Dans son tour d'horizon de cette semaine, CTI se penche sur un rapport de Trend Micro consacré à l'opération menée par les forces de l'ordre contre LockBit — notamment leur analyse d'une version du rançongiciel qui était en cours de développement au moment de cette opération. Par la suite, CTI se penche sur un rapport récent de Sophos qui évalue l'impact des attaques par ransomware. Enfin, CTI conclut par un aperçu d'un acteur malveillant connu sous le nom d'Earth Freybug, qui utilise un nouveau logiciel malveillant appelé UNAPIMON.
1. L'impact des forces de l'ordre sur LockBit
Trend Micro a publié un rapport qui examine l' e intervention des forces de l'ordre visant à démanteler le réseau LockBit, et fournit notamment des détails sur la manière dont LockBit a continué à fonctionner après cette intervention. Le rapport comprend également une analyse d'une version du ransomware LockBit qui était en cours de développement au moment de l'incident.
À propos du démantèlement de LockBit
Les sites de fuites de données associés à LockBit ont commencé à afficher un message d'erreur 404 sur 19 février. C'était le résultat de l'opération Cronos, une opération policière visant à démanteler l'infrastructure de LockBit.
Une heure après que Trend Micro eut constaté l'apparition de ce message d'erreur sur le site, celui-ci a été remis en ligne avec une page d'accueil indiquant que les sites étaient sous le contrôle des forces de l'ordre. Par la suite, les forces de l'ordre ont mis à jour le site afin qu'il ressemble à la page habituelle de LockBit, tout en y intégrant des informations relatives aux communiqués de presse, aux actes d'accusation et aux arrestations.
Sur cette page, les forces de l'ordre ont également mentionné LockBitSupp, le cerveau présumé de LockBit, en précisant que ce compte avait été banni de forums consacrés à la cybercriminalité tels qu'Exploit et XSS. La page comportait également une annonce indiquant que des clés de déchiffrement seraient mises à la disposition des victimes.
Les forces de l'ordre ont ensuite divulgué des informations concernant le panneau d'administration et ont révélé qu'elles avaient pu accéder aux conversations entre les affiliés et les victimes, ce qui leur a permis d'identifier ces dernières. Ils ont pu identifier 193 comptes d'affiliation, en plus de divers comptes de test et du compte administrateur.
À propos de LockBit-NG-Dev
Trend Micro a obtenu et analysé un échantillon de LockBit-NG-Dev, qu’elle considère comme une nouvelle version du rançongiciel actuellement en cours de développement.
L'analyse de cette version réalisée par Trend Micro a également été publiée sur le site de fuites , saisi par les forces de l'ordre, à l'adresse suivante : . Cette version se distinguait des variantes précédentes de LockBit en ce qu'elle était écrite en .NET, compilée via CoreRT, et qu'elle était indépendante de la plateforme.
Activité de LockBit après l'incident
En réaction à cette perturbation, LockBitSupp a annoncé son intention de créer de nouveaux sites Onion. Sur un forum clandestin, le groupe a révélé qu’il cherchait à acheter des noms de domaine .gov, .edu et .org, laissant ainsi entrevoir son intention de s’en prendre à des organismes publics.
Le nouveau site de divulgation de LockBit semblait prometteur, mais comme LockBitSupp était toujours banni de plusieurs forums, il ne semblait pas destiné à prendre son essor. À la suite de cette perturbation, on a constaté une baisse très nette du nombre réel d'attaques LockBit.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
LockBit a tenté de se maintenir à flot après une intervention des forces de l'ordre, allant jusqu'à republier d'anciennes données sur son site et à modifier l'arborescence des fichiers pour donner l'impression qu'elle avait été mise à jour récemment. Cette action coordonnée menée par plusieurs services de police a joué un rôle essentiel pour empêcher LockBit de reprendre immédiatement ses activités habituelles.
Cela ne signifie toutefois pas que LockBit ne réapparaîtra jamais. Après tout, les agences ne parviennent souvent pas à démanteler complètement les réseaux de cybercriminels et se contentent parfois de les perturber pendant une courte période. Il convient également de garder à l'esprit que les groupes malveillants changent souvent de nom, ce qui signifie que les créateurs et les affiliés chevronnés de LockBit pourraient bien être toujours en activité.
2. Les failles de sécurité non corrigées favorisent les attaques par ransomware
Un rapport récent de Sophos examine l'impact « » des attaques par ransomware et révèle que celles qui résultent de l'exploitation de vulnérabilités non corrigées ont un impact plus important que celles résultant de l'utilisation d'identifiants piratés.
Ce rapport examine comment les conséquences des attaques varient généralement en fonction de leur cause première, en comparant leur impact financier, leur impact opérationnel et leur gravité globale.
Attaques par ransomware résultant de vulnérabilités non corrigées
Sophos a constaté qu'environ 32 % des attaques par ransomware commencent par l'exploitation d'une vulnérabilité non corrigée.
Ce chiffre varie selon les secteurs : dans les secteurs les plus touchés (énergie, pétrole/gaz et services publics), 49 % des attaques par rançongiciel trouvent leur origine dans des vulnérabilités.
Sophos a également constaté que ce pourcentage augmente en fonction de la taille de l'entreprise, ce qui s'explique souvent par le fait que les grandes entreprises sont davantage exposées aux attaques et disposent donc d'un plus grand nombre de technologies à gérer.
Aggravation de la gravité
Comme indiqué, Sophos a constaté que les attaques par ransomware résultant de l'exploitation d'une vulnérabilité sont plus graves, notamment en ce qui concerne la compromission des sauvegardes, le chiffrement des données et le paiement des rançons.
- 75 % des attaques par ransomware visant à compromettre des sauvegardes ont abouti lorsque l'attaque a débuté par l'exploitation d'une vulnérabilité, par rapport à celles qui ont commencé par l'utilisation d'identifiants compromis.
- 67 % des attaques ont abouti au chiffrement des données lorsqu'elles ont débuté par l'exploitation d'une vulnérabilité, contre 43 % de celles qui ont commencé par l'utilisation d'identifiants piratés.
- 71 % des organisations victimes d'une intrusion ont vu leurs données chiffrées lorsque l'attaque a débuté par l'exploitation d'une vulnérabilité, contre seulement 45 % pour celles où l'attaque a commencé par la compromission d'identifiants.
Impact financier et opérationnel accru
Il n'est pas surprenant que la présence de vulnérabilités non corrigées dans votre environnement puisse exposer votre organisation à des risques. Sophos a constaté que les attaques par rançongiciel qui trouvent leur origine dans l'exploitation d'une vulnérabilité ont un impact financier et opérationnel plus important que celles qui résultent de l'utilisation d'identifiants piratés.
L'enquête a révélé que la cause première n'avait pas modifié le montant total de la rançon, mais qu'elle avait eu une incidence sur l'identité de la personne qui avait financé ce paiement. Par exemple, 31 % des organisations ont pris en charge l'intégralité des frais en interne lorsque l'attaque a débuté par l'exploitation d'une vulnérabilité, contre seulement 2 % lorsque l'attaque a débuté par la compromission d'identifiants.
Sur le plan opérationnel, 45 % des organisations victimes d'une attaque ont mis plus d'un mois à se remettre de celle-ci lorsque l'attaque avait débuté par l'exploitation d'une vulnérabilité, et 37 % ont mis plus d'un mois lorsque l'attaque avait débuté par la compromission d'identifiants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Sophos a formulé ses propres recommandations pour se protéger contre les attaques par ransomware résultant de vulnérabilités non corrigées, mais tout se résume en réalité à une seule chose : gestion des correctifs.
L'application des correctifs, en particulier lorsqu'elle est effectuée en temps opportun, est essentielle pour contribuer à réduire le risque d'attaques par ransomware et d'autres cyberattaques. Étant donné que toutes les attaques par ransomware ne trouvent pas leur origine dans des failles de sécurité, il est tout aussi important de mettre en place une surveillance continue afin de pouvoir réagir à tous les types d'activités suspectes.
Comme le souligne Sophos, « la technologie à elle seule ne peut pas empêcher toutes les attaques » et il est indispensable de pouvoir compter sur des défenseurs compétents.
3. Earth Freybug déploie le logiciel malveillant UNAPIMON
Un acteur connu sous le nom d' , Earth Freybug (un sous-ensemble de appartenant à APT41) a été repéré en train d'utiliser un nouveau logiciel malveillant appelé UNAPIMON.
L'acteur s'appuie sur des techniques « living-off-the-land » ainsi que sur des logiciels malveillants sur mesure, tels que le nouveau « » UNAPIMON, pour mener à bien ses activités d'espionnage. Dans le cadre de cette dernière campagne, l'acteur a eu recours à des techniques telles que le détournement de DLL et le « unhooking » d'API.
Déroulement de l'attaque d'UNAPIMON
L'attaque commence par l'utilisation d'un processus appelé vmtoolsd.exe afin de créer une tâche planifiée qui, par la suite, lance un fichier batch préalablement déployé sur la machine distante.
Les processus utilisés dans la chaîne d'attaque sont des composants légitimes de VMware et de Windows.
Reconnaissance
Une fois la tâche planifiée déclenchée, un fichier batch préalablement déployé est exécuté sur la machine distante.
Le fichier batch exécute plusieurs commandes afin de recueillir des informations sur le système infecté et les enregistre dans un fichier texte. Une autre tâche planifiée est ensuite configurée pour exécuter un autre fichier batch et lancer une porte dérobée.
Chargement latéral de DLL
Le deuxième fichier batch utilise un service appelé « SessionEnv » pour charger une bibliothèque inexistante afin d'installer une DLL malveillante par une méthode de chargement parallèle. Dans le cadre de ce processus, une DLL identifiée comme étant le logiciel malveillant UNAPIMON est déposée.
Analyse approfondie du logiciel malveillant UNAPIMON
UNAPIMON est un logiciel malveillant de type DLL assez rudimentaire, car il n'est ni compressé ni obscurci. Ce logiciel malveillant utilise plusieurs techniques pour empêcher la surveillance des processus fils.
Une fois chargé, il crée un objet d'événement pour la synchronisation et lance le thread de gestion des hooks. Il installera un hook à l'aide de Microsoft Detours, un package open source de Microsoft servant à surveiller et à instrumenter les appels d'API sur les appareils Windows. Cela redirigera les appels provenant d'un processus dans lequel la DLL est chargée vers le hook ; son objectif principal est donc de désactiver le hook sur les fonctions API critiques dans les processus enfants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet acteur malveillant est actif depuis longtemps et a su perdurer grâce à sa capacité à faire évoluer ses TTP.
Comme le montre cette dernière attaque, des techniques simples peuvent s'avérer extrêmement efficaces pour les auteurs de menaces, tout en rendant leur détection plus difficile pour les défenseurs.
De nombreux cybercriminels adoptent cette approche consistant à « revenir à l'essentiel », car elle s'est avérée efficace.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
