Dans le Roundup de cette semaine, CTI démarre par une enquête sur la découverte de six packages malveillants sur l’index des packages Python (PyPI). Ensuite, nous allons examiner en profondeur les rapports récents sur le cadre vermifiable des logiciels malveillants Raspberry Robin, qui montre des améliorations significatives en matière de fonctionnalité et semble suivre un nouveau modèle de ciblage, comme en témoigne sa victimisation des institutions financières et d’assurance en Europe. Le Roundup conclut avec l’examen par CTI d’une récente attaque par logiciel malveillant IcedID, dans laquelle l’acteur malveillant a atteint une compromission du domaine/Active Directory moins de 24 heures après avoir obtenu l’accès initial.
1. Les packages PyPI malveillants utilisent des tunnels Cloudflare pour se faufiler dans les pare-feux
Phylum a découvert six packages malveillants sur l’index des packages Python (PyPI), qui est le référentiel logiciel tiers officiel de Python. Il a été constaté que les packages installaient un cheval de Troie d’accès à distance (RAT) et des programmes malveillants de vol d’informations, tout en utilisant Cloudflare Tunnel pour contourner les restrictions de pare-feu pour l’accès à distance.
Comment la découverte s’est déroulée
Phylum a d’abord signalé un package appelé pyrologin sur 22 décembre 2022. À première vue, ce package semblait être un logiciel malveillant Python standard, en dehors de la récupération d’un fichier zip et de certaines chaînes contenant le code PowerShell. Puis, le 28 décembre, ils ont découvert un package malveillant similaire appelé easytimestamp. Le lendemain, discorder et discord-dev ont été découverts, avec des similitudes avec le pyrologue d’origine. Enfin, le 31 décembre, les chercheurs ont découvert des styles de style[.]py et de python, tous deux similaires aux découvertes originales.
La découverte de ceci et de nombreux packages malveillants similaires suggère qu’il ne s’agissait pas d’une publication ponctuelle, mais plutôt d’une attaque plus importante.
Les six packages malveillants détectés par Phylum ont plusieurs téléchargements et ont depuis été supprimés de PyPI :
- pyrologin – 165 téléchargements
- easytimestamp – 141 téléchargements
- disorder – 83 téléchargements
- discord-dev – 228 téléchargements
- style.py – 193 téléchargements
- pythonstyles – 130 téléchargements
L’installation de l’un de ces packages malveillants peut entraîner les scénarios suivants :
- L’exfiltration d’informations sensibles
- Persévérance établie
- Installation d’un enregistreur de frappe
- Installation d’un tunnel Cloudflare
- Initiation d’une application de flacon, accessible par l’attaquant via le tunnel ci-dessus
Pourquoi vous devriez vous soucier
Ce logiciel malveillant est comme « un RAT sur les stéroïdes », selon Phylum. Il comprend des capacités RAT de base intégrées à une interface graphique Web, avec une capacité de bureau à distance et un voleur.
Ainsi, même si un attaquant ne parvient pas à établir la persistance ou ne parvient pas à faire fonctionner un utilitaire de bureau à distance, la partie voleur exfiltrera toujours les données qu’il trouve.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les résultats de Phylum sont un autre exemple de la manière dont les attaquants ciblent les référentiels de packages open source pour mettre en place des attaques de type chaîne d’approvisionnement, ce qui est susceptible de se poursuivre à l’avenir. »
« Ce qui rend cette instance plus unique par rapport à certains des packages open source malveillants précédemment identifiés, c’est l’utilisation du logiciel Cloudflare Tunnel légitime pour accéder à distance à la machine compromise. Cloudflare Tunnel vous permet de sécuriser et de chiffrer le trafic vers tout type d’infrastructure sans adresse IP routable publiquement et permet aux serveurs Web de devenir accessibles publiquement via Cloudflare sans configurer de pare-feu. »
2. Le nouveau logiciel malveillant Raspberry Robin cible les institutions financières au Portugal et en Espagne
Les pirates informatiques tirent désormais parti du cadre automatisé et « vermifugable » des logiciels malveillants, connu sous le nom de Raspberry Robin, pour cibler les institutions financières et d’assurance espagnoles et portugaises.
Ce ver agit comme un chargeur pour d’autres logiciels malveillants et se propage à d’autres appareils au sein des réseaux des victimes. Selon Security Joes, Raspberry Robin est un « cadre automatisé bien conçu » qui « permet aux attaquants des capacités post-infection d’échapper à la détection, de se déplacer latéralement et d’exploiter les infrastructures cloud de confiance des fournisseurs d’hébergement de données connus tels que Discord, Azure et Github... »
Un aperçu de Raspberry Robin
CTI suit Raspberry Robin depuis juillet 2022. Nos recherches nous ont conduits à une analyse approfondie du logiciel malveillant de Red Canary, qui a d’abord observé le cluster d’activités malveillantes associé en septembre 2021.
À l’époque, le logiciel malveillant était décrit comme un ver qui est souvent installé via une clé USB. La victimologie comprenait des organisations ayant des liens avec la technologie et la fabrication. Ce même mois, Microsoft a lié Raspberry Robin au célèbre syndicat russe de cybercriminalité appelé Evil Corp.
Les dernières actualités sur Raspberry Robin
Selon The Record, Raspberry Robin infecte toujours les ordinateurs via des appareils USB compromis, donc peu de choses ont changé en ce qui concerne le vecteur d’intrusion initial du cadre. Cependant, Security Joes rapporte que la dernière variante du logiciel malveillant est plus complexe que les itérations précédentes, ce qui permet à ses opérateurs de collecter beaucoup plus de données auprès de ses cibles.
Les chercheurs de Security Joes affirment que l’unicité de Raspberry Robin réside dans son obscurcissement lourd et la difficulté impliquée dans toute tentative de désassembler statiquement le logiciel malveillant.
« Il semble que les développeurs étaient occupés à ajouter des protections à leur code pour éviter les outils de sécurité et les yeux curieux des analystes de logiciels malveillants », déclare le rapport.
Ses développeurs ont également apparemment ajouté une autre couche de chiffrement, de sorte que les données des victimes ne sont plus visibles en texte brut, mais plutôt cryptées avec le chiffrement RC4 . Cependant, les chercheurs mentionnés ci-dessus n’ont pas été découragés, et dans les deux cas auxquels ils ont répondu ce mois-ci, les analystes non découragés ont pu « disséquer le téléchargeur de son emballage parent et dévoiler le logiciel malveillant qui pointait vers le cadre Raspberry Robin susmentionné ».
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le ver Raspberry Robin fait partie active d’un écosystème complexe de logiciels malveillants, et sa liste de victimes devient de plus en plus diversifiée. Son cadre a été utilisé pour cibler des organisations du monde entier, permettant des intrusions dans des réseaux appartenant à des entités ayant des liens avec la technologie, la fabrication, les télécommunications, le gouvernement et désormais la finance et l’assurance. »
« Selon Microsoft, en octobre 2022 l’état, près de 3 000 appareils dans près de 1 000 organisations ont reçu au moins une alerte liée à la charge utile Raspberry Robin. Compte tenu de tout cela, ainsi que du fait qu’il semble être en développement constant et soumis à des mises à jour fréquentes, Raspberry Robin est clairement devenu une menace de classe mondiale. »
« Bien que Raspberry Robin semble n’avoir aucun objectif lorsqu’il a été découvert pour la première fois, il a évolué et se dirige vers un impact potentiellement dévastateur sur les environnements où il est encore installé », déclare un rapport Microsoft Security Threat Intelligence d’ octobre. »
« Le développement de Raspberry Robin se poursuivra très probablement bien en 2023, et le cadre aidera sans aucun doute à faciliter la distribution de logiciels malveillants et l’activité de cybercriminalité. »
3. Le logiciel malveillant IcedID frappe à nouveau : le domaine Active Directory est compromis en moins de 24 heures
Les logiciels malveillants IcedID, également parfois appelés BokBot, existent depuis least 2017. Il est historiquement connu comme un cheval de Troie bancaire utilisé pour voler des informations financières à ses victimes. Plus récemment, IcedID est utilisé comme compte-gouttes pour d’autres familles de logiciels malveillants et comme outil pour les courtiers d’accès initiaux.
Une analyse récente des menaces Cybereason se plonge dans une attaque de logiciel malveillant IcedID, qui a permis à l’acteur malveillant de compromettre le domaine Active Directory de sa cible en moins de 24 heures après avoir obtenu l’accès initial.
Détails de l’attaque
Le rapport de Cybereason décompose les méthodes d’infection employées sur la machine patient-zéro qui a été utilisée par les attaquants pour basculer vers le reste de l’attaque.
À un niveau élevé, la victime ouvre une archive, clique sur un fichier ISO qui crée un disque virtuel, clique sur un fichier LNK qui dépose une DLL, la DLL crée des connexions aux domaines IcedID et la charge utile IcedID est chargée dans le processus.
Les infections IcedID précédemment observées commencent par l’ouverture par la victime d’un fichier zip protégé par mot de passe contenant un fichier ISO. Lorsque vous double-cliquez sur le fichier, les fichiers ISO se montent eux-mêmes sous forme de répertoire en lecture seule, contenant un dossier masqué et un fichier LNK. Ce dossier masqué contient un fichier batch masqué et une charge utile DLL.
Lorsque vous cliquez sur le raccourci ou le fichier LNK, il exécute le fichier de lot contenu dans le répertoire masqué. Le fichier batch appellera un exécutable pour copier et déposer la DLL dans le répertoire temporaire où elle sera exécutée.
Détails techniques
Mouvement latéral : l’attaquant semble suivre un processus standard concernant le mouvement latéral. Il est d’abord passé à une autre machine moins d’une heure après l’infection initiale, puis a utilisé ping[.]exe pour déterminer si l’hôte était en ligne ou non. Wmic[.]exe a été utilisé pour exécuter une DLL à distance sur le poste de travail.
Une fois que l’attaquant a été établi sur l’hôte distant, il a exécuté une balise Cobalt Strike, nommée gv[.]dll. Ce processus a été poursuivi sur l’ensemble du réseau, en utilisant ping[.]exe pour vérifier que les hôtes sont en ligne, en se déplaçant latéralement via WMI et en exécutant des charges utiles Cobalt Strike pour la présence. Cybereason a observé que l’attaquant pouvait se déplacer latéralement vers un serveur Windows interne en raison d’informations d’identification compromises via le kberoasting. Le compte disposait de privilèges d’administrateur de domaine.
Persistance : l’attaquant a emprunté une technique à Conti dans laquelle est installé l’outil AteraAgent RMM sur plusieurs machines. Atera est un outil légitime utilisé pour l’administration à distance et a été utilisé par le gang Conti pour récupérer un accès persistant aux environnements infectés et éviter la détection. L’utilisation d’Atera permet à l’attaquant de créer une porte dérobée supplémentaire pour lui-même au cas où ses mécanismes de persistance initiaux seraient découverts et/ou corrigés. Les lignes de commande exécutées pendant l’installation de l’AteraAgent révèlent une erreur commise par l’attaquant : l’orthographe erronée du domaine Outlook[.]it.
Vol d’informations d’identification : la première instance de vol d’informations d’identification s’est produite seulement 15 minutes après l’infection initiale via le kerberoasting. Le kerberoasting a été utilisé pour extraire les hachages des comptes de service sur le domaine. Après un déplacement latéral vers un serveur de fichiers et une élévation des privilèges via des services, l’attaquant a ensuite exécuté avec succès une attaque DCSync, une attaque qui permet à l’acteur malveillant d’usurper l’identité d’un contrôleur de domaine, demandant des hachages de mot de passe à d’autres contrôleurs de domaine. Cela a permis à l’attaquant de compromettre finalement le domaine.
Connexion au navigateur : IcedID a un historique de tentatives de connexion à des navigateurs tels que Firefox ou Chrome pour tenter de voler des informations d’identification et des cookies. Une fois le robot principal chargé, les chercheurs ont observé le comportement d’accrochage dans Chrome.
Découverte : l’attaque a exploité plusieurs commandes de découverte différentes qui ont été exécutées dans le cadre du module « SysInfo » du bot IcedID. Net[.]exe a été utilisé pour découvrir les informations du système d’exploitation et de l’AD et ping[.]exe a été utilisé pour découvrir si les machines distantes étaient en ligne pour le mouvement latéral.
L’attaquant a également utilisé nltest[.]exe pour extraire des informations AD et PowerShell pour trouver des partages non standard au sein du réseau. Enfin, la commande « wuauclt.exe /detectnow » a été exécutée pour vérifier les mises à jour et correctifs manquants.
Analyse réseau : l’outil netscan légitime a été utilisé pour analyser le réseau, écrivant les résultats de l’analyse dans un fichier xml local. Il s’agit d’une autre technique qui a été empruntée à Conti.
Exfiltration de données : l’attaquant a été observé en utilisant des copies renommées du logiciel populaire de synchronisation de fichiers rclone pour chiffrer et synchroniser les répertoires vers le service de partage de fichiers Mega. Rclone devient de plus en plus populaire parmi les acteurs malveillants, même LockBit l’utilisant pour l’exfiltration des données.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La capacité d’un pirate informatique à compromettre Active Directory en 24 heures n’est pas entièrement inconnue, mais sert de rappel de la rapidité avec laquelle les incidents peuvent se produire et de l’importance de réagir à l’activité anormale du réseau en temps opportun. Cette attaque réitère également à quel point il est fréquent que les acteurs malveillants et les gangs de ransomware réutilisent/partagent (ou, dans certains cas, volent simplement) des TTP les uns des autres, comme en témoigne la réaffectation par l’acteur malveillant des techniques Conti connues, soulignée ci-dessus. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
