Dans le tour d'horizon de cette semaine, CTI commence par une enquête sur la découverte de six paquets malveillants sur le Python Package Index (PyPI). Nous allons maintenant nous pencher en détail sur les récentes informations concernant le framework de logiciels malveillants « wormable » Raspberry Robin, qui présente des améliorations significatives en termes de fonctionnalités et semble suivre un nouveau schéma de ciblage, comme en témoignent les attaques dont ont été victimes des établissements financiers et des compagnies d'assurance en Europe. Le « Roundup » conclut ce tour d'horizon par l'analyse, réalisée par CTI, d'une récente attaque par le logiciel malveillant IcedID, au cours de laquelle l'auteur de la menace a réussi à compromettre Active Directory et le domaine moins de 24 heures après avoir obtenu un accès initial.
1. Des paquets PyPI malveillants utilisent les tunnels Cloudflare pour contourner les pare-feu
Phylum a découvert six paquets malveillants de type « » sur le Python Package Index (PyPI), qui est le référentiel officiel de logiciels tiers de Python. Il s'est avéré que ces paquets installaient des chevaux de Troie d'accès à distance (RAT) et des logiciels malveillants destinés à voler des informations, tout en utilisant Cloudflare Tunnel pour contourner les restrictions du pare-feu et permettre ainsi l'accès à distance.
Comment cette découverte s'est-elle déroulée ?
Phylum a signalé pour la première fois un paquet appelé « pyrologin » sur 22 décembre 2022. À première vue, ce paquet semblait être un logiciel malveillant Python classique, mis à part le téléchargement d'un fichier zip et de quelques chaînes de caractères contenant du code PowerShell. Puis, sur 28 décembre, ils ont découvert un paquet malveillant similaire appelé « easytimestamp ». Le lendemain, les projets « discorder » et « discord-dev » ont été découverts, présentant là encore des similitudes avec le projet « pyrologin » d'origine. Enfin, sur 31 décembre, des chercheurs ont découvert les fichiers « style[.]py » et « pythonstyles », qui présentaient tous deux des similitudes avec les découvertes initiales.
La découverte de ce paquet malveillant et de nombreux autres similaires laisse penser qu'il ne s'agissait pas d'une publication isolée, mais plutôt d'un élément d'une attaque de plus grande envergure.
Les six paquets malveillants détectés par Phylum ont fait l'objet de nombreux téléchargements et ont depuis été supprimés de PyPI :
- pyrologin – 165 téléchargements
- easytimestamp – 141 téléchargements
- discorder – 83 téléchargements
- discord-dev – 228 téléchargements
- style.py – 193 téléchargements
- pythonstyles – 130 téléchargements
L'installation de l'un de ces paquets malveillants peut entraîner les situations suivantes :
- La fuite d'informations sensibles
- Persistance établie
- Installation d'un enregistreur de frappe
- Mise en place d'un tunnel Cloudflare
- Lancement d'une application « flask », à laquelle l'attaquant accède via le tunnel mentionné ci-dessus
Pourquoi cela devrait vous intéresser
Selon Phylum, ce logiciel malveillant s'apparente à « un RAT sous stéroïdes ». Il intègre des fonctionnalités RAT de base intégrées à une interface graphique Web, ainsi qu'une fonctionnalité de bureau à distance et un programme de vol de données.
Ainsi, même si un pirate ne parvient pas à établir une persistance ou à faire fonctionner un utilitaire de bureau à distance, le module de vol de données continuera à exfiltrer les données qu’il trouve.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les conclusions de Phylum illustrent une fois de plus la manière dont les pirates ciblent les référentiels de paquets open source pour mener des attaques de type « chaîne d'approvisionnement », une tendance qui devrait se poursuivre à l'avenir. »
« Ce qui rend ce cas particulièrement singulier par rapport à certains des paquets open source malveillants identifiés précédemment, c'est l'utilisation du logiciel légitime Cloudflare Tunnel pour accéder à distance à la machine compromise. Cloudflare Tunnel vous permet de sécuriser et de chiffrer le trafic vers tout type d'infrastructure ne disposant pas d'adresse IP routable publiquement, et permet aux serveurs web d'être accessibles au public via Cloudflare sans avoir à configurer de pare-feu. »
2. Un nouveau logiciel malveillant, « Raspberry Robin », cible les établissements financiers au Portugal et en Espagne
Les pirates informatiques exploitent désormais le framework de logiciels malveillants automatisé et « propagable comme un ver », connu sous le nom de Raspberry Robin, pour cibler des établissements financiers et des compagnies d'assurance espagnols et portugais.
Ce ver sert de « chargeur » à d’autres logiciels malveillants et se propage à d’autres appareils au sein des réseaux des victimes. Selon Security Joes, Raspberry Robin est un «framework automatisé bien conçu » qui « offre aux attaquants, après l’infection, la capacité de contourner la détection, de se déplacer latéralement et d’exploiter les infrastructures cloud de confiance de fournisseurs d’hébergement de données connus tels que Discord, Azure et GitHub... »
Retour sur Raspberry Robin
CTI suit l'évolution de Raspberry Robin depuis juillet 2022. Nos recherches nous ont conduits à une analyse approfondie du logiciel malveillant, réalisée par Red Canary, qui a été le premier à détecter le groupe d'activités malveillantes associé sur septembre 2021.
À l'époque, ce logiciel malveillant avait été décrit comme un ver qui s'installe souvent via une clé USB. La victimologie concernait des organisations liées aux secteurs de la technologie et de l'industrie manufacturière. Ce même mois, Microsoft a établi un lien entre Raspberry Robin et le célèbre réseau criminel russe connu sous le nom d'Evil Corp.
Les dernières nouvelles concernant Raspberry Robin
Selon The Record, , Raspberry Robin continue d'infecter des ordinateurs via des périphériques USB compromis ; rien n'a donc vraiment changé en ce qui concerne le vecteur d'intrusion initial de ce framework. Toutefois, Security Joes indique que la dernière variante de ce logiciel malveillant est plus complexe que les versions précédentes, ce qui permet à ses opérateurs de collecter beaucoup plus de données auprès de leurs cibles.
Les chercheurs de Security Joes ajoutent que la particularité de Raspberry Robin réside dans son obfuscation poussée et dans la difficulté que présente toute tentative de désassemblage statique de ce logiciel malveillant.
« Il semble que les développeurs se soient efforcés d'ajouter des mesures de protection à leur code afin de contourner les outils de sécurité et d'échapper à la vigilance des analystes spécialisés dans les logiciels malveillants », indique le rapport.
Ses développeurs auraient également ajouté un niveau de chiffrement supplémentaire, de sorte que les données des victimes ne sont plus visibles en clair, mais chiffrées à l'aide du chiffrement RC4 . Cependant, les chercheurs mentionnés ci-dessus n'ont pas baissé les bras et, dans les deux cas auxquels ils ont répondu ce mois-ci, ces analystes tenaces ont réussi à « disséquer le programme de téléchargement pour le séparer de son conteneur d'origine et à mettre au jour le logiciel malveillant qui renvoyait au framework Raspberry Robin susmentionné ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le ver Raspberry Robin fait partie intégrante d'un écosystème complexe de logiciels malveillants, et la liste de ses victimes ne cesse de s'élargir. » « Son infrastructure a été utilisée pour cibler des organisations partout dans le monde, permettant ainsi des intrusions dans les réseaux d'entités liées aux secteurs de la technologie, de l'industrie, des télécommunications, des pouvoirs publics, et désormais de la finance et de l'assurance. »
« Selon Microsoft, rien que dans l' octobre 2022 , près de 3 000 appareils au sein de près de 1 000 organisations ont reçu au moins une alerte liée à la charge utile « Raspberry Robin ». Compte tenu de tout cela — ainsi que du fait qu’il semble faire l’objet d’un développement constant et de mises à jour fréquentes —, Raspberry Robin est clairement devenu une menace d’envergure mondiale. »
« Alors que Raspberry Robin semblait n’avoir aucune utilité lors de sa découverte initiale, il a évolué et est en passe d’avoir un impact potentiellement dévastateur sur les environnements où il est encore installé », indique un rapport « » publié par le service Microsoft Security Threat Intelligence en octobre . »
« Le développement de Raspberry Robin se poursuivra très probablement jusqu’en 2023, et ce cadre contribuera sans aucun doute à faciliter la diffusion de logiciels malveillants et les activités de cybercriminalité. »
3. Le logiciel malveillant IcedID frappe à nouveau : un domaine Active Directory compromis en moins de 24 heures
Le logiciel malveillant IcedID, parfois également appelé BokBot, existe depuis à l'adresse least 2017. On sait d'après les données historiques qu'il s'agit d'un cheval de Troie bancaire utilisé pour dérober des informations financières à ses victimes. Plus récemment, IcedID est utilisé comme « dropper » pour d'autres familles de logiciels malveillants et comme outil par les courtiers en accès initiaux.
Une analyse récente des menaces réalisée par Cybereason et publiée sur examine en détail une attaque par le logiciel malveillant IcedID, qui a permis à l'auteur de la menace de compromettre le domaine Active Directory de sa cible en moins de 24 heures après avoir obtenu un accès initial.
Détails de l'attaque
Le rapport de Cybereason détaille les méthodes d'infection utilisées sur la machine « patient zéro », qui a servi de point d'ancrage aux attaquants pour mener le reste de l'attaque.
En résumé, la victime ouvre une archive, clique sur un fichier ISO qui crée un disque virtuel, clique ensuite sur un fichier LNK qui dépose une DLL ; cette DLL établit des connexions vers les domaines IcedID, et la charge utile IcedID est chargée dans le processus.
Les infections par IcedID observées précédemment commencent lorsque la victime ouvre un fichier ZIP protégé par un mot de passe contenant un fichier ISO. Lorsque vous double-cliquez sur le fichier, les fichiers ISO se montent automatiquement sous la forme d'un répertoire en lecture seule, contenant un dossier masqué et un fichier LNK. Ce dossier caché contient un fichier batch obscurci et une charge utile au format DLL.
Lorsque vous cliquez sur le raccourci ou le fichier LNK, le fichier batch contenu dans le répertoire masqué s'exécute. Le fichier batch lancera un programme exécutable chargé de copier et de placer la DLL dans le répertoire temporaire, où elle sera exécutée.
Détails techniques
s relatives aux déplacements latéraux : L'attaquant semble suivre une procédure standard en matière de déplacements latéraux. Moins d'une heure après l'infection initiale, il s'est d'abord tourné vers un autre ordinateur, puis a utilisé ping[.]exe pour déterminer si l'hôte était en ligne ou non. Le fichier « Wmic[.]exe » a été utilisé pour exécuter une DLL à distance sur le poste de travail.
Une fois que l'attaquant s'est implanté sur l'hôte distant, il a exécuté une balise Cobalt Strike, nommée gv[.]dll. Ce processus s'est poursuivi sur l'ensemble du réseau : l'outil ping[.]exe a été utilisé pour vérifier que les hôtes étaient en ligne, puis des déplacements latéraux ont été effectués via WMI, et enfin des charges utiles Cobalt Strike ont été exécutées afin d'établir une présence sur le système. Cybereason a constaté que l'attaquant avait pu se déplacer latéralement vers un serveur Windows interne grâce à des identifiants compromis par le biais d'une attaque de type « kerberoasting ». Ce compte disposait de droits d'administrateur de domaine.
de persistance : l’attaquant a repris une technique de « » issue de Conti , qui consiste à installer l’outil RMM AteraAgent sur plusieurs machines. Atera est un outil légitime destiné à l'administration à distance, qui a été utilisé par le groupe Conti pour retrouver un accès persistant aux environnements infectés et échapper à la détection. L'utilisation d'Atera permet à l'attaquant de se créer une porte dérobée supplémentaire au cas où ses mécanismes de persistance initiaux seraient découverts et/ou neutralisés. Les lignes de commande exécutées lors de l'installation d'AteraAgent révèlent une erreur commise par le pirate : une faute d'orthographe dans le nom de domaine « outlook[.]it ».
du vol d'identifiants : Le premier cas de vol d'identifiants s'est produit seulement 15 minutes après l'infection initiale par le biais du « kerberoasting ». La méthode « Kerberoasting » a été utilisée pour extraire les hachages des comptes de service du domaine. Après s'être déplacé latéralement vers un serveur de fichiers et avoir élevé ses privilèges via des services, le pirate a ensuite mené avec succès une attaque DCSync — une attaque qui permet à l'acteur malveillant de se faire passer pour un contrôleur de domaine et de demander des hachages de mots de passe à d'autres contrôleurs de domaine. Cela a permis à l'attaquant de prendre finalement le contrôle du domaine.
Infiltration des navigateurs : IcedID a déjà tenté à plusieurs reprises de s'infiltrer dans des navigateurs tels que Firefox ou Chrome afin de voler des identifiants et des cookies. Une fois le bot principal chargé, les chercheurs ont observé un comportement de « hooking » au sein de Chrome.
de reconnaissance : l’attaque a exploité plusieurs commandes de reconnaissance différentes, exécutées dans le cadre du module « SysInfo » du bot IcedID. Le fichier Net[.]exe a été utilisé pour recueillir des informations sur le système d'exploitation et Active Directory, tandis que le fichier ping[.]exe a servi à vérifier si les machines distantes étaient en ligne, dans le cadre d'un déplacement latéral.
L'attaquant a également utilisé nltest[.]exe pour extraire des informations relatives à Active Directory et PowerShell pour repérer les partages non standard au sein du réseau. Enfin, la commande « wuauclt.exe /detectnow » a été exécutée afin de vérifier s'il manquait des mises à jour ou des correctifs.
Analyse du réseau : L'outil légitime « netscan » a été utilisé pour analyser le réseau, en enregistrant les résultats de l'analyse dans un fichier XML local. Il s'agit là d'une autre technique empruntée à Conti.
Exfiltration de données : On a constaté que le pirate utilisait des copies renommées du célèbre logiciel de synchronisation de fichiers « rclone » pour chiffrer et synchroniser des répertoires vers le service de partage de fichiers « Mega ». Rclone connaît un succès croissant auprès des cybercriminels, à tel point que même LockBit l'utilise pour l'exfiltration de données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le fait qu’un pirate parvienne à compromettre Active Directory en 24 heures n’est pas tout à fait inédit, mais cela nous rappelle à quel point les incidents peuvent survenir rapidement et combien il est important de réagir sans tarder face à une activité réseau anormale. » Cette attaque souligne également à quel point il est courant que les acteurs malveillants et les groupes de ransomware réutilisent ou partagent (voire, dans certains cas, se contentent de voler) les TTP les uns des autres, comme en témoigne la réutilisation par l’acteur malveillant des techniques connues de Conti, mises en évidence ci-dessus. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
