 12 caractères ou moins, la longueur la plus courante étant de 8 caractères. Les mots de passe contenant uniquement des lettres minuscules étaient la combinaison de caractères la plus courante trouvée.
- Les trois termes de base les plus courants trouvés dans les mots de passe utilisés pour attaquer les réseaux comprennent « mot de passe », « admin » et « bienvenue ».
- Specops a découvert plusieurs thèmes et modèles lors de son analyse de plus de 800 millions de mots de passe compromis. Les gens ont tendance à s’inspirer des événements mondiaux et de leur environnement en général lors de la création de leurs mots de passe. Il s’agit d’une tendance que les pirates informatiques connaissent et explorent intentionnellement lorsqu’ils ciblent les victimes.
- Le football (soccer) est un langage universel à travers le monde, que les chercheurs ont trouvé vrai même dans le domaine des mots de passe. La Coupe du monde 2022 a conduit les chercheurs à découvrir plusieurs termes liés à la Coupe du monde dans la base de données de mots de passe compromise. Le terme « football » se classe en tête de la liste des termes associés avec plus de 140k inclusions, le terme « football » arrivant en deuxième position. Les chercheurs ont identifié de nombreux acteurs actuels et anciens qui figurent en tête de la liste des mots de passe liés à la Coupe du monde.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce n’est vraiment pas un secret que de mauvaises pratiques en matière de mots de passe peuvent vous rendre, vous et votre organisation, vulnérables aux cyberattaques. Un précédent rapport Password Manager a révélé que 41 % des Américains s’appuient sur la mémoire pour suivre leurs mots de passe, indiquant qu’ils utilisent probablement des mots de passe simples ou reproductibles qui sont faciles à mémoriser. »
« La longueur et la complexité des mots de passe ne suffisent pas à elles seules : il existe de nombreuses réglementations de conformité (pensez au NIST) qui définissent les normes de cybersécurité et incluent les politiques de mot de passe de l’organisation. Beaucoup de ces réglementations mettent l’accent sur les exigences de longueur et de complexité dans la conception des politiques de mot de passe, cependant, étant donné la manière dont les attaques sophistiquées se développent aujourd’hui, cela ne suffit souvent pas à lui seul. »
« La conclusion de Spops selon laquelle 83 % des mots de passe compromis satisfaisaient toujours à bon nombre des exigences de complexité et de longueur des mots de passe des normes réglementaires indique clairement que la longueur et la complexité seules ne suffisent pas. En d’autres termes, un mot de passe long et complexe qui répond aux normes réglementaires ne signifie rien en termes de maintien d’une posture de sécurité forte si ce mot de passe existe sur la liste des mots de passe compromis d’un acteur malveillant. »
« Ces données soulignent pourquoi certaines recommandations réglementaires incluent désormais une vérification de mot de passe compromis pour mieux sécuriser les mots de passe. En fin de compte, une bonne hygiène des mots de passe est plus importante que jamais, et cela va au-delà de la simple satisfaction des exigences de complexité des mots de passe intégrés. »
Le groupe de piratage APT43 nouvellement exposé cible les organisations américaines
Mandiant a divulgué les activités de APT43 pour la première fois et estime que ce groupe sophistiqué de cyberespionnage est une entité parrainée par l’État, alignant ses objectifs opérationnels sur ceux du gouvernement nord-coréen.
En plus de s’engager dans des activités liées à l’espionnage, APT43 est censée se financer par le biais d’opérations de cybercriminalité pour soutenir sa mission principale de collecte d’informations stratégiques.
Détails de haut niveau
- Les activités signalées non mandiantes attribuées à APT43 font souvent référence au groupe sous le nom de Kimsuky ou Thallium.
- Les opérations APT43’s tirent généralement parti des campagnes de spear phishing soutenues par des domaines et des adresses e-mail usurpés dans le cadre de ses tactiques d’ingénierie sociale. Mandiant n’a pas encore observé ce groupe exploiter des vulnérabilités zero-day.
- Depuis que Mandiant a commencé à suivre APT43, ils ont remarqué que l’adversaire menait constamment des activités d’espionnage contre les organisations sud-coréennes et américaines.
- Avant octobre 2020, APT43 ciblaient principalement les bureaux gouvernementaux, les organisations diplomatiques et les organisations liées au groupe de réflexion. Entre octobre 2020 et octobre 2021, l’opération a changé, et une partie importante de l’activité a été ciblée sur les secteurs verticaux et les entreprises pharmaceutiques liés à la santé, probablement en réponse à la pandémie de Covid-19.
- APT43 dispose d’une grande boîte à outils composée à la fois de logiciels malveillants disponibles publiquement et d’outils personnalisés. L’arsenal du groupe a été vu évoluer et se développer régulièrement au fil du temps. Le groupe a déployé des logiciels malveillants disponibles publiquement tels que Gh0st RAT, QUASARRAT et AMADEY en plus de LATEOP (publicément connu sous le nom de BabyShark) qui est une porte dérobée basée sur des scripts VisualBasic.
Cyberopérations pour APT43
APT43, comme de nombreux acteurs malveillants, exploite généralement les e-mails de spear phishing comme vecteur d’accès initial. De plus, le groupe accepte l’utilisation de sites Web usurpés aux fins de la collecte des informations d’identification.
APT43 met également régulièrement à jour le contenu de ses appâts de phishing, en l’adaptant au public cible spécifique. Pour ce faire, elle crée et maintient des personas convaincants et des usurpations en tant qu’individus dans certains secteurs. APT43 blanchit également les cryptomonnaies, dont les bénéfices servent à augmenter l’achat de l’infrastructure opérationnelle du groupe.
Espionnage
Bien que APT43 se livre certainement à des crimes financièrement motivés, son objectif principal est le cyberespionnage. Le groupe s’intéresse aux informations développées et stockées au sein de l’armée et du gouvernement des États-Unis, de la base industrielle de défense (DIB) et des politiques de recherche et de sécurité développées par les États-Unis. L’opération s’intéresse à des secteurs similaires en Corée du Sud.
Mandiant estime qu’APT43 may effectue également une surveillance interne d’autres opérations nord-coréennes. APT43 a compromis des acteurs d’espionnage individuels, y compris ceux de ses propres opérations. Il n’est pas clair si cette activité est destinée à des fins de surveillance, ou plutôt accidentelle et résulte d’une mauvaise sécurité opérationnelle.
Collecte d’informations d’identification
APT43 mène régulièrement des campagnes de collecte d’informations d’identification pour compromettre les données financières, les IPI et les données client. Le groupe enregistre les domaines par typologie en squattant les moteurs de recherche, les plateformes Web et les échanges de cryptomonnaies populaires. Les informations d’identification collectées sont utilisées pour créer des personas en ligne et configurer l’infrastructure pour ses opérations. L’opération a tiré parti de l’infrastructure compromise et appartenant à un acteur pour héberger et fournir ses logiciels malveillants.
Les changements dans le ciblage APT43’s peuvent refléter des changements tactiques dans les exigences de recouvrement. Par exemple, fin 2021, APT43 ont repris des campagnes de collecte d’informations d’identification contre des groupes religieux, des universités et des ONG. Puis, début 2022, les campagnes ont été observées ciblant les universitaires, les journalistes, les politiciens, les blogueurs et d’autres personnes du secteur privé. Enfin, à la mi-2022, les campagnes se sont à nouveau déplacées pour cibler les blogueurs sud-coréens et les utilisateurs de réseaux sociaux associés aux affaires sud-coréennes.
Ciblage cryptographique
L’opération cible la cryptomonnaie depuis son émergence. Contrairement à d’autres groupes nord-coréens qui se concentrent principalement sur l’apport de fonds pour le régime, APT43 effectue probablement son activité de cryptomonnaie pour maintenir ses propres opérations.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Mandiant soulève un point assez intéressant concernant APT43’s opérations apparemment autofinancées et comment cela peut indiquer un mandat plus large pour les groupes nord-coréens :
La prévalence de l’activité financièrement motivée parmi les groupes nord-coréens, même parmi ceux qui se sont historiquement concentrés sur le cyberespionnage, suggère un mandat généralisé d’autofinancement et une attente de se maintenir sans ressources supplémentaires.
« APT43’s Le changement continu de sa méthodologie et de son métier suggère qu’il est hautement réactif au paysage en constante évolution et aux objectifs de sa mission d’espionnage. Cette opération est rapide pour modifier ses TTP afin d’effectuer ce qui est nécessaire pour soutenir le régime. »
3. Une nouvelle boîte à outils AlienFox vole des informations d’identification pour les services cloud
SentinelOne a découvert une nouvelle boîte à outils appelée AlienFox qui est distribuée sur Telegram. AlienFox permet aux acteurs malveillants de collecter des informations d’identification à partir de clés API et des secrets d’authentification à partir de services de messagerie cloud populaires.
- La boîte à outils est modulaire et comprend plusieurs outils personnalisés et utilitaires open source modifiés, ce qui permet à l’acteur malveillant de l’adapter et de la modifier pour répondre à ses besoins.
- Le ciblage d’AlienFox est principalement opportuniste et repose sur des erreurs de configuration sur les serveurs hébergeant des frameworks Web, notamment Drupal, Joomla, Magento, Opencart, Prestashop et WordPress.
- Une fois qu’un serveur est identifié, l’acteur malveillant peut alors vider les fichiers de configuration stockant des informations sensibles telles que les services activés et les clés et secrets d’API associés.
Versions d’AlienFox
La boîte à outils AlienFox se concentre principalement sur les services de messagerie dans le cloud. Les chercheurs ont découvert les versions 2 à 4 d’AlienFox à ce stade, qui datent de février 2022 plus de .
AlienFox V2
L’une des archives analysées d’AlienFox V2 contient des résultats du moment où un acteur a exécuté les outils, y compris l’accès AWS et les clés secrètes. Cette version du jeu d’outils héberge l’utilitaire principal dans un script nommé s3lr[.]py. Un script Python, Awses[.]py, automatise plusieurs activités liées à AWS Simple Email Service, y compris l’envoi et la réception de messages et l’application d’un profil de persistance au compte AWS. Avec ce script, l’acteur malveillant fournit le nom d’utilisateur lors de l’exécution, ce qui implique qu’il s’agit d’un outil pratique sur clavier.
Cette version inclut une fonction goblok (goblok signifie de l’indonésien à « imidiot ») pour créer un nouveau profil pour la persistance et l’escalade des privilèges. Cette fonction envoie les valeurs des paramètres à la variable iam où ils sont analysés. Cette action crée un nouvel utilisateur dans le compte AWS de la victime. Si la création du nouvel utilisateur est réussie, les privilèges d’administrateur sont accordés à cet utilisateur.
Un autre script V2 , ssh-smtp[.]py, analyse les fichiers de configuration pour les informations d’identification et utilise la bibliothèque Python Paramiko pour valider les configurations SSH sur le serveur Web ciblé. Cette version d’AlienFox inclut également un exploit pour CVE-2022-31279, une vulnérabilité de désérialisation sur le framework PHP de Laravel.
AlienFox V3
Parmi les versions observées par SentinelOne, les archives les plus uniques ont été étiquetées comme version 3. Les variantes de nom suivantes étaient :
- ALIEN-FOX AFV 3,0 Izmir – créé février 2022
- ALIENFOX III V3,0 AFV.EXE – créé février 2022
- ALIEN-FOX AFV 3,5 JAGAUR – créé avril 2022
- ALIEN-FOX AFV 3,5 rondrickmadeit – créé février 2022
Cette version a introduit de meilleures performances et comporte des variables d’initialisation, des classes Python avec des fonctions modulaires et un threading de processus.
AlienFox V4
Le jeu d’outils le plus récemment observé est organisé beaucoup différemment, chaque outil se voyant attribuer un nombre (c.-à-d., outil 1, outil 2). Le script principal dans le répertoire racine AlienFox, nommé ALIENFOXV4[.]py, sert de bootstrap pour les scripts d’outils numérotés dans les dossiers enfants.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La boîte à outils AlienFox met en évidence l’évolution de l’activité cybercriminelle dans le cloud. Plus particulièrement, les attaques ne se limitent plus au cryptominage. Étant donné que la plupart des outils de la boîte à outils sont open source, les acteurs malveillants ont l’avantage supplémentaire d’adapter la boîte à outils à leurs besoins individuels. SentinelOne a caractérisé la boîte à outils comme hautement modulaire et évoluant rapidement, ce qui en fait une menace plus importante à mesure que de nouvelles fonctionnalités sont ajoutées. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
