Dans le rapport de cette semaine, nous couvrons la dernière campagne de Kimsuky, un acteur malveillant nord-coréen soutenu par l’État, qui garantit que sa charge utile n’est téléchargée que par les victimes prévues. La nature ciblée de cette activité est un changement de tactique pour cet acteur de menace opportuniste, qui prend également beaucoup de temps pour entraver l’ingénierie inverse de ses campagnes.
Vous trouverez ensuite un résumé d’une campagne de cyberespionnage soutenue par la Chine visant à fournir le cadre d’exploitation ScanBox. La campagne TA423-operated a principalement ciblé les agences gouvernementales australiennes et les entreprises de médias d’information.
Enfin, nous examinons en premier lieu le nouveau rançongiciel dangereux Agenda, une contrainte écrite dans le langage de programmation Go et qui a été observée en fournissant des variantes personnalisées, personnalisées pour chaque victime prévue.
1. Comment les pirates informatiques de Kimsuky s’assurent que leurs attaques de logiciels malveillants n’atteignent que des cibles valides
L’acteur de menace Kimsuky en Corée du Nord prend désormais des mesures pour s’assurer que ses charges utiles malveillantes ne sont téléchargées que par des cibles valides, plutôt que de se retrouver sur les systèmes des chercheurs en sécurité.
Kimsuky est un groupe de cyberespionnage basé en Corée du Nord qui est actif depuis au moins 2012 ans. Le groupe s’est historiquement concentré sur le ciblage des entités gouvernementales et des groupes de réflexion sud-coréens et a depuis étendu ses opérations pour inclure des attaques contre des organisations situées aux États-Unis, en Russie, en Europe et dans les États membres des Nations Unies.
À ce jour, Kimsuky a principalement concentré ses activités de collecte de renseignements sur les questions de politique étrangère et de sécurité nationale liées à la péninsule coréenne, à la politique nucléaire et aux sanctions.
- Dans la nouvelle campagne de Kimsuky, que Kaspersky a baptisée GoldDragon, la chaîne d’infection commence par un e-mail d’hameçonnage ciblé contenant un document Word macro-intégré.
- Une partie de la chaîne d’attaque de la campagne est une étape de vérification, dont les résultats déterminent si l’utilisateur reçoit ou non un document malveillant.
- Les documents malveillants livrés à la victime contiennent une macro pour récupérer l’étape suivante de la charge utile. La macro, bien que simple, génère plusieurs enveloppes de commande Windows enfant dans l’intention d’échapper à l’analyse basée sur le comportement. La macro exécute finalement une charge utile conçue pour exécuter une application HTML Microsoft.
Kaspersky pense que les cibles de cette campagne sont des personnes ou des entités liées à la politique et aux activités diplomatiques, ce qui s’aligne sur les cibles historiques de Kimsuky.
Comment les pirates informatiques de « Kimsuky » s’assurent que leurs logiciels malveillants n’atteignent que des cibles valides - @billtoulashttps://t.co/hvlffA6Ur4
— BleepingComputer (@BleepinComputer) 25 août 2022
Les nouvelles garanties de Kimsuky
Kimsuky a mis en œuvre de nouvelles mesures de protection pour s’assurer que les charges utiles malveillantes des opérations ne sont téléchargées que par des cibles valides. Ces nouvelles garanties sont si efficaces que Kaspersky a signalé une incapacité à acquérir les charges utiles finales, même après s’être connecté au serveur de commande et de contrôle (C2) de Kimsuky.
Les e-mails d’hameçonnage ciblé de la campagne contiennent un lien qui amène la victime vers un serveur C2 de première étape qui vérifie l’hôte compromis par rapport à une liste de cibles valides et vérifie l’existence de plusieurs conditions qui doivent être remplies avant la livraison du document malveillant.
Si la victime ne correspond pas à la liste des cibles, elle reçoit un document inoffensif. Curieusement, les documents malveillants et bénins sont livrés à l’utilisateur via le même script. Le document déposé à la première étape C2 contient une macro malveillante qui connecte la victime à la deuxième étape C2, récupère la charge utile de l’étape suivante et l’exécute avec le processus mshta.exe.
L’un des C2 scripts génère une adresse de blog unique basée sur l’adresse IP de la victime en coupant les 20 derniers caractères de la valeur hachée de l’adresse. Les chercheurs pensent que l’intention ici est d’exploiter un faux blog dédié pour chaque victime afin de donner une apparence de légitimité à l’escroquerie et de réduire la probabilité de détection.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Kimsuky est un acteur malveillant très sophistiqué qui a récemment fait la une des journaux pour avoir utilisé des extensions Google Chrome pour voler des e-mails appartenant à des personnes d’intérêt. La vérification de chaque personne qui clique sur le lien malveillant est une tâche défensive nécessitant un niveau sérieux d’engagement et de ressources, et démontre le degré croissant de maturité Kimsuky et met en lumière son objectif ultime : effectuer une activité de cyberespionnage hautement ciblée. Le groupe opportuniste s’efforcera clairement d’entraver toute rétro-ingénierie potentielle. »
2. Les pirates informatiques chinois ciblent le gouvernement australien avec des logiciels malveillants ScanBox
Proofpoint et PwC ont conjointement identifié une campagne de cyberespionnage fournissant le cadre d’exploitation ScanBox. Le rapport se penche sur l’attaque du trou d’arrosage, qui est censée être effectuée d’ici TA423.
TA423, également connu sous le nom de Red Ladon et APT40, est un acteur chinois de cyberespionnage qui est considéré comme actif depuis 2013. Le groupe a ciblé diverses organisations au fil des ans en réponse à des événements géopolitiques dans la région Asie-Pacifique, en mettant l’accent sur la mer de Chine méridionale.
Les organisations précédemment ciblées comprenaient des entrepreneurs en défense, des fabricants, des universités, des agences gouvernementales, des cabinets juridiques impliqués dans des litiges diplomatiques et des entreprises étrangères impliquées dans des politiques australiennes ou des opérations en mer de Chine méridionale.
TA423 a à plusieurs reprises attiré l’attention des forces de l’ordre internationales ; le ministère américain de la Justice a inculpé plusieurs membres du groupe juste l’année dernière.
Campagne récente de TA423
TA423’s campagnes récentes ont commencé en avril 2022 et ont impliqué le déploiement d’ e-mails d’hameçonnage qui ont redirigé les victimes vers un site Web malveillant fournissant la charge utile du logiciel malveillant ScanBox à ses victimes.
La campagne ciblait principalement les agences gouvernementales australiennes locales et fédérales, les sociétés australiennes de médias d’information et les fabricants mondiaux de l’industrie lourde qui assurent la maintenance des flottes d’éoliennes en mer de Chine méridionale.
Les e-mails d’hameçonnage liés à ScanBox provenaient de Gmail et d’adresses e-mail Outlook qui, selon Proofpoint, ont été créés par l’acteur malveillant lui-même. Les e-mails prétendent provenir d’une personne qui démarre un site Web d’actualités à la recherche de commentaires d’utilisateurs sur son site et contiennent un lien vers le site malveillant. L’URL malveillante semble être personnalisée pour chaque cible, mais toutes sont redirigées vers la même page pour fournir la même charge utile ScanBox.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il n’est pas surprenant que les acteurs basés en Chine continuent de cibler les organisations dont les activités s’alignent sur les intérêts de l’État. TA423’s Une activité récente est un rappel que, indépendamment des meilleurs efforts des forces de l’ordre américaines, ces actions sont le plus souvent une tentative d’apaiser le public et de promouvoir l’idée que la portée de l’Amérique est longue lorsqu’il s’agit de poursuivre les pirates internationaux. Les acteurs malveillants soutenus par l’État chinois savent très bien qu’ils sont difficiles à suivre et encore plus difficiles à poursuivre. Même une mise en examen publique par le ministère de la Justice des États-Unis ne pourrait pas empêcher ce groupe d’accomplir sa mission d’espionnage prévue. Le seul avantage est la connaissance de la méthodologie employée par ces groupes que ces inculpations fournissent souvent. »
« Cette activité peut également mettre en évidence un retour aux bases pour TA423. Sa dernière utilisation documentée de ScanBox a eu lieu au cours d’une campagne 2018 , après laquelle l’acteur malveillant est passé à l’injection de modèles RTF et aux macros malveillantes. ScanBox pourrait-elle connaître une résurgence parmi les acteurs soutenus par l’État chinois ? Le temps le dira. »
3. Nouveau programme ransomware personnalisé pour chaque victime
Les rapports récents de Trend Micro révèlent un nouveau rançongiciel ciblé écrit dans le langage de programmation Go.
Comme en témoignent ses notes de rançon, le rançongiciel est appelé Agenda et est censé cibler les entreprises en Asie et en Afrique. L’agenda peut redémarrer les systèmes en mode sécurisé, tente d’arrêter de nombreux processus et services spécifiques au serveur et dispose de plusieurs modes dans lesquels il peut s’exécuter.
Trend Micro a collecté et analysé plusieurs échantillons, qui étaient tous des fichiers PE Windows 64 bits écrits dans Go et destinés aux systèmes basés sur Windows. Le groupe distribuant le logiciel malveillant a été observé ciblant des organisations de soins de santé et d’éducation en Indonésie, en Arabie saoudite, en Afrique du Sud et en Thaïlande.
Chaque échantillon de rançongiciel a été personnalisé pour la victime prévue, y compris des détails tels que l’ID de l’entreprise, la clé RSA, les processus et les services à tuer avant le cryptage, et le montant de la rançon. Les chercheurs pensent que le groupe Agenda ransomware offre aux affiliés des options pour personnaliser les charges utiles binaires configurables pour chaque victime.
Chaîne de destruction de l’agenda
Trend Micro a exploré un incident particulier impliquant un rançongiciel Agenda et a découvert l’acteur malveillant derrière celui-ci en utilisant un serveur Citrix public comme point d’entrée.
On pense que l’acteur malveillant a tiré parti d’un compte valide pour accéder au serveur et se déplacer plus tard dans le réseau de la victime, car le ransomware a été configuré avec des comptes valides et privilégiés.
Les chercheurs notent que moins de deux jours se sont écoulés entre l’accès au serveur Citrix et l’infection par ransomware. L’acteur malveillant a abandonné et exploité des outils d’analyse, tels que Nmap et Nping, pour analyser le réseau le premier jour, puis a créé un objet de politique de groupe (GPO) avant de déployer le ransomware.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les rançongiciels d’agenda se sont avérés hautement personnalisables et correspondent à de nombreuses autres opérations de rançongiciels qui augmentent à la fois leur compatibilité entre les plateformes et continuent à faire évoluer leurs techniques pour rester efficaces et attrayantes pour les affiliés potentiels. La capacité d’Agenda à tirer parti de la fonction de mode sécurisé d’un appareil lui permet de poursuivre sa routine de chiffrement pratiquement inaperçue. L’ordre du jour est un autre exemple de la barrière toujours plus faible à l’entrée pour les acteurs malveillants qui cherchent à se livrer à des attaques de ransomware, quelle que soit la sophistication. »
Avez-vous des mises à jour ou des informations à partager sur les histoires de cette semaine ? Commencez une conversation en visitant notre forum de discussion. Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
