Dans le rapport de cette semaine, nous nous penchons sur la dernière campagne menée par Kimsuky, un acteur malveillant nord-coréen soutenu par l'État, qui veille à ce que sa charge utile ne soit téléchargée que par les victimes ciblées. Le caractère ciblé de cette activité marque un changement de tactique de la part de cet acteur malveillant opportuniste, qui met également tout en œuvre pour entraver la rétro-ingénierie de ses campagnes.
Nous allons maintenant vous présenter un résumé d'une campagne de cyberespionnage soutenue par la Chine et visant à diffuser le cadre d'exploitation ScanBox. La campagne « TA423-operated » s'est principalement adressée aux organismes gouvernementaux australiens et aux médias d'information.
Enfin, nous vous proposons un premier aperçu du nouveau ransomware dangereux « Agenda » — une souche écrite en langage de programmation Go et dont on a constaté qu’elle diffusait des variantes personnalisées, conçues sur mesure pour chaque victime visée.
1. Comment les pirates informatiques de Kimsuky s'assurent que leurs attaques malveillantes ne touchent que des cibles légitimes
L'acteur malveillant nord-coréen « Kimsuky » prend désormais des mesures pour s'assurer que ses charges utiles malveillantes « » (s'ouvre dans un nouvel onglet) ne soient téléchargées que par des cibles légitimes, plutôt que de se retrouver sur les systèmes des chercheurs en sécurité.
Kimsuky (s'ouvre dans un nouvel onglet) est un groupe de cyberespionnage basé en Corée du Nord, actif depuis au moins 2012. Ce groupe s'est historiquement concentré sur des entités gouvernementales et des groupes de réflexion sud-coréens, puis a étendu ses activités pour inclure des attaques contre des organisations situées aux États-Unis, en Russie, en Europe et dans des États membres de l'ONU.
À ce jour, Kimsuky a principalement axé ses activités de collecte de renseignements sur les questions de politique étrangère et de sécurité nationale liées à la péninsule coréenne, à la politique nucléaire et aux sanctions.
- Dans la nouvelle campagne de Kimsuky, que Kaspersky a baptisée « GoldDragon », la chaîne d'infection commence par un e-mail de spear-phishing contenant un document Word dans lequel est intégrée une macro.
- Une étape de vérification fait partie de la chaîne d'attaque de cette campagne ; ses résultats déterminent si l'utilisateur reçoit ou non un document malveillant.
- Les documents malveillants transmis à la victime contiennent une macro permettant de récupérer la phase suivante de la charge utile. Bien que simple, cette macro lance plusieurs fenêtres de commande Windows filles dans le but de contourner l'analyse comportementale. La macro finit par exécuter une charge utile conçue pour lancer une application HTML de Microsoft.
Kaspersky estime que les cibles de cette campagne sont des personnes ou des entités liées au monde politique et aux activités diplomatiques, ce qui correspond aux cibles habituelles de Kimsuky.
Comment les pirates informatiques du groupe « Kimsuky » s'assurent que leurs logiciels malveillants n'atteignent que des cibles valides - @billtoulas bleepingcomputer.com/news/security/…
Les nouvelles mesures de sécurité de Kimsuky
Kimsuky a mis en place de nouvelles mesures de sécurité afin de garantir que les charges utiles malveillantes ne soient téléchargées que par des cibles légitimes. Ces nouvelles mesures de sécurité sont si efficaces que Kaspersky a signalé ne pas avoir pu récupérer les charges utiles finales, même après s'être connecté au serveur de commande et de contrôle (C2) de Kimsuky.
Les e-mails de spear-phishing de cette campagne contiennent un lien qui redirige la victime vers un serveur de première étape « C2 », lequel vérifie si l'hôte compromis figure sur une liste de cibles valides et s'assure que plusieurs conditions sont remplies avant que le document malveillant ne soit transmis.
Si la victime ne figure pas sur la liste des cibles, un document anodin lui est transmis. Aussi étrange que cela puisse paraître, les documents malveillants et inoffensifs sont tous deux transmis à l'utilisateur via le même script. Le document déposé par la première phase C2 contient une macro malveillante qui connecte la victime à la deuxième phase C2, récupère la charge utile de la phase suivante et l'exécute via le processus mshta.exe.
L'un des C2 scripts génère une adresse de blog unique à partir de l'adresse IP de la victime, en supprimant les 20 derniers caractères de la valeur hachée de cette adresse. Les chercheurs estiment que l'objectif ici est de gérer un faux blog dédié à chaque victime afin de donner une apparence de légitimité à l'arnaque et de réduire le risque d'être démasqué.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Kimsuky est un acteur malveillant très sophistiqué qui a récemment fait la une de l’actualité pour avoir utilisé des extensions Google Chrome afin de dérober des e-mails (s’ouvre dans un nouvel onglet) appartenant à des personnes d’intérêt. » La vérification de chaque personne qui clique sur le lien malveillant constitue une tâche défensive exigeant un niveau considérable d'engagement et de ressources ; elle témoigne de la maturité croissante de Kimsuky et met en lumière son objectif ultime : mener des activités de cyberespionnage hautement ciblées. « Il est évident que ce groupe opportuniste mettra tout en œuvre pour empêcher toute tentative de rétro-ingénierie. »
2. Des pirates informatiques chinois prennent pour cible le gouvernement australien à l'aide du logiciel malveillant ScanBox
Proofpoint et PwC (s'ouvre dans un nouvel onglet) ont identifié conjointement une campagne de cyberespionnage utilisant le cadre d'exploitation ScanBox. Ce rapport examine en détail l'attaque de type « watering hole », qui serait le fait de TA423.
« TA423 », également connu sous les noms de « Red Ladon » et « APT40 », est un acteur malveillant spécialisé dans le cyberespionnage basé en Chine, dont on estime qu'il est actif depuis 2013. Au fil des ans, ce groupe a pris pour cible diverses organisations en réaction aux événements géopolitiques survenus dans la région Asie-Pacifique, en mettant l'accent sur la mer de Chine méridionale.
Parmi les organisations précédemment ciblées figuraient des sous-traitants du secteur de la défense, des industriels, des universités, des organismes publics, des cabinets d'avocats impliqués dans des litiges diplomatiques, ainsi que des entreprises étrangères impliquées dans la politique australasienne ou dans des opérations en mer de Chine méridionale.
Le groupe « TA423 » a à plusieurs reprises attiré l'attention des autorités internationales chargées de l'application de la loi ; le Bureau des enquêtes spéciales ( ) du ministère américain de la Justice a mis en examen (s'ouvre dans un nouvel onglet) plusieurs membres de ce groupe pas plus tard que l'année dernière.
La récente campagne de TA423
La campagne « TA423’s », lancée récemment sur avril 2022 , consistait à envoyer des e-mails de hameçonnage qui redirigeaient les victimes vers un site web malveillant leur injectant le logiciel malveillant ScanBox.
Cette campagne visait principalement les organismes gouvernementaux australiens, tant locaux que fédéraux, les médias australiens, ainsi que les fabricants mondiaux de l'industrie lourde chargés de l'entretien de parcs éoliens en mer de Chine méridionale.
Les e-mails de hameçonnage liés à ScanBox provenaient d'adresses e-mail Gmail et Outlook qui, selon Proofpoint, auraient été créées par l'auteur de la menace lui-même. Ces e-mails prétendent provenir d'une personne qui lance un site d'actualités et qui sollicite l'avis des utilisateurs sur son site ; ils contiennent un lien vers le site malveillant. L'URL malveillante semble être personnalisée pour chaque cible, mais toutes redirigent vers la même page afin de diffuser la même charge utile ScanBox.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il n’est guère surprenant que des acteurs basés en Chine continuent de cibler des organisations dont les activités correspondent aux intérêts de l’État. Les activités récentes de TA423’s nous rappellent que, malgré tous les efforts déployés par les forces de l’ordre américaines, ces actions visent le plus souvent à apaiser l’opinion publique et à promouvoir l’idée que les États-Unis ont une grande portée lorsqu’il s’agit de poursuivre les pirates informatiques internationaux. » Les acteurs malveillants soutenus par l'État chinois savent très bien qu'ils sont difficiles à tracer et encore plus difficiles à poursuivre en justice. Même une mise en accusation publique par le ministère américain de la Justice n'a pas suffi à empêcher ce groupe de mener à bien la mission d'espionnage qu'il s'était fixée. « Le seul aspect positif réside dans l'aperçu que ces mises en accusation offrent souvent sur la méthodologie employée par ces groupes. »
« Cette activité pourrait également marquer un retour aux fondamentaux pour le cours TA423. » La dernière utilisation avérée de ScanBox remonte à une campagne « 2018 », à l'issue de laquelle l'auteur de la menace s'est tourné vers l'injection de modèles RTF et l'utilisation de macros malveillantes. Se pourrait-il que ScanBox connaisse un regain d'intérêt parmi les acteurs soutenus par l'État chinois ? « L'avenir nous le dira. »
3. Le nouveau ransomware « Agenda », personnalisé pour chaque victime
Un rapport récent d' , de Trend Micro, disponible à l'adresse (s'ouvre dans un nouvel onglet) , révèle l'existence d'un nouveau ransomware ciblé, écrit en langage de programmation Go.
Comme l'indiquent ses notes de rançon, ce ransomware s'appelle « Agenda » et semblerait cibler des entreprises en Asie et en Afrique. Agenda permet de redémarrer les systèmes en mode sans échec, tente d'arrêter de nombreux processus et services spécifiques aux serveurs, et dispose de plusieurs modes de fonctionnement.
Trend Micro a recueilli et analysé plusieurs échantillons, qui étaient tous des fichiers PE Windows 64 bits écrits en Go et ciblant les systèmes Windows. On a constaté que le groupe à l'origine de la diffusion de ce logiciel malveillant ciblait des organismes du secteur de la santé et de l'éducation en Indonésie, en Arabie saoudite, en Afrique du Sud et en Thaïlande.
Chaque échantillon de ransomware était personnalisé en fonction de la victime visée, avec des informations telles que l'identifiant de l'entreprise, la clé RSA, les processus et les services à arrêter avant le chiffrement, ainsi que le montant de la rançon. Les chercheurs estiment que le groupe de ransomware Agenda propose à ses affiliés la possibilité de personnaliser des charges utiles binaires configurables pour chaque victime.
La chaîne d'élimination d'Agenda
Trend Micro a mené une enquête approfondie sur un incident spécifique impliquant le ransomware Agenda et a découvert que l'auteur de cette menace utilisait un serveur Citrix accessible au public comme point d'entrée.
On pense que l'auteur de l'attaque a utilisé un compte valide pour accéder au serveur, puis s'est déplacé au sein du réseau de la victime, le rançongiciel ayant été configuré avec des comptes valides et dotés de privilèges.
Les chercheurs soulignent que moins de deux jours se sont écoulés entre l'accès au serveur Citrix et l'infection par le rançongiciel. L'auteur de l'attaque a déployé et utilisé des outils d'analyse, tels que Nmap et Nping, pour analyser le réseau dès le premier jour, puis a créé un objet de stratégie de groupe (GPO) avant de déployer le rançongiciel.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le ransomware Agenda s’est révélé hautement personnalisable et s’inscrit parfaitement dans la lignée de nombreuses autres opérations de ransomware qui, d’une part, renforcent leur compatibilité multiplateforme et, d’autre part, continuent de faire évoluer leurs techniques afin de maintenir leur succès et leur attractivité auprès d’affiliés potentiels. » La capacité d'Agenda à tirer parti de la fonctionnalité « mode sans échec » d'un appareil lui permet d'exécuter sa routine de chiffrement de manière pratiquement inaperçue. « Agenda constitue un nouvel exemple de la facilité croissante avec laquelle les cybercriminels peuvent se lancer dans des attaques par rançongiciel, quel que soit leur niveau de sophistication. »
Avez-vous des informations récentes ou des réflexions à partager concernant les sujets abordés cette semaine ? Lancez la conversation en envoyant un e-mail à ou en vous rendant sur notre forum de discussion. Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés sur .
