Cette semaine, nous mettons en avant une étude récente qui indique que 87 % des groupes de ransomware exploitent des macros malveillantes. Ces statistiques, qui ont été recueillies avant la mise en œuvre de la nouvelle politique de Microsoft visant à bloquer les macros, contrastent avec un rapport de Proofpoint révélant comment les hameçonneurs s'adaptent à cette politique depuis son déploiement. Par ailleurs, les pirates utilisent désormais la plateforme « Dark Utilities C2 » proposée en tant que service dans le cadre de leurs campagnes de logiciels malveillants. De plus, le ransomware LockBit exploite Windows Defender pour charger Cobalt Strike – un autre exemple illustrant la manière dont les cybercriminels recourent de plus en plus aux techniques « living-off-the-land » (LotL) et exploitent des outils et des services cloud de confiance pour stocker et diffuser des charges utiles.
1. Une étude sur le dark web suggère que 87 % des groupes de ransomware exploitent des macros malveillantes
La société Venafi, spécialisée dans la gestion de l'identité des machines, a publié une nouvelle étude indiquant que 87 % des ransomwares détectés sur le dark web sont diffusés via des macros malveillantes afin d'infecter les systèmes ciblés.
Venafi est parvenue à cette conclusion à l'issue d'une étude menée en collaboration avec le prestataire de services de renseignement criminel Forensic Pathways, réalisée entre le novembre 2021 et le mars 2022. Cette étude a analysé 35 millions d'URL du dark web, notamment celles appartenant à des places de marché et à des forums dédiés au piratage informatique. Les chercheurs ont mis au jour 475 pages web faisant la promotion de produits et services de ransomware sophistiqués, plusieurs groupes très en vue commercialisant de manière agressive des programmes de « ransomware-as-a-service » (RaaS) auprès d'affiliés potentiels.
Une étude sur le dark web menée par @Venafi suggère que 87 % des groupes de ransomware exploitent des macros malveillantes. bit.ly/3bFBeUE
Points clés
Microsoft a commencé à bloquer par défaut les macros XL4 et VBA pour les utilisateurs d'Office dans les versions suivantes : octobre 2021 et février 2022, respectivement. (Quelques semaines plus tard, le géant du logiciel a rapidement annoncé qu'il suspendait temporairement cette mesure très appréciée, avant de faire volte-face et de la remettre en place peu après.)
Compte tenu du calendrier de cette étude et des mesures prises par Microsoft pour renforcer la sécurité de ses produits Office, il n’est guère surprenant que la principale conclusion mise en avant par les chercheurs de Venafi soit leur découverte selon laquelle 87 % des ransomwares détectés sur le dark web auraient été diffusés à l’aide de macros malveillantes. Cela dit, si l’on examine la période au cours de laquelle Venafi a mené son étude, cela s’avère un peu moins surprenant, car Microsoft n’a mis en œuvre sa nouvelle politique relative aux macros qu’à un moment donné entre avril et juin 2022 , juste après que Venafi eut achevé son étude. Même après avoir temporairement désactivé cette stratégie, Microsoft l'a rapidement réactivée dans « juillet 2022 ».
En effet, même si le chiffre de « “87 % » avancé par Venafi peut paraître stupéfiant à première vue, il convient de garder à l’esprit que, depuis la mise en place par Microsoft de sa politique de blocage des macros, le nombre de campagnes exploitant des fichiers conteneurs, notamment les formats ISO et RAR, ainsi que les pièces jointes sous forme de raccourcis Windows (LNK), a augmenté de près de 175 %, selon une étude de Proofpoint intitulée « » ( ) consacrée à la manière dont les auteurs d’hameçonnage se sont adaptés à un monde « post-macros ». Voici un indice : ils s'adaptent très bien ; ils utilisent des fichiers conteneurs et d'autres méthodes pour contourner le mécanisme de sécurité de Microsoft qui bloque les macros.
Voici quelques autres points clés mis en évidence par l'étude de Venafi :
- 30 marques différentes de ransomware ont été identifiées dans les annonces publiées sur des places de marché et dans les discussions sur des forums.
- De nombreuses variantes de ransomware actuellement commercialisées — telles que Babuk, GoldenEye, Darkside/BlackCat, Egregor, HiddenTear et WannaCry — ont été utilisées avec succès dans le cadre d'attaques très médiatisées.
- Les variantes de ransomware utilisées dans le cadre d'attaques très médiatisées se vendent plus cher pour les services associés. Par exemple, l'annonce la plus chère s'élevait à 1 262 dollars pour une version personnalisée du ransomware Darkside, qui a été utilisé lors de la tristement célèbre attaque par ransomware contre Colonial Pipeline en 2021.
- Les extraits de code source de ransomwares connus se vendent généralement à des prix plus élevés. Par exemple, le code source de Babuk est proposé à 950 dollars et celui de Paradise à 593 dollars. C'est intéressant, car le code source de Babuk a été divulgué il y a très longtemps et est disponible depuis lors sur des forums du dark web.
Les chercheurs ont également mis au jour un large éventail de services et d'outils qui permettent aux pirates novices de mener plus facilement des attaques sophistiquées par ransomware. Parmi les services comptant le plus grand nombre d'annonces, on trouve notamment ceux proposant du code source, des services de compilation, des services de développement sur mesure, ainsi que des kits de ransomware accompagnés de tutoriels détaillés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette étude offre un aperçu d’une période où les macros constituaient le vecteur de diffusion privilégié pour une très grande majorité d’opérations de rançongiciel. » On ignore quel élément précis a poussé Microsoft à mettre en place une politique visant à bloquer les macros par défaut — d’autant plus que le phishing est, depuis des années, le premier vecteur d’infection initial, avec d’innombrables campagnes de phishing utilisant des documents Microsoft piratés contenant des macros malveillantes.
Cela dit, quelles que soient les raisons qui ont motivé le choix du moment de cette mesure, il convient de saluer Microsoft pour avoir pris une initiative proactive visant à réduire considérablement la surface d'attaque des organisations du monde entier. »
2. Les pirates exploitent la plateforme « Dark Utilities ‘C2aaS’ » dans le cadre de campagnes de logiciels malveillants ciblant les systèmes Windows et Linux
Un rapport récent de l'équipe de renseignement Cisco Talos analyse la nouvelle plateforme « Dark Utilities » d' , accessible à l'adresse , qui offre aux cybercriminels des fonctionnalités complètes de commande et de contrôle (C2).
Depuis sa sortie initiale au début de l'année 2022, les chercheurs ont observé des échantillons de logiciels malveillants en circulation qui exploitent cette plateforme pour faciliter l'accès à distance.
Une nouvelle plateforme « C2 » baptisée « » #DarkUtilities a récemment fait son apparition, et les pirates n’ont pas tardé à l’exploiter pour leurs campagnes #malware . Voici ce que nous savons à propos de ce « C2aaS » cs.co/6012z4Pns
Qu'est-ce que « Dark Utilities » ?
Dark Utilities est une nouvelle plateforme C2 repérée pour la première fois au début de l'année 2022 , qui propose divers services, notamment l'accès à distance à des systèmes, des capacités DDoS et le minage de cryptomonnaies.
La plateforme C2-as-a-service (C2aaS) met à la disposition des attaquants toute une gamme de charges utiles à exécuter sur les systèmes des victimes, ce qui permet à l'attaquant de s'enregistrer auprès du service et d'établir un canal C2 .
Dark Utilities prend actuellement en charge Windows, Linux et les charges utiles basées sur Python, ce qui permet aux attaquants de cibler encore plus facilement plusieurs plateformes. Cela corrobore également les recherches actuelles qui montrent que les plateformes de logiciels malveillants plus polyvalentes (capables de cibler plusieurs systèmes d’exploitation) sont plus attrayantes pour les acteurs malveillants et connaissent un plus grand succès sur les places de marché du dark web.
À l'heure actuelle, la plateforme compte environ 3 000 utilisateurs inscrits, qui paient 9,99 € (10,21 $) pour accéder à la plateforme, aux charges utiles et aux points de terminaison de l'API. L'opérateur de la plateforme a également créé des communautés sur Discord et Telegram afin d'apporter un soutien technique et une assistance à ses clients.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le faible coût de cette plateforme C2 , associé à sa grande diversité de fonctionnalités, rend Dark Utilities particulièrement attrayante pour les cybercriminels à la recherche d’un moyen simple de se livrer à des activités cybercriminelles de toute nature. »
On constate d'ores et déjà le succès que remporte ce cours C2aaS , avec 3 000 utilisateurs inscrits en l'espace de quelques mois seulement. Ce qui est encore plus remarquable, c'est l'utilisation par la plateforme du système de fichiers interplanétaire (IPFS) pour héberger ses charges utiles malveillantes. Comme l'a déjà signalé le CTI, les acteurs malveillants ont de plus en plus recours aux URL et à l'infrastructure IPFS pour héberger leurs charges utiles, en raison de ses capacités de stockage décentralisé et distribué de type pair-à-pair (P2P). L'IPFS facilite le stockage et le partage de contenus malveillants et, de par sa structure, résiste très bien aux interventions des forces de l'ordre.
« CTI s'attend à ce que les URL associées à l'IPFS continuent d'être de plus en plus utilisées par les cybercriminels. »
3. Le ransomware LockBit exploite Windows Defender pour charger Cobalt Strike
Une nouvelle étude de SentinelOne révèle que l'opération « LockBit 3,0 » menée par l' , , exploite l'outil en ligne de commande Windows Defender pour installer de manière non conventionnelle des DLL malveillantes qui déchiffrent et installent des balises Cobalt Strike sur les systèmes compromis.
Le ransomware LockBit 3,0 , également appelé « » ou « LockBit Black », constitue une évolution du modèle « ransomware-as-a-service » (RaaS) de LockBit. LockBit 3,0 aurait été créé vers juin 2022 après la découverte de failles critiques dans la version 2,0 de LockBit.
La nouvelle version comprend plusieurs nouvelles fonctionnalités et améliorations :
- Afin d'améliorer leur résilience, les opérateurs ont adopté une approche très dynamique consistant à mettre en place plusieurs sites miroirs pour leurs données divulguées et à diffuser les URL de ces sites. Le groupe a également ajouté un outil de recherche instantanée à son site de divulgation de données (une tendance sur laquelle CTI avait déjà fait état et dont il avait prédit qu’elle se répandrait comme une traînée de poudre parmi les groupes spécialisés dans l’extorsion et les ransomwares – ce qui s’est effectivement produit).
- De nouvelles fonctionnalités de gestion ont été mises en place pour les affiliés du RaaS.
- Zcash a été ajouté aux options de paiement destinées aux victimes, en plus de Monero et du Bitcoin.
- Il assure la persistance grâce à l'installation de services système. Chaque exécution de la charge utile installe plusieurs services.
- Il enregistre une copie de lui-même dans le répertoire %programdata% et se lance à partir de ce processus.
- De nouvelles techniques anti-analyse, notamment le compactage de code, l'obfuscation, la résolution dynamique des adresses de fonctions, les trampolines de fonctions et les techniques de débogage.
Or, SentinelOne a constaté que LockBit utilisait un outil légitime, Windows Defender, pour charger des balises Cobalt Strike.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« On ne sait pas exactement pourquoi LockBit s'est tourné vers Windows Defender pour installer des balises Cobalt Strike par des moyens non conventionnels, mais il s'agit très probablement d'une tentative visant à contourner les solutions de sécurité standard. » Il est important que les organisations sachent que les acteurs malveillants utilisent (et ont utilisé) des outils légitimes pour faciliter le chargement des balises Cobalt Strike, et il s'agit là d'une tendance dont le CTI constate une intensification ces derniers temps. Bien que cela ne soit pas directement lié à cette affaire, d’autres acteurs malveillants exploitent eux aussi de plus en plus les ressources cloud fiables et accessibles au public pour stocker et diffuser des logiciels malveillants, ce qui constitue un autre exemple notable. Les organisations doivent surveiller les modifications apportées à leurs outils de sécurité essentiels et veiller à ne pas négliger les activités suspectes générées par des outils légitimes, simplement parce que ces outils sont considérés comme fiables. Il en va de même pour les services cloud de confiance sur lesquels les entreprises s'appuient pour assurer leurs activités quotidiennes. »
Traquez les cybermenaces avec Tanium
Les pirates informatiques redoublent d'efforts pour lancer des attaques sophistiquées et ciblées contre des entreprises de tous les secteurs d'activité. Les entreprises doivent passer à l'offensive et traquer les menaces avant qu'elles n'aient un impact sur leurs activités.
Notre plateforme de gestion convergée des terminaux (XEM) vous facilite la tâche en vous offrant des fonctionnalités avancées de détection proactive des menaces. Pour découvrir notre plateforme en action, , essayez-la dès aujourd'hui sur.
