Dans le résumé de cette semaine, CTI examine une version modifiée d’un plug-in Notepad++ par défaut appelé mimeTools.dll qui est distribué à l’état sauvage. La CTI suivante enquête sur une nouvelle vague de rançongiciels « indésirables » bon marché, produits indépendamment, qui s’écarte du modèle traditionnel de rançongiciel en tant que service (RaaS). Enfin, CTI décompose la dernière campagne de publicité malveillante Google qui pousse les domaines typosquats imitant les logiciels de scanner IP légitimes en haut des résultats du moteur de recherche.
1. Les chercheurs découvrent le plug-in Notepad++ modifié
Les chercheurs ont découvert une version modifiée d’un plug-in Notepad++ par défaut appelé mimeTools.dll qui est distribué à l’état sauvage.
MimeTools.dll est un plug-in par défaut qui est inclus dans le fichier d’installation du package du package Notepad++. Pour cette raison, mimeTools.dll se charge automatiquement lorsque le programme démarre et ne nécessite aucune action supplémentaire de la part de l’utilisateur. L’acteur malveillant a probablement utilisé la technique de piratage DLL pour exécuter la variante modifiée malveillante.
Un shellcode malveillant codé, ainsi que le code pour le décrypter, ont été ajoutés à la version malveillante de mimeTools.dll. Dans le package Notepad++, le fichier malveillant en question est appelé certificate.pem.
L’ASEC a examiné de plus près les fonctionnalités de mimeTools.dll dans les deux versions et a trouvé la seule différence dans le code comme étant le DllEntryPoint.
Comment les acteurs malveillants utilisent mimeTools.dll pour distribuer les logiciels malveillants
Étant donné que mimeTools.dll est chargé en tant que Notepad++, l’activité malveillante commence immédiatement.
- Le logiciel malveillant utilise plusieurs techniques syscall indirectes lors de l’exécution pour éviter la détection par les produits anti-logiciels malveillants.
- Ensuite, le fichier certificate.pem est décrypté et exécuté. Le code stocké dans la fonction BingMaps.dll GetBingMapsFactory() est ensuite écrasé par le shellcode malveillant, ce qui entraîne l’injection du fil vers explorer.exe.
- Un shellcode supplémentaire est ensuite téléchargé et exécuté à partir du serveur C2 .
- La chaîne qui est utilisée pour communiquer avec le C2 devient une URL après qu’elle est passée par une certaine fonction. Pour envoyer des informations au C2, les informations sont d’abord codées en Base64 , puis ajoutées à l’en-tête.
- Les chercheurs ont remarqué que le C2 était conçu pour ressembler à une page de connexion WordPress pendant leur analyse. Mais lorsque le logiciel malveillant a été distribué pour la première fois, il semblait être un site wiki.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il est clair que l’acteur malveillant derrière cette activité suit Notepad++ en raison de sa popularité.
Étant donné que l’acteur malveillant abuse de la confiance des utilisateurs concernant le Notepad++ légitime et qu’il ne nécessite pas d’interaction manuelle supplémentaire de la part de l’utilisateur, il est extrêmement difficile de le prévenir.
Cela dit, l’utilisation par l’acteur malveillant du détournement de DLL offre une opportunité de détection, permettant aux défenseurs d’aider à identifier ce type d’attaque.
2. Un nouveau rançongiciel pour les armes indésirables apparaît sur les forums de cybercriminalité
Sophos a découvert une vague de rançongiciels pour les armes à feu indésirables, qui est « produite indépendamment, peu coûteuse et construite grossièrement ».
Selon Sophos, cette vague s’écarte du modèle traditionnel de ransomware en tant que service (RaaS) qui inonde le paysage des menaces depuis un certain temps. Cependant, il s’agit toujours d’une offre attrayante pour les cybercriminels qui cherchent à pénétrer dans le paysage des ransomwares.
Un ransomware pour les armes à courrier indésirable : une vue d’ensemble
Sophos a découvert 19 variétés différentes de rançongiciels de fusils indésirables entre juin 2023 et février 2024.
Sur les 19 échantillons, beaucoup sont actuellement en vente, tandis que d’autres sont répertoriés comme en cours de développement. Il n’y a pas beaucoup de détails disponibles pour chacune des variétés identifiées de rançongiciels de fusils indésirables, mais au moins trois d’entre elles ont prétendument été exploitées dans des attaques réelles.
Étant donné que ces informations sont toutes publiées par des cybercriminels, il est important de se rappeler qu’il est possible que certaines de ces souches soient simplement une escroquerie conçue pour escroquer d’autres cybercriminels.
Combien coûte un rançongiciel pour les armes à courrier indésirable ?
Ces contraintes de rançongiciel pour les armes à feu indésirables sont toutes relativement bon marché par rapport aux offres RaaS standard.
Parmi ceux dont le prix est indiqué, le prix médian n’était que de 375 USD. Et seulement trois de ces souches offraient un modèle d’abonnement de sortes, tandis que les autres étaient offertes pour une seule redevance unique, s’écartant à nouveau du modèle RaaS.
Fonctionnalités de rançongiciel pour les armes à feu indésirables
Chaque brin de rançongiciel d’armes indésirables a tendance à varier en termes de capacités. Les acteurs malveillants utilisent une gamme de méthodes de chiffrement, y compris certains algorithmes rares tels que XTEA et Salsa20. Certaines variantes incluent des capacités en dehors des ransomware traditionnels, telles que le vol d’informations et l’enregistrement de clés, tandis que d’autres se concentrent sur les capacités des ransomwares, telles que la suppression des copies fantômes de volume et le chiffrement multithread.
Sophos a tenté d’approfondir les développeurs derrière le rançongiciel et en a découvert quelques-uns qui cherchent à faire évoluer leur offre de produits et à développer essentiellement leur activité. Un exemple de cela est vu avec le développeur du ransomware Loni qui annonce que son produit est supérieur aux offres RaaS et note qu’il cherche à faire évoluer son infrastructure et à construire un site de fuite de données une fois que suffisamment de fonds sont disponibles.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Étant donné que les souches de rançongiciels pour les canons indésirables n’ont pas de sites de fuite de données, il est difficile pour les chercheurs de déterminer leur véritable utilisation à l’état sauvage.
Cette offre de type pistolet indésirable diffère grandement du modèle RaaS, mais atteint toujours un objectif similaire qui réduit le coût d’entrée. Ces offres permettent toujours aux cybercriminels de différents niveaux d’entrer sur la scène des rançongiciels sans avoir besoin de connaissances techniques approfondies ou d’accéder aux réseaux criminels.
Cette offre peut être plus attrayante pour certains cybercriminels, car il n’y a pas d’aspect de participation aux bénéfices comme dans les offres RaaS. Comme Sophos le résume, il « permet aux criminels de prendre part à l’action à moindre coût, facilement et indépendamment ».
3. Une nouvelle campagne de publicité malveillante cible les équipes informatiques
La dernière campagne de publicité malveillante de Google pousse plusieurs domaines typosquats imitant les logiciels de scanner IP légitimes en haut des résultats du moteur de recherche.
La campagne cherche à fournir une nouvelle porte dérobée, MadMxShell, qui utilise le chargement latéral DLL en plusieurs étapes, abuse du protocole DNS pour les communications C2 et est capable d’échapper aux solutions de sécurité de l’analyse médico-légale.
À propos de la campagne
L’acteur malveillant à l’origine de cette campagne a enregistré plusieurs domaines qui usurpent un logiciel de scanner IP légitime comme Advanced IP Scanner, Angry IP Scanner, PRTG IP Scanner et Manage Engine.
Ces domaines ont tous été utilisés dans les attaques de malversation de mars. Le code source des sites malveillants est presque identique à celui du site légitime, à l’exception d’une modification qui redirige l’utilisateur pour télécharger un fichier malveillant.
La porte dérobée
Zscaler a analysé un échantillon appelé Advanced-ip-scanner.zip qui s’est avéré contenir deux fichiers, y compris un exécutable qui est une copie renommée de l’oleview.exe légitime et d’une DLL.
Lorsque l’exécutable s’exécute, il charge latéralement la DLL et exécute une série de shellcodes. À l’étape suivante, un fichier Microsoft exe légitimement signé, OneDrive.exe, est supprimé. Il est ensuite abusé pour charger latéralement une DLL supplémentaire afin d’établir la persistance.
Le logiciel malveillant tentera de désactiver Windows Defender, de configurer une tâche planifiée et d’utiliser des techniques antidumping avant d’effectuer une manipulation de fichier typique.
Le logiciel malveillant communiquera également avec son C2 en envoyant et en recevant des commandes qui sont codées dans les requêtes DNS MX. Le logiciel malveillant est configuré avec des intervalles de trois secondes entre les demandes, ce qui est assez court et donc beaucoup plus désordonné que le logiciel malveillant qui utilise HTTP pour les communications C2 .
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants se tournent de plus en plus vers la malvertition pour fournir des logiciels malveillants aux utilisateurs peu méfiants, soulignant l’importance de vérifier les liens des résultats du moteur de recherche avant de cliquer aveuglement.
Ce qui rend cette campagne de publicité différente, c’est son utilisation des requêtes DNS MX pour sa communication C2 . À première vue, cela semble être une technique sophistiquée, mais l’intervalle de seulement trois secondes entre les demandes le rend assez bruyant.
Cette campagne semble cibler les utilisateurs informatiques étant donné le logiciel qu’elle usurpe. Cependant, de nouvelles campagnes de publicité semblent apparaître régulièrement et cibler un très large éventail d’utilisateurs avec divers logiciels.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
