Dans le résumé de cette semaine, CTI examine un rapport de Trend Micro qui couvre la perturbation précédente de LockBit par les forces de l’ordre, y compris leur analyse d’une version de ransomware qui était en cours de développement au moment de la perturbation. Ensuite, CTI explore un rapport Sophos récent qui évalue l’impact des attaques par ransomware. Enfin, CTI conclut avec une vue d’ensemble d’un acteur malveillant connu sous le nom de Earth Freybug qui utilise un nouveau logiciel malveillant appelé UNAPIMON.
1. Impact des forces de l’ordre sur LockBit
Trend Micro a publié un rapport qui enquête sur la perturbation précédente de LockBit par les forces de l’ordre, y compris des détails sur la manière dont LockBit a continué à fonctionner après la perturbation. Le rapport comprend également une analyse d’une version de ransomware LockBit qui était en cours de développement au moment de la perturbation.
À propos du retrait de LockBit
Les sites de fuite de données associés à LockBit ont commencé à afficher un message d’erreur 404 sur 19 février. C’est le résultat de l’opération Cronos, un effort d’application de la loi conçu pour détruire l’infrastructure de LockBit.
Une heure après que Trend Micro a observé ce message d’erreur sur le site, il est revenu en ligne avec une page d’accueil des forces de l’ordre confirmant que les sites étaient sous le contrôle des forces de l’ordre. Ensuite, les forces de l’ordre ont mis à jour le site pour imiter la page traditionnelle de LockBit, mais comprenaient du contenu lié aux communiqués de presse, aux mises en examen et aux arrestations.
Sur cette page, les forces de l’ordre ont également fait référence à LockBitSupp, le soi-disant cerveau derrière LockBit, notant que le compte avait été banni des forums de cybercriminalité tels qu’ Exploit et XSS. La page comprenait également une annonce indiquant que les clés de décryptage seraient mises à la disposition des victimes.
Les forces de l’ordre ont ensuite divulgué les détails du panneau d’administration et ont révélé qu’elles étaient en mesure d’accéder aux chats entre les affiliés et les victimes, les aidant ainsi à identifier les victimes. Ils ont pu identifier 193 comptes affiliés en plus de divers comptes de test et du compte administrateur.
À propos de LockBit-NG-Dev
Trend Micro a obtenu et analysé un échantillon de LockBit-NG-Dev, qui, selon eux, est une autre version du ransomware en cours de développement.
L’analyse de cette version par Trend Micro a également été publiée sur le site de fuite saisi par les forces de l’ordre. Cette version était différente des variantes LockBit précédentes écrites dans .NET, compilées via CoreRT, et est indépendante de la plateforme.
Activité LockBit après la perturbation
En réponse à la perturbation, LockBitSupp a annoncé qu’elle prévoyait de créer de nouveaux sites Onion. Sur un forum souterrain, le groupe a révélé qu’ils cherchaient à acheter des domaines .gov, .edu et .org, indiquant ainsi une intention d’attaquer des organisations gouvernementales.
Le nouveau site de fuite LockBit semblait prometteur, mais avec LockBitSupp toujours interdit de plusieurs forums, il ne semblait pas qu’il allait décoller. Après la perturbation, il y a eu une chute très nette du nombre réel d’attaques LockBit.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
LockBit a essayé de rester à flot suite à une perturbation des forces de l’ordre, allant jusqu’à réafficher d’anciennes données sur son site et à modifier l’arborescence des fichiers pour qu’elle apparaisse récemment mise à jour. Cette perturbation coordonnée entre plusieurs agences d’application de la loi a été essentielle pour s’assurer que LockBit ne serait pas en mesure de reprendre immédiatement ses opérations normales.
Cependant, cela ne signifie pas que LockBit ne reviendra jamais. Après tout, les agences ne parviennent souvent pas à éliminer complètement les cybercriminels et parfois à les perturber pendant une courte période. Il convient également de se rappeler que les groupes de menaces se rebrandent souvent, ce qui signifie que les créateurs sophistiqués et les affiliés de LockBit peuvent toujours être là.
2. Les vulnérabilités non corrigées contribuent aux attaques par ransomware
Un rapport récent de Sophos examine l’ impact des attaques par rançongiciels et révèle que ceux provenant de l’exploitation de vulnérabilités non corrigées ont un impact plus important que ceux provenant d’informations d’identification compromises.
Le rapport explore comment les résultats des attaques ont tendance à différer en fonction de la cause profonde, en comparant l’impact financier, l’impact opérationnel et la gravité globale.
Attaques par rançongiciel résultant de vulnérabilités non corrigées
Sophos a découvert qu’environ 32 % des attaques de ransomware commencent par l’exploitation d’une vulnérabilité non corrigée.
Ce nombre change lorsque l’on examine des secteurs individuels avec les secteurs les plus élevés (énergie, pétrole/gaz et services publics) ayant 49 % de leurs attaques de ransomware à partir de vulnérabilités.
Sophos a également constaté que ce pourcentage augmente en fonction de la taille de l’organisation, ce qui est souvent le cas puisque les grandes organisations disposent de services d’attaque plus importants et donc de plus de technologies à maintenir.
Gravité accrue
Comme indiqué, Sophos a constaté que les attaques par rançongiciel provenant d’une vulnérabilité exploitée sont plus graves, en particulier parmi les compromissions de sauvegarde, le chiffrement des données et les paiements de rançon.
- 75 % des attaques par ransomware qui ont tenté de compromettre les sauvegardes ont réussi lorsque l’attaque a commencé avec une vulnérabilité exploitée par rapport à celles qui ont commencé avec des informations d’identification compromises.
- 67 % des attaques ont entraîné un chiffrement des données lorsqu’elles ont commencé avec une vulnérabilité exploitée, contre 43 % qui ont commencé avec des informations d’identification compromises.
- 71 % des organisations compromises ont vu leurs données chiffrées lorsque l’attaque a commencé avec une vulnérabilité exploitée, contre seulement 45 % qui ont commencé avec des informations d’identification compromises.
Impact financier et opérationnel accru
Il ne devrait pas être surprenant que le fait d’avoir des vulnérabilités non corrigées dans votre environnement puisse mettre votre organisation en danger. Sophos a découvert que les attaques de ransomware commençant par une vulnérabilité exploitée ont un impact financier et opérationnel plus important que celles qui ont commencé avec des informations d’identification compromises.
L’enquête a révélé que la cause profonde n’a pas modifié le montant global du paiement de rançon, mais a eu un impact sur la personne qui a financé le paiement. Par exemple, 31 % des organisations ont financé le paiement complet en interne lorsque l’attaque a commencé avec une vulnérabilité, contre seulement 2 % lorsque l’attaque a commencé avec des informations d’identification compromises.
Opérationnellement, 45 % des organisations attaquées ont mis plus d’un mois à se rétablir lorsque l’attaque a commencé avec une vulnérabilité exploitée, et 37 % ont pris plus d’un mois lorsqu’elle a commencé avec des informations d’identification compromises.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Sophos a inclus ses propres recommandations pour se protéger contre les attaques par ransomware provenant de vulnérabilités non corrigées, mais tout se résume vraiment à une chose : la gestion des correctifs.
L’application de correctifs, en particulier en temps opportun, est essentielle pour aider à réduire le risque d’attaques de ransomware et d’autres cyberattaques. Étant donné que toutes les attaques par ransomware ne commencent pas par des vulnérabilités, il est tout aussi important d’avoir une surveillance continue pour pouvoir répondre à tous les types d’activités suspectes.
Comme le note Sophos, « la technologie seule ne peut pas arrêter chaque attaque » et des défenseurs qualifiés sont nécessaires.
3. Earth Freybug déploie un logiciel malveillant UNAPIMON
Un acteur connu sous le nom de Earth Freybug (un sous-ensemble de APT41) a été observé à l’aide d’un nouveau logiciel malveillant appelé UNAPIMON.
L’acteur s’appuie sur des binaires vivant hors du territoire ainsi que sur des logiciels malveillants personnalisés, comme le nouvel UNAPIMON, pour mener ses activités d’espionnage. Dans la dernière campagne, l’acteur a adopté des techniques telles que le piratage DLL et le décrochage d’API.
Le flux d’attaque d’UNAPIMON
L’attaque commence par un processus appelé vmtoolsd.exe pour créer une tâche planifiée qui lance ensuite un fichier batch prédéployé sur la machine distante.
Les processus utilisés dans le flux d’attaque sont des composants légitimes de VMware et Windows.
Reconnaissance
Une fois la tâche planifiée déclenchée, un fichier batch précédemment déployé est exécuté sur la machine distante.
Le fichier batch exécute plusieurs commandes pour collecter des informations sur le système infecté et les stocke dans un fichier texte. Une autre tâche planifiée est ensuite configurée pour exécuter un autre fichier batch et lancer une backdoor.
Chargement latéral DLL
Le second fichier de lot exploite un service appelé SessionEnv pour charger une bibliothèque inexistante afin de charger latéralement une DLL malveillante. Dans le cadre du processus, une DLL est abandonnée et a été déterminée comme étant un malware UNAPIMON.
Un examen plus approfondi des logiciels malveillants UNAPIMON
UNAPIMON est un logiciel malveillant DLL qui est assez basique car il n’est pas emballé ou masqué. Le logiciel malveillant dispose de plusieurs techniques qui empêchent la surveillance des processus enfants.
Lorsqu’il est chargé, il crée un objet d’événement pour la synchronisation et démarre le thread d’accrochage. Il installera un crochet à l’aide de Microsoft Detours, qui est un package open source de Microsoft utilisé pour surveiller et instrumenter les appels API sur les appareils Windows. Cela redirigera les appels à partir d’un processus où la DLL est chargée sur le crochet, donc son objectif principal est de décrocher les fonctions API critiques dans les processus enfants.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cet acteur malveillant existe depuis longtemps et a continué à réussir en raison de sa capacité à faire évoluer ses TTP.
Comme le démontre cette dernière attaque, des techniques simples peuvent être incroyablement efficaces pour les acteurs malveillants tout en rendant plus difficile leur identification pour les défenseurs.
De nombreux acteurs malveillants adoptent cette mentalité de « retour aux bases », car elle s’est avérée efficace.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
