Tout d’abord, nous examinons un rapport détaillant plusieurs packages Python frauduleux dans le registre PyPI, dont les chercheurs affirment qu’ils distribuent des logiciels malveillants de vol d’informations. Ensuite, nous enquêtons sur le dernier rapport de KELA, qui contient une multitude de conclusions relatives à l’activité associée aux rançongiciels de premier plan, ainsi qu’une vue d’ensemble des chiffres de vente d’informations d’identification volées recueillis auprès des courtiers d’accès initiaux (IAB) au cours du dernier trimestre.
1. Des dizaines de packages PyPI ont été détectés en abandonnant W4SP programmes malveillants de vol d’informations
Un nouveau rapport de la société de sécurité de la chaîne d’approvisionnement logicielle Phylum révèle l’existence de plusieurs packages Python dans le registre PyPI, dont les chercheurs affirment qu’ils distribuent des logiciels malveillants de vol d’informations (le voleur d’informations W4SP en particulier est abandonné sur des machines compromises via un code malveillant masqué injecté dans ces packages).
Les chercheurs ont découvert 29 packages dans le référentiel #Python Package Index (PyPI) qui visent à infecter les machines des développeurs avec un #malware appelé W4SP Stealer. Lire : https://t.co/jgCZPawWyE#infosec #cybersecurity #hacking
— The Hacker News (@TheHackersNews) 5 novembre 2022
La plateforme automatisée de détection des risques de Phylum a alerté ses analystes d’activités suspectes provenant de dizaines de packages PyPI nouvellement publiés. Ses chercheurs caractérisent l’activité comme une tentative sophistiquée de fournir le vol d’informations W4SP aux machines appartenant aux développeurs Python.
Selon Phylum, cette attaque commence par l’acteur malveillant non nommé qui copie les bibliothèques populaires existantes et injecte la base de code des packages autrement bénins avec une déclaration __importe__ malveillante.
En copiant des packages authentiques existants, l’acteur peut bénéficier de la page d’accueil PyPI jointe à chaque package (générée par son setup.py et incluant les packages originaux README.md), dont le résultat est une page d’accueil réelle, complétée par des liens de travail, donnant un sens significatif de légitimité à la procédure.
De Phylum : « Voici la page d’accueil PyPI pour les types de packages malveillantsutil. Vous pouvez voir que l’attaquant vient de copier le package datetime2 et a apporté quelques légères modifications afin de rendre le texte cohérent avec le nom du package fictif sous lequel il a été publié. »
Les attaques semblent avoir commencé quelque part autour de 1 octobre 2022, prenant progressivement de l’élan et devenant digne d’être classées comme une campagne de lutte concentrée autour de 22 octobre 2022. Cependant, Phylum concède avoir observé un petit nombre de packages contenant des indicateurs de compromission (IOC) similaires, publiés dans juillet 2022.
La théorie du travail est que cette activité antérieure était probablement un test de preuve de concept (PoC), permettant aux attaquants de tester leur méthodologie. Ce que nous voyons actuellement pourrait très bien être le résultat de ces efforts exploratoires.
Évolution des tactiques contradictoires
Lors de l’analyse des packages qui représentent l’aboutissement des efforts de cet acteur malveillant (les plus anciens en particulier), il est devenu clair pour les chercheurs que la part du lion de ceux-ci était simplement compromise en injectant la déclaration malveillante __importation__ référencée ci-dessus dans setup.py ou __init__.py. Il s’est avéré qu’il s’agissait d’une solution quelque peu fictive et le rejet de l’importation dans des emplacements assez évidents et faciles à trouver a entraîné la détection et la suppression de nombreuses tentatives de l’acteur.
Cela a incité l’attaquant à changer de tactique. Au lieu de simplement vider l’importation dans un endroit facile à trouver dans les packages ciblés, l’importation a commencé à être délibérément placée loin de l’écran ; ce que l’adversaire a accompli en tirant parti du point-virgule rarement utilisé de Python pour placer le code malveillant parallèlement au code légitime sur les mêmes lignes (voir ci-dessous pour une capture d’écran de setup.py tirée des types de packages malveillantsutil).
Au début, rien ne semble désordonné. Ce n’est que lorsque l’on élargit sa fenêtre d’éditeur de code (ou active l’enveloppement de mots) que la ruse est exposée, et que __importation__ est soudainement visible, bien loin dans le champ de gauche, compensée par 318 espaces (voir ci-dessous).
Dans de nombreux cas, une seconde ou deux d’imprudence ou d’inattention aux détails de la part du développeur est tout ce qu’il faut pour tirer parti d’un package malveillant à la place de son homologue légitime, ce qui déclenche involontairement un incident potentiel de la chaîne d’approvisionnement logicielle.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« En tenant compte du fait que la sécurité de la chaîne d’approvisionnement logicielle est un sujet d’actualité, ainsi que du flux constant de risques auxquels le secteur des logiciels open source est confronté, des histoires telles que celle-ci doivent être prises au sérieux. Cela dit, il existe une grande différence entre prendre une menace au sérieux et agir en conséquence de manière calme et mesurée, et permettre à une menace potentielle de créer un chaos et de dicter chaque mouvement. »
« L’enseignement ici est que les incidents tels que Heartbleed et la compromission très percutante de SolarWinds ont fait une marque indélébile sur le paysage des cybermenaces, et que les choses ne seront probablement jamais les mêmes. Est-ce une bonne chose ? Le paysage des menaces était- il normal ou stable ? C’est une question très subjective, et une question à laquelle je n’essaierai pas de répondre. Cependant, le consensus actuel entre les experts en renseignement est que le cyberdomaine a atteint un point d’instabilité qui n’a pas été observé précédemment par la plupart des sources dont nous dépendons pour l’information. »
« Cependant, il existe de nombreux avantages à travailler avec des plateformes open source. Et il est important de cultiver un scepticisme sain concernant la capacité d’un grand nombre de projets à mettre en œuvre la sécurité de manière cohérente et fiable en tant que fonctionnalité, par rapport à une réflexion après coup. »
« L’histoire PyPI mentionnée ci-dessus n’est que la dernière d’une longue gamme d’exemples d’acteurs malveillants tentant de compromettre les packages, les bibliothèques et les projets sur lesquels les développeurs s’appuient depuis des années pour simplifier leur travail, dont certains peuvent considérer l’intégrité et l’authenticité des ressources qu’ils importent comme acquises. »
« En réalité, les logiciels open source ne recevraient pas autant d’attention de nos adversaires s’ils n’étaient pas un véhicule aussi attrayant et très performant pour la livraison de charges utiles malveillantes ou la réalisation d’autres objectifs malveillants. »
2. Le rapport KELA détaille l’activité des rançongiciels et les ventes d’accès réseau pour le troisième trimestre de 2022
Le rapport récemment publié de KELA « Les victimes de ransomware et les ventes d’accès réseau en Q3 2022 » contient une multitude de résultats liés aux principales activités de ransomware et aux ventes générées par le courtier d’accès initial (IAB) pour le dernier trimestre de 2022.
Le rapport met l’accent sur le fait que les acteurs malveillants ont proposé des offres d’accès initiales plus coûteuses ce trimestre, ce qui indique probablement que la demande de points d’accès et d’informations d’identification volées augmente.Constatations de rançongiciels
deKELA
En Q3 2022, KELA a identifié environ 600 victimes dans ses sources, y compris les blogs/portails des acteurs des ransomwares, les sites de fuite de données et les rapports publics. En moyenne, KELA a observé environ 200 attaques chaque mois pour Q3 , contre 216 pour Q2.
Principaux groupes de ransomwares
Les groupes de ransomwares les plus prolifiques pour Q3 étaient LockBit, Black Basta, Hive, Alphv/BlackCat et BianLian.
- LockBit : LockBit comptait plus de 200 victimes, ce qui est quatre fois plus que ses rivaux les plus proches et a conservé sa position en tête de liste.
- Black Basta : l’activité de Black Basta est restée stable entre Q2 et Q3 , avec 50 victimes chacune.
- Hive : Hive semble avoir considérablement augmenté son activité par rapport à Q2 d’environ 67 %.
- Alphv/BlackCat : l’activité de cette opération a diminué d’environ 28 %, passant de Q2 à Q3.
- BianLian : BianLian est un groupe de rançongiciels relativement nouveau qui s’est rapidement hissé parmi les cinq premiers ce mois-ci.
Principaux secteurs des ransomwares
Selon KELA, le secteur le plus ciblé par les rançongiciels pour ce trimestre était les services professionnels. LockBit, Hive et Alphv étaient responsables d’environ la moitié des attaques dans ce secteur. Les secteurs suivants les plus ciblés étaient la fabrication, les produits industriels et la santé.
Principaux pays rançongiciels
Les États-Unis semblent être le pays le plus ciblé pour ce trimestre, 40 % des KELA ayant observé des attaques ayant un impact sur les entreprises américaines. Après les États-Unis se trouvent le Royaume-Uni, la France, l’Allemagne et l’Espagne.
Ventes d’accès réseau
Pour Q3 KELA, plus de 570 listes d’accès réseau ont été tracées à la vente, avec un prix demandé cumulé d’environ 4 millions USD, bien qu’un accès ait été proposé pour 3 millions USD lui-même. Ce chiffre est une augmentation significative par rapport à environ 660 000 USD demandés en Q2. Cependant, à l’exclusion de la seule valeur aberrante de 3 millions USD, la différence ne serait pas aussi vaste.
À l’exclusion de cette offre, le prix moyen d’accès était d’environ 2 800 USD pour Q3 , contre 1 500 USD pour Q2. Le prix médian reflète un changement plus significatif de 300 USD en Q2 à 1350 USD en Q3. Cette augmentation montre que les acteurs ont proposé des listes plus coûteuses en général pour ce trimestre.
Conclusions initiales du courtier d’accès
Environ 110 acteurs se sont engagés à vendre des accès réseau, ce qui n’est pas loin du nombre d’acteurs au trimestre précédent.
Principaux courtiers d’accès initiaux
Chacun des trois principaux IAB est proposé à la vente depuis 40-100 accès.
- R1z : Cet acteur a rejoint les forums de cybercriminalité en 2019 , mais a commencé à vendre l’accès réseau en juillet 2022. L’acteur a tendance à vendre des vulnérabilités d’exécution de code à distance et a publié environ 100 listes pour Q3.
- Salvador_Dali : cet acteur est un IAB depuis mai 2022 et cible principalement les entreprises basées aux États-Unis. Cet acteur ne spécifie généralement pas le type d’accès ou le prix.
- Orangecake : cet acteur est actif depuis septembre 2021 et offre généralement un accès VPN-RDP à la vente. Cet acteur a démontré une réputation élevée sur les forums et a même été vu collaborer avec divers groupes de ransomwares.
Principaux pays et secteurs ciblés par l’IAB
Les États-Unis étaient le pays le plus ciblé par les IAB, tout comme en Q2, revendiquant 30 % du nombre total de victimes. Les États-Unis sont suivis du Royaume-Uni, du Canada et de l’Inde. Le secteur des services professionnels était le secteur vertical le plus ciblé par les IAB, suivi par les produits industriels et manufacturiers, et le secteur technologique.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il est important de se rappeler qu’il serait impossible pour une entreprise de collecter des informations sur chaque cyberattaque à travers le monde pendant une période donnée, en particulier en tenant compte du nombre de cyberattaques qui pourraient ne pas être signalées ou attribuées. Il est également nécessaire de prendre ces données avec un grain de sel, car CTI ne peut pas confirmer qu’elles sont entièrement complètes. »
« CTI a fait état de toutes les opérations que KELA a répertoriées dans ses principaux groupes de ransomwares et a également fait de nombreux rapports sur les IAB au cours des derniers mois, ce qui s’aligne assez bien sur ce que KELA a signalé. Ce qui pourrait être le plus notable à tirer de ces données est le fait que les acteurs malveillants offrent un accès réseau à un prix beaucoup plus élevé par rapport au trimestre dernier. Est-ce que les cybercriminels sont prêts à payer un montant plus élevé pour entrer sur le marché ? Ou les IAB deviennent-ils simplement plus gourmands avec leurs offres ? »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
