Dans le tour d'horizon de cette semaine, CTI se penche sur une version modifiée d'un plug-in par défaut de Notepad++, appelé mimeTools.dll, qui circule actuellement sur le réseau. CTI se penche ensuite sur une nouvelle vague de ransomwares bon marché et développés de manière indépendante, dits « junk gun », qui s'écartent du modèle traditionnel du ransomware-as-a-service (RaaS). Enfin, CTI analyse en détail la dernière campagne de « malvertising » de Google, qui propulse en tête des résultats des moteurs de recherche des domaines de « typosquatting » imitant des logiciels légitimes de scan d'adresses IP.
1. Des chercheurs découvrent un plugin Notepad++ modifié
Des chercheurs ont découvert une version modifiée d'un plug-in par défaut de Notepad++ , nommé mimeTools.dll, qui circule actuellement sur le réseau.
MimeTools.dll est un plug-in par défaut inclus dans le fichier d'installation du logiciel Notepad++. C'est pourquoi le fichier mimeTools.dll se charge automatiquement au démarrage du programme et ne nécessite aucune intervention supplémentaire de la part de l'utilisateur. L'auteur de la menace a probablement utilisé la technique de détournement de DLL pour exécuter cette variante malveillante modifiée.
Un shellcode malveillant encodé, ainsi que le code permettant de le décrypter, a été ajouté à la version malveillante du fichier mimeTools.dll. Dans le dossier Notepad++, le fichier malveillant en question s'appelle « certificate.pem ».
ASEC a examiné de plus près les caractéristiques du fichier mimeTools.dll dans les deux versions et a constaté que la seule différence dans le code concernait le DllEntryPoint.
Comment les cybercriminels utilisent le fichier mimeTools.dll pour diffuser des logiciels malveillants
Comme le fichier mimeTools.dll est chargé au moment du lancement de Notepad++, l'activité malveillante commence immédiatement.
- Lors de son exécution, ce logiciel malveillant utilise plusieurs techniques de appels système indirects afin d'échapper à la détection par les logiciels anti-malware.
- Ensuite, le fichier « certificate.pem » est déchiffré puis exécuté. Le code stocké dans la fonction GetBingMapsFactory() du fichier BingMaps.dll est ensuite remplacé par le shellcode malveillant, ce qui entraîne l'injection d'un thread dans explorer.exe.
- Un autre shellcode est ensuite téléchargé et exécuté à partir du serveur C2 .
- La chaîne de caractères utilisée pour communiquer avec le C2 se transforme en URL après être passée par une certaine fonction. Pour envoyer des informations au C2, celles-ci sont d'abord encodées dans le Base64 , puis ajoutées à l'en-tête.
- Au cours de leur analyse, les chercheurs ont remarqué que le site « C2 » avait été conçu pour ressembler à une page de connexion WordPress. Mais lors de sa première diffusion, ce logiciel malveillant se présentait sous la forme d'un site wiki.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est évident que l'auteur de cette attaque cible Notepad++ en raison de sa popularité.
Étant donné que l'auteur de la menace abuse de la confiance des utilisateurs à l'égard de la version légitime de Notepad++ et que cela ne nécessite aucune intervention manuelle supplémentaire de la part de l'utilisateur, il est extrêmement difficile de prévenir cette attaque.
Cela dit, le recours au détournement de DLL par l'acteur malveillant offre une opportunité de détection, permettant aux défenseurs de contribuer à l'identification de ce type d'attaque.
2. Un nouveau ransomware de type « junk gun » fait son apparition sur les forums consacrés à la cybercriminalité
Sophos a mis au jour une vague de ransomware de type « junk gun » ( ), qui est « développé de manière indépendante, peu coûteux et de conception rudimentaire ».
Selon Sophos, cette vague s'écarte du modèle traditionnel de « ransomware-as-a-service » (RaaS) qui envahit le paysage des menaces depuis un certain temps déjà. Toutefois, cela reste une opportunité intéressante pour les cybercriminels qui cherchent à se lancer dans le domaine des ransomwares.
Le ransomware « Junk Gun » : aperçu général
Sophos a identifié 19 variantes différentes du ransomware « junk gun » entre le juin 2023 et le février 2024.
Sur les 19 échantillons, bon nombre sont actuellement en vente, tandis que d'autres sont présentés comme étant en cours de développement. On dispose de peu d'informations sur chacune des variantes identifiées du ransomware « junk gun », mais au moins trois d'entre elles auraient été utilisées lors d'attaques réelles.
Étant donné que ces informations sont toutes publiées par des cybercriminels, il est important de garder à l'esprit qu'il est possible que certaines de ces variantes ne soient qu'une arnaque destinée à escroquer d'autres cybercriminels.
Combien coûte le ransomware « Junk Gun » ?
Ces variantes de ransomware de type « junk gun » sont toutes relativement bon marché par rapport aux offres RaaS classiques.
Parmi les biens dont le prix était indiqué, le prix médian n'était que de 375 dollars. Et seules trois de ces versions proposaient une forme d'abonnement, tandis que les autres étaient proposées moyennant un paiement unique, ce qui s'écartait là encore du modèle RaaS.
Caractéristiques du ransomware « Junk Gun »
Chaque variante du ransomware « junk gun » présente généralement des capacités différentes. Les cybercriminels utilisent toute une gamme de méthodes de chiffrement, y compris certains algorithmes rares tels que XTEA et Salsa20. Certaines variantes intègrent des fonctionnalités qui dépassent le cadre des ransomwares traditionnels, telles que le vol d'informations et l'enregistrement des frappes clavier, tandis que d'autres se concentrent sur des fonctionnalités propres aux ransomwares, comme la suppression des clichés instantanés de volume et le chiffrement multithread.
Sophos a tenté d'en savoir davantage sur les développeurs à l'origine de ce rançongiciel et a découvert que certains d'entre eux cherchaient à faire évoluer leur offre de produits et, en substance, à développer leur activité. On en trouve un exemple chez le développeur du ransomware Loni, qui présente son produit comme étant supérieur aux offres RaaS et indique qu'il envisage de développer son infrastructure et de créer un site dédié aux fuites de données dès qu'il disposera de fonds suffisants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Étant donné que les variantes du ransomware « junk gun » ne disposent pas de sites de fuite de données, il est difficile pour les chercheurs de déterminer leur utilisation réelle dans la nature.
Cette offre de type « junk gun » diffère considérablement du modèle RaaS, mais permet néanmoins d'atteindre un objectif similaire, à savoir réduire le coût d'accès. Ces offres permettent toujours à des cybercriminels de tous niveaux de se lancer dans le monde des ransomwares sans avoir besoin de connaissances techniques approfondies ni d'accès à des réseaux criminels.
Cette offre pourrait s'avérer plus attrayante pour certains cybercriminels, car elle ne comporte pas de partage des bénéfices, contrairement aux offres de type « RaaS ». Comme le résume Sophos, cela « permet aux criminels de se lancer dans cette activité à moindre coût, facilement et de manière autonome ».
3. Une nouvelle campagne de « malvertising » cible les équipes informatiques
La dernière campagne de publicité malveillante de Google, intitulée « » ( ), propulse en tête des résultats des moteurs de recherche plusieurs domaines de typosquatting imitant des logiciels légitimes de scan d'adresses IP.
The campaign seeks to deliver a new backdoor, MadMxShell, which uses DLL sideloading in multiple stages, abuses the DNS protocol for C2 communications, and is capable of evading memory forensics security solutions.
À propos de la campagne
L'auteur de cette campagne a enregistré plusieurs noms de domaine qui usurpent l'identité de logiciels légitimes de scan d'adresses IP, tels que Advanced IP Scanner, Angry IP Scanner, PRTG IP Scanner et Manage Engine.
Ces domaines ont tous été utilisés lors d'attaques par « malvertising » survenues en mars. Le code source des sites malveillants est pratiquement identique à celui du site légitime, à l'exception d'une modification qui redirige l'utilisateur vers le téléchargement d'un fichier malveillant.
La porte dérobée
Zscaler a analysé un échantillon nommé « Advanced-ip-scanner.zip », qui s'est avéré contenir deux fichiers, dont un exécutable (une copie renommée du fichier légitime « oleview.exe ») et une DLL.
Lorsque le fichier exécutable s'exécute, il charge la DLL via un « sideload » et exécute une série de shellcodes. À l'étape suivante, un fichier exécutable Microsoft dûment signé, OneDrive.exe, est déposé. Cette faille est ensuite exploitée pour installer une DLL supplémentaire afin d'assurer la persistance.
Le logiciel malveillant tentera de désactiver Windows Defender, de configurer une tâche planifiée et d'utiliser des techniques anti-dumping avant de procéder aux opérations habituelles de manipulation de fichiers.
Le logiciel malveillant communiquera également avec son « C2 » en envoyant et en recevant des commandes encodées dans des requêtes MX DNS. Ce logiciel malveillant est configuré pour envoyer des requêtes à des intervalles de trois secondes, ce qui est relativement court et le rend donc beaucoup plus visible que les logiciels malveillants qui utilisent le protocole HTTP pour leurs communications C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels ont de plus en plus souvent recours à la « malvertising » pour diffuser des logiciels malveillants auprès d'utilisateurs peu méfiants, ce qui souligne l'importance de vérifier les liens figurant dans les résultats des moteurs de recherche avant de cliquer sans réfléchir.
Ce qui distingue cette campagne de « malvertising », c'est le recours à des requêtes DNS MX pour sa communication « C2 ». À première vue, cela semble être une technique sophistiquée, mais l'intervalle de seulement trois secondes entre les requêtes la rend assez bruyante.
Cette campagne semble cibler les utilisateurs du secteur informatique, compte tenu du logiciel dont elle usurpe l'identité. Cependant, de nouvelles campagnes de « malvertising » semblent apparaître régulièrement et cibler un très large éventail d'utilisateurs utilisant divers logiciels.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
