Cette semaine, nous mettons en évidence une étude récente qui suggère que 87 % des gangs de ransomwares exploitent des macros malveillantes. Ces statistiques, qui ont été recueillies avant la mise en œuvre de la nouvelle politique de blocage des macros de Microsoft, contrastent avec un rapport Proofpoint révélant comment les hameçonnages s’adaptent à la politique de Microsoft après son déploiement. De plus, les attaquants utilisent désormais la plateforme Dark Utilities C2 en tant que service dans les campagnes de logiciels malveillants. De plus, le ransomware LockBit abuse de Windows Defender pour charger Cobalt Strike, un autre exemple de la manière dont les cybercriminels tirent de plus en plus parti des techniques « vivant hors du territoire » (LotL) et abusent des outils et services cloud de confiance pour stocker et fournir des charges utiles.
1. Une étude sur le Dark Web suggère que 87 % des gangs de ransomware exploitent des macros malveillantes
La société de gestion des identités des machines Venafi a publié une nouvelle étude suggérant que 87 % des rançongiciels trouvés sur le dark web sont livrés via des macros malveillantes pour infecter les systèmes ciblés.
Venafi est parvenu à cette conclusion grâce à des recherches conjointes avec le fournisseur de renseignements criminels Forensic Pathways, menées entre novembre 2021 et mars 2022. L’étude a analysé 35 millions d’URL dark web, y compris celles appartenant à des places de marché et des forums de piratage. Les chercheurs ont découvert 475 pages Web poussant des produits et services de ransomware sophistiqués, plusieurs groupes de premier plan commercialisant agressivement des programmes de ransomware en tant que service (RaaS) à des affiliés potentiels.
Une étude sur le dark web réalisée par @Venafi suggère que 87 % des gangs de ransomwares exploitent des macros malveillantes. https://t.co/lMa0WXOxoc
— Tanium (@Tanium) 8 août 2022
Points clés à retenir
Microsoft a commencé à bloquer les macros XL4 et VBA par défaut pour les utilisateurs Office dans octobre 2021 et février 2022, respectivement. (Cela a été rapidement suivi quelques semaines plus tard par l’annonce du géant du logiciel qu’il désactivait temporairement la politique populaire, uniquement pour que Microsoft change de cap et réimplémente la politique louée peu de temps après.)
Compte tenu du calendrier de l’étude et de l’étape de Microsoft vers la sécurisation de ses produits Office, il n’est pas étonnant que le principal enseignement que les chercheurs de Venafi ont vanté soit leur découverte que 87 % des ransomwares trouvés sur le dark web auraient été livrés à l’aide de macros malveillantes. Cependant, si vous examinez la période pendant laquelle Venafi a mené ses recherches, cela devient un peu moins surprenant, car Microsoft n’a pas mis en œuvre sa nouvelle politique de macros avant un certain moment entre avril et juin 2022 , juste après la conclusion de son étude par Venafi. Même après avoir temporairement désactivé la politique, Microsoft l’a rapidement réimplémentée dans juillet 2022.
En fait, bien que la statistique de “87 % de Venafi puisse sembler stupéfiante à première vue, il convient de garder à l’esprit que, dans le temps écoulé depuis le déploiement de la politique de macro-blocage par Microsoft, le nombre de campagnes tirant parti des fichiers de conteneur, y compris les pièces jointes ISO et RAR, et Windows Shortcut (LNK), a augmenté de près de 175 % selon une étude Proofpoint sur la manière dont les acteurs du phishing s’adaptent dans un monde « post-macros ». Voici un conseil : ils s’adaptent très bien ; ils utilisent des fichiers de conteneur et d’autres méthodes pour contourner le mécanisme de sécurité de blocage des macros de Microsoft.
Voici quelques autres enseignements clés présentés par l’étude de Venafi :
- 30 marques différentes de rançongiciels ont été identifiées dans les listes de marchés et les discussions sur les forums.
- De nombreuses souches de rançongiciels vendues, telles que Babuk, GoldenEye, Darkside/BlackCat, Egregor, HiddenTear et WannaCry, ont été utilisées avec succès dans les attaques de haut niveau.
- Les contraintes de rançongiciel utilisées dans les attaques de haut niveau entraînent un prix plus élevé pour les services associés. Par exemple, la liste la plus coûteuse était de 1 262 USD pour une version personnalisée du ransomware Darkside, qui a été utilisée dans la tristement célèbre attaque de ransomware Colonial Pipeline de 2021.
- Les listes de code source pour les ransomwares bien connus commandent généralement des prix plus élevés. Par exemple, le code source Babuk va pour 950 USD et le code source Paradise vend pour 593 USD. C’est intéressant car le code source de Babuk a été divulgué il y a des âges et est disponible sur les forums en ligne depuis.
Les chercheurs ont également découvert un large éventail de services et d’outils qui permettent aux attaquants débutants de lancer plus facilement des attaques de ransomware sophistiquées. Les services avec le plus grand nombre de listes comprennent ceux contenant du code source, des services de construction, des services de développement personnalisés et des packages de ransomware avec des tutoriels étape par étape.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette étude fournit un aperçu d’un moment dans le temps où les macros étaient le mécanisme de livraison incontournable pour un nombre écrasant d’opérations de ransomware. Le catalyseur spécifique qui a motivé la décision de Microsoft de mettre en œuvre une politique pour bloquer les macros par défaut n’est pas clair, en particulier si l’hameçonnage est, et est depuis des années, le premier vecteur d’infection initial, avec d’innombrables campagnes d’hameçonnage utilisant des documents Microsoft armés comportant des macros malveillantes.
Cela dit, quelles que soient les raisons derrière le calendrier de la politique, Microsoft devrait être félicitée d’avoir pris une mesure proactive pour réduire considérablement la surface d’attaque dans les organisations du monde entier. »
2. Les pirates informatiques tirent parti de la plateforme Dark Utilities ‘C2aaS’ dans les campagnes de logiciels malveillants ciblant les systèmes Windows et Linux
Un rapport récent de l’équipe de renseignement de Cisco Talos analyse la nouvelle plateforme Dark Utilities qui fournit des capacités complètes de commande et de contrôle (C2) aux adversaires.
Depuis sa publication initiale début 2022, les chercheurs ont observé des échantillons de logiciels malveillants dans la nature en tirant parti de la plateforme pour faciliter l’accès à distance.
Une nouvelle plateforme C2 appelée #DarkUtilities a récemment vu le jour, et les attaquants n’ont pas perdu de temps à l’exploiter pour leurs campagnes #malware . Voici ce que nous savons de ce « C2aaS » https://t.co/kHVP9sV0Qe pic.twitter.com/y3kvr52m6O
— Cisco Talos Intelligence Group (@TalosSecurity) 4 août 2022
Qu’est-ce que Dark Utilities ?
Dark Utilities est une nouvelle plateforme C2 observée pour la première fois début 2022 offrant une variété de services, y compris l’accès au système à distance, les capacités DDoS et l’exploration de cryptomonnaies.
La plateforme C2-as-a-service (C2aaS) fournit aux adversaires une gamme de charges utiles à exécuter sur les systèmes victimes, permettant à l’attaquant de s’inscrire au service et d’établir un canal C2 .
Dark Utilities prend actuellement en charge les charges utiles basées sur Windows, Linux et Python, ce qui permet aux attaquants de cibler encore plus facilement plusieurs plateformes. Cela s’aligne également sur les recherches actuelles montrant que les plateformes malveillantes plus polyvalentes (capables de cibler plusieurs systèmes d’exploitation) sont plus attrayantes pour les acteurs malveillants et fonctionnent plus efficacement sur les marchés de dark web.
Actuellement, la plateforme compte environ 3 000 utilisateurs inscrits à 9,99 € (10,21 USD) pour accéder à la plateforme, aux charges utiles et aux endpoints de l’API. L’opérateur de la plateforme a également établi des communautés Discord et Telegram pour fournir une assistance technique à ses clients.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le faible prix de cette plateforme C2 , associé à sa grande variété de fonctionnalités, rend Dark Utilities très attrayant pour les acteurs malveillants à la recherche d’un moyen facile de se livrer à la cybercriminalité de toute nature.
Nous pouvons déjà voir le kilométrage que ce C2aaS obtient avec ses 3 000 utilisateurs inscrits sur une période de quelques mois seulement. Encore plus remarquable, l’utilisation par la plateforme du système de fichiers interplanétaires (IPFS) pour héberger ses charges utiles malveillantes. Comme CTI l’a déjà signalé, les acteurs malveillants tirent de plus en plus parti des URL et de l’infrastructure IPFS pour héberger les charges utiles en raison de ses capacités de stockage décentralisées, peer-to-peer (P2P). IPFS facilite le stockage et le partage de contenus malveillants et est très résistant aux perturbations des forces de l’ordre en raison de sa structure.
CTI prévoit de continuer à voir les URL associées à IPFS de plus en plus exploitées par les cybercriminels. »
3. Le ransomware LockBit abuse de Windows Defender pour charger Cobalt Strike
Une nouvelle recherche de SentinelOne révèle que l’ opération LockBit 3,0 utilise abusivement l’outil de ligne de commande Windows Defender pour charger latéralement des DLL malveillantes qui décryptent et installent des balises Cobalt Strike sur des systèmes compromis.
Le ransomware LockBit 3,0 , également appelé LockBit Black, est une évolution du modèle LockBit ransomware-as-a-service (RaaS). LockBit 3,0 aurait été créé autour juin 2022 de après la découverte de bogues critiques dans la version 2,0 de LockBit.
La nouvelle version comprend plusieurs nouvelles fonctionnalités/améliorations :
- Pour améliorer la résilience, les opérateurs ont été agressifs en ce qui concerne la mise en place de plusieurs miroirs pour leurs données divulguées et la publicité des URL du site. L’opération a également ajouté un outil de recherche instantanée à son site de fuite (une tendance sur laquelle CTI avait précédemment fait état et sur laquelle elle prédisait qu’elle se propagerait comme un feu de forêt parmi les opérations d’extorsion/de rançongiciel – elle l’a).
- De nouvelles fonctionnalités de gestion ont été introduites pour les affiliés du RaaS.
- Zcash a été ajouté pour les paiements aux victimes en plus de Monero et Bitcoin.
- Il atteint la persistance via l’installation des services système. Chaque exécution de la charge utile installe plusieurs services.
- Il écrit une copie de lui-même dans le répertoire %programdata % et se lance à partir de ce processus.
- Nouvelles techniques anti-analyse, y compris l’emballage de code, l’obscurcissement et la résolution dynamique des adresses de fonction, des trampolines de fonction et des techniques de débogage.
Désormais, SentinelOne a observé LockBit utilisant un outil légitime, Windows Defender, pour charger des balises Cobalt Strike.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« On ne sait pas pourquoi LockBit est passé à Windows Defender pour charger latéralement les balises Cobalt Strike, mais il s’agit probablement d’un effort pour contourner les solutions de sécurité standard. Il est important que les organisations sachent que les acteurs malveillants utilisent (et utilisent) des outils légitimes pour aider au chargement des balises Cobalt Strike, et c’est une tendance que CTI a observée depuis peu. Bien qu’ils ne soient pas directement liés à cette histoire, d’autres acteurs malveillants abusent également de plus en plus des ressources cloud de confiance disponibles publiquement pour stocker et fournir des logiciels malveillants, ce qui en est un autre exemple notable. Les organisations doivent surveiller les modifications apportées à leurs outils de sécurité critiques et éviter de négliger les activités suspectes résultant d’outils légitimes simplement parce que l’outil est fiable. Il en va de même pour les services cloud fiables sur lesquels les entreprises comptent pour soutenir leurs opérations quotidiennes. »
Traquez les cybermenaces avec Tanium
Les pirates informatiques font des heures supplémentaires pour lancer des attaques sophistiquées et ciblées contre les entreprises de tous les secteurs verticaux. Les entreprises doivent prendre l’offensive et chasser les menaces avant qu’elles n’affectent les opérations.
Notre plateforme Converged Endpoint Management (XEM) facilite cela en fournissant des capacités avancées de recherche des menaces. Pour découvrir notre plateforme en action, essayez-la dès aujourd’hui.
