Pour commencer ce tour d'horizon hebdomadaire, CTI vous propose un aperçu du rapport « 2023 Weak Password Report » de Specops, qui démontre avant tout la nécessité d'un contrôle des mots de passe compromis permettant de vérifier les mots de passe potentiels par rapport à une liste de mots de passe connus ayant fait l'objet de fuites.
Par la suite, le CTI met en avant un groupe de pirates informatiques récemment identifié ayant des liens avec la Corée du Nord (APT43), que Mandiant considère comme un groupe de cyberespionnage sophistiqué soutenu par un État, dont les objectifs opérationnels s'alignent sur ceux du gouvernement nord-coréen.
Enfin, CTI conclut son analyse en se penchant sur la nouvelle boîte à outils AlienFox diffusée sur Telegram, qui, outre le fait qu’elle met en évidence l’évolution des activités cybercriminelles dans le cloud, est utilisée pour extraire des identifiants à partir de clés API et collecter des secrets d’authentification provenant de services de messagerie électronique basés sur le cloud.
Les erreurs de mot de passe commises par les utilisateurs finaux mettent les organisations en danger
Specops a publié son rapport « 2023 Weak Password Report » (s'ouvre dans un nouvel onglet), qui présente une analyse de plus de 800 millions de mots de passe compromis.
Ce rapport détaille certaines des mauvaises pratiques en matière de mots de passe qui exposent souvent les entreprises à des risques et examine les raisons pour lesquelles les mots de passe restent l'un des maillons les plus faibles d'un réseau.
Principales conclusions du rapport Specops
- Specops a analysé plus de 800 millions de mots de passe compromis et les a testés au regard de cinq normes réglementaires, notamment celles du NIST, de HITRUST pour la loi HIPAA, de la norme PCI, de l'ICO pour le RGPD et de Cyber Essentials pour le NCSC. Les recherches menées par le cabinet ont révélé que 83 % des mots de passe compromis (s'ouvre dans un nouvel onglet) répondraient tout de même aux exigences de ces normes en matière de complexité et de longueur des mots de passe.
- Specops a examiné les mots de passe utilisés pour attaquer les ports RDP lors d'attaques réelles et a analysé un sous-ensemble de 4,6 millions de mots de passe. Plus de 88 % des mots de passe utilisés lors de ces attaques comptaient 12 caractères ou moins, la longueur la plus courante étant de 8 caractères. Les mots de passe composés uniquement de lettres minuscules constituaient la combinaison de caractères la plus courante.
- Les trois termes de base les plus courants que l'on retrouve dans les mots de passe de type « » utilisés pour attaquer des réseaux (s'ouvre dans un nouvel onglet) sont « password », « admin » et « welcome ».
- Specops a mis en évidence plusieurs thèmes et tendances lors de son analyse de plus de 800 millions de mots de passe compromis. En général, les gens s'inspirent des événements mondiaux et de leur environnement pour créer leurs mots de passe. Il s'agit d'une tendance dont les pirates informatiques ont conscience et qu'ils exploitent délibérément lorsqu'ils ciblent leurs victimes.
- Le football est un langage universel à travers le monde, et des chercheurs ont constaté que cela s'appliquait même au domaine des mots de passe. La Coupe du monde 2022 a permis aux chercheurs de découvrir plusieurs termes liés à la Coupe du monde dans la base de données de mots de passe piratée. Le terme « soccer » arrive en tête de la liste des termes associés, avec plus de 140k occurrences, suivi du terme « football » en deuxième position. Les chercheurs ont identifié de nombreux joueurs, actuels ou anciens, en tête de la liste des mots de passe liés à la Coupe du monde.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce n’est vraiment un secret pour personne que de mauvaises pratiques en matière de mots de passe peuvent vous exposer, vous et votre organisation, à des cyberattaques. » Un précédent rapport d’ , intitulé « Password Manager Report » ( ) (s’ouvre dans un nouvel onglet) , a révélé que 41 % des Américains se fient à leur mémoire pour se souvenir de leurs mots de passe, ce qui indique qu’ils utilisent probablement des mots de passe simples ou répétitifs, faciles à retenir. »
« La longueur et la complexité des mots de passe ne suffisent pas à elles seules : il existe de nombreuses réglementations en matière de conformité (comme celles du NIST) qui définissent les normes de cybersécurité et englobent les politiques des organisations en matière de mots de passe. » « Bon nombre de ces réglementations mettent l'accent sur les exigences en matière de longueur et de complexité dans la conception des politiques de mots de passe ; toutefois, compte tenu de la sophistication croissante des attaques actuelles, cela ne suffit souvent pas à lui seul. »
« La constatation de Specops selon laquelle 83 % des mots de passe compromis répondaient toujours à bon nombre des exigences en matière de complexité et de longueur prévues par les normes réglementaires montre clairement que la longueur et la complexité ne suffisent pas à elles seules. » En d’autres termes, un mot de passe long et complexe qui respecte les normes réglementaires ne sert à rien pour garantir un niveau de sécurité élevé si ce mot de passe figure sur la liste des mots de passe compromis détenue par un acteur malveillant. »
« Ces données mettent en évidence la raison pour laquelle certaines recommandations réglementaires prévoient désormais un contrôle des mots de passe compromis afin de renforcer leur sécurité. » En fin de compte, il est plus important que jamais d’adopter de bonnes pratiques en matière de mots de passe – et cela va bien au-delà du simple respect des exigences intégrées en matière de complexité des mots de passe. »
Le groupe de pirates informatiques « APT43 », récemment mis au jour, cible des organisations américaines
Mandiant a révélé pour la première fois les activités du groupe « APT43 » et estime que ce groupe de cyberespionnage sophistiqué est une entité soutenue par un État, dont les objectifs opérationnels s'alignent sur ceux du gouvernement nord-coréen.
Outre ses activités liées à l'espionnage, l'unité APT43 se financerait, selon certaines sources, par le biais d'opérations de cybercriminalité afin de soutenir sa mission principale, qui consiste à collecter des renseignements stratégiques.
Informations générales
- Les activités non signalées par Mandiant et attribuées à « APT43 » font souvent référence à ce groupe sous les noms de « Kimsuky » ou « Thallium ».
- Les opérations « APT43’s » s'appuient généralement sur des campagnes de phishing de type « spear-» , qui s'appuient sur des domaines et des adresses e-mail usurpés dans le cadre de leurs tactiques d'ingénierie sociale. Mandiant n'a pas encore constaté que ce groupe exploitait des vulnérabilités « zero-day ».
- Depuis que Mandiant a commencé à suivre les activités du groupe « APT43 », l'entreprise a constaté que ce dernier menait de manière systématique des opérations d'espionnage à l'encontre d'organisations sud-coréennes et américaines.
- Avant « octobre 2020 », la campagne « APT43 » visait principalement les administrations publiques, les organisations diplomatiques et les organismes liés aux groupes de réflexion. D'octobre 2020 àoctobre 2021, l'activité a évolué, et une part importante de celle-ci s'est orientée vers les secteurs liés à la santé et les entreprises pharmaceutiques – probablement en réponse à la pandémie de Covid-19.
- APT43 dispose d'une vaste boîte à outils comprenant à la fois des logiciels malveillants accessibles au public et des outils sur mesure. On constate que l'arsenal du groupe n'a cessé d'évoluer et de s'étoffer au fil du temps. Ce groupe a déployé des logiciels malveillants accessibles au grand public, tels que Gh0st RAT, QUASARRAT et AMADEY, ainsi que LATEOP (connu sous le nom de BabyShark), qui est une porte dérobée basée sur des scripts Visual Basic.
Opérations cybernétiques pour la promotion APT43
À l'instar de nombreux acteurs malveillants, APT43 utilise couramment des e-mails de spear-phishing comme vecteur d'accès initial. Par ailleurs, ce groupe recourt à des sites web falsifiés dans le but de collecter des identifiants.
APT43 met également régulièrement à jour le contenu de ses leurres de hameçonnage, en l'adaptant au public cible spécifique. Pour ce faire, il crée et entretient des profils fictifs crédibles et se fait passer pour des personnes issues de certains secteurs d'activité. APT43 se livre également au blanchiment de cryptomonnaies, dont les bénéfices servent à financer l'acquisition de l'infrastructure opérationnelle du groupe.
Espionnage
Même si le groupe APT43 se livre certes à des crimes à motivation financière, son objectif principal est le cyberespionnage. Ce groupe s'intéresse aux informations élaborées et conservées au sein de l'armée et du gouvernement américains, de la base industrielle de défense (DIB) ainsi qu'aux politiques de recherche et de sécurité mises en place par les États-Unis. Cette entreprise s'intéresse à des secteurs d'activité similaires en Corée du Sud.
Mandiant estime que l'APT «43 may » pourrait également exercer une surveillance interne sur d'autres opérations nord-coréennes. Le groupe « APT43 » a compromis certains acteurs de l'espionnage, y compris au sein de ses propres opérations. On ne sait pas clairement si cette activité a pour but d'assurer une surveillance ou si elle est plutôt accidentelle et résulte d'un manque de sécurité opérationnelle.
Collecte des identifiants
APT43 mène régulièrement des campagnes de collecte d'identifiants afin de s'emparer de données financières, d'informations à caractère personnel et de données clients. Ce groupe enregistre des noms de domaine utilisant des fautes de frappe (typosquatting) liés à des moteurs de recherche, des plateformes web et des plateformes d'échange de cryptomonnaies populaires. Les identifiants collectés servent à créer des identités virtuelles et à mettre en place l'infrastructure nécessaire à ses activités. Cette opération a exploité des infrastructures compromises et appartenant aux auteurs pour héberger et diffuser son logiciel malveillant.
Les modifications apportées au ciblage « APT43’s » pourraient refléter des changements tactiques dans les besoins en matière de collecte de renseignements. Par exemple, fin 2021, APT43 a relancé ses campagnes de collecte d'identifiants visant des groupes religieux, des universités et des ONG. Puis, au début de l'année 2022, on a constaté que ces campagnes visaient des universitaires, des journalistes, des responsables politiques, des blogueurs et d'autres personnes issues du secteur privé. Enfin, vers le milieu de l'année 2022, ces campagnes ont de nouveau changé d'orientation pour cibler les blogueurs sud-coréens et les utilisateurs des réseaux sociaux s'intéressant aux affaires sud-coréennes.
Ciblage des cryptomonnaies
Cette opération cible les cryptomonnaies depuis leur apparition. Contrairement à d'autres groupes nord-coréens qui ont pour objectif principal de lever des fonds pour le régime, le groupe APT43 mène probablement ses activités liées aux cryptomonnaies afin d'assurer le financement de ses propres opérations.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Mandiant soulève un point assez intéressant concernant APT43’s opérations apparemment autofinancées et la manière dont cela pourrait témoigner d’un mandat plus large confié aux groupes nord-coréens :
La prévalence des activités à motivation financière au sein des groupes nord-coréens, même parmi ceux qui se sont historiquement concentrés sur le cyberespionnage, suggère l'existence d'une obligation généralisée de s'autofinancer et d'une attente selon laquelle ils doivent subvenir à leurs besoins sans ressources supplémentaires.
« Les APT43’s adaptations successives de sa méthodologie et de ses techniques d'espionnage laissent supposer qu'elle s'adapte très bien à un contexte en constante évolution et aux objectifs de sa mission d'espionnage. » « Cette organisation n'hésite pas à adapter rapidement ses méthodes, techniques et procédures (TTP) pour mener à bien les actions nécessaires au soutien du régime. »
3. Une nouvelle boîte à outils AlienFox vole les identifiants d'accès aux services cloud
SentinelOne a découvert une nouvelle boîte à outils (s'ouvre dans un nouvel onglet) appelée AlienFox, qui est diffusée sur Telegram. AlienFox permet aux cybercriminels de récupérer des identifiants à partir de clés API et de secrets d'authentification provenant de services de messagerie en ligne courants.
- Cette boîte à outils est modulaire et se compose de plusieurs outils sur mesure ainsi que d'utilitaires open source modifiés, ce qui permet à l'acteur malveillant de l'adapter et de la modifier en fonction de ses besoins.
- Les attaques d'AlienFox sont principalement opportunistes et exploitent des erreurs de configuration sur les serveurs hébergeant des frameworks web, notamment Drupal, Joomla, Magento, OpenCart, PrestaShop et WordPress.
- Une fois le serveur identifié, l'acteur malveillant peut alors extraire les fichiers de configuration contenant des informations sensibles, telles que les services activés ainsi que les clés API et les secrets associés.
Gestion des versions d'AlienFox
La suite d'outils AlienFox est principalement axée sur les services de messagerie électronique dans le cloud. À ce jour, les chercheurs ont identifié les versions 2 à 4 d'AlienFox, qui datent d' février 2022 et des versions ultérieures.
AlienFox V2
L'une des archives analysées d'AlienFox V2 contient des données générées lors de l'exécution des outils par un acteur, notamment des clés d'accès et des clés secrètes AWS. Cette version de la suite d'outils intègre l'utilitaire principal dans un script nommé s3lr[.]py. Un script Python, Awses[.]py, automatise plusieurs opérations liées au service AWS Simple Email Service, notamment l'envoi et la réception de messages, ainsi que l'application d'un profil de persistance au compte AWS. Avec ce script, l'auteur de la menace fournit le nom d'utilisateur au moment de l'exécution, ce qui laisse supposer qu'il s'agit d'un outil nécessitant une intervention manuelle.
Cette version inclut une fonction « goblok » (mot indonésien signifiant « idiot ») permettant de créer un nouveau profil à des fins de persistance et d'escalade de privilèges. Cette fonction transmet les valeurs des paramètres à la variable « iam », où elles sont analysées. Cette action crée un nouvel utilisateur dans le compte AWS de la victime. Si la création du nouvel utilisateur aboutit, les droits d'administrateur lui sont accordés.
Un autre script V2 , ssh-smtp[.]py, analyse les fichiers de configuration à la recherche d'identifiants et utilise la bibliothèque Python Paramiko pour valider les configurations SSH sur le serveur web ciblé. Cette version d'AlienFox comprend également un exploit pour la vulnérabilité « CVE-2022-31279 », une faille de désérialisation affectant le framework PHP Laravel.
AlienFox V3
Parmi les versions détectées par SentinelOne, les archives les plus singulières ont été identifiées comme étant la version 3. Les variantes de nom suivantes étaient les suivantes :
- ALIEN-FOX AFV 3,0 Izmir – créé par février 2022
- ALIENFOX III V3,0 AFV.EXE – créé par février 2022
- ALIEN-FOX AFV 3,5 JAGAUR – créé par avril 2022
- ALIEN-FOX AFV 3,5 rondrickmadeit – créé par février 2022
Cette version offre de meilleures performances et intègre des variables d'initialisation, des classes Python dotées de fonctions modulaires, ainsi que le multithreading.
AlienFox V4
L'ensemble d'outils observé le plus récemment est organisé de manière très différente, chaque outil se voyant attribuer un numéro (par exemple, outil 1, outil 2). Le script principal situé dans le répertoire racine d'AlienFox, nommé ALIENFOXV4[.]py, sert de programme de démarrage pour les scripts d'outils numérotés se trouvant dans les sous-dossiers.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La boîte à outils AlienFox met en évidence l'évolution des activités cybercriminelles dans le cloud. » Il convient notamment de noter que les attaques ne se limitent plus au minage de cryptomonnaies. Comme la plupart des outils de cette boîte à outils sont open source, les cybercriminels ont l'avantage supplémentaire de pouvoir l'adapter à leurs besoins spécifiques. SentinelOne a décrit cette boîte à outils comme étant hautement modulaire et en constante évolution, ce qui en fait une menace de plus en plus importante à mesure que de nouvelles fonctionnalités y sont ajoutées. »
Pour en savoir plus, consultez nos derniers résumés d' sur les cybermenaces.
