Pour commencer ce tour d'horizon hebdomadaire, CTI se penche sur une nouvelle campagne de logiciels malveillants sous Linux qui cible des serveurs mal configurés exécutant Apache Hadoop YARN, Docker, Confluence et Redis. CTI explique ensuite comment les auteurs de ransomware exploitent un nombre croissant d'outils d'exfiltration de données dans le cadre de leurs attaques. Enfin, CTI présente en détail les principales conclusions relatives aux menaces liées au cloud issues de l'étude « 2023 ».
1. Une campagne de logiciels malveillants sous Linux cible des serveurs mal configurés
Une nouvelle campagne de logiciels malveillants Linux de type « » a été découverte ; elle cible des serveurs mal configurés exécutant Apache Hadoop YARN, Docker, Confluence et Redis. Cette campagne utilise des charges utiles jusqu'alors inconnues, tout en tirant parti de erreurs de configuration courantes et en exploitant une vulnérabilité CVE de Confluence pour mener des attaques par exécution de code à distance (RCE).
Cado a découvert cette campagne après avoir détecté un pic d'activité d'accès initial sur un honeypot de l'API de Docker Engine. Cette activité consistait à utiliser une commande Docker permettant de lancer un nouveau conteneur basé sur Alpine Linux et de créer un montage « bind » pour le répertoire racine du honeypot au sein de ce conteneur.
Dans le cadre de cette campagne, l'auteur de la menace a créé un fichier exécutable dans le répertoire « /usr/bin/vurl » et a configuré une tâche Cron afin de décoder et d'exécuter certaines commandes shell encodées. Par mesure de sécurité, l'auteur de la menace a créé une tâche Cron supplémentaire afin d'obtenir une autre charge utile en cas d'échec de la première méthode. Les chercheurs n'ont pas pu obtenir cette charge utile supplémentaire.
La charge utile principale
La charge utile principale de cette campagne est un simple script shell. On commence par définir le domaine C2 où sont stockées les charges utiles supplémentaires. Il vérifie ensuite si l'utilitaire « chattr » existe et, s'il le trouve, le renomme « zzhcht ». Si cet utilitaire n'est pas détecté, il en installera un. Enfin, ce script shell vérifiera si l'utilisateur actuel dispose des droits root et choisira sa charge utile suivante en fonction de cette réponse.
Scripts supplémentaires
- Ar.sh : Ce script shell prépare la machine à subir d'autres attaques en mettant en œuvre des techniques anti-forensiques et en récupérant des charges utiles supplémentaires. Ce script désactivera « firewalld » et «
iptables », effacera l'historique du shell, désactivera SELinux et ajoutera des serveurs DNS publics au fichier /etc/resolv.conf afin de garantir le bon déroulement des requêtes DNS sortantes. Le script utilisera également la commande « shopt » pour empêcher que les commandes du shell ne soient enregistrées dans le fichier d'historique et pour compliquer leur analyse. Ensuite, le script installera des rootkits afin de masquer ses processus et désinstallera les agents de surveillance d'Alibaba Cloud et de Tencent.
Vous trouverez des informations complémentaires sur ce script sur , ainsi que dans le rapport de Cado Security intitulé « ».
- Fkohts : Il s'agit du premier d'une série de fichiers ELF Golang « » déployés par le logiciel malveillant. Cette opération recherchera et supprimera les images Docker, puis mettra à jour le fichier « /etc/hosts ».
- S.sh : Il s'agit de l'étape suivante de la chaîne d'infection et d'un autre script shell. S.sh téléchargera des charges utiles supplémentaires et les installera de manière permanente sur l'hôte.
- Les utilitaires d'accès initial et de répartition : h.sh, d.sh, c.sh et w.sh, ont tous été récupérés lors de l'étape précédente. Ces exécutables permettront d'identifier et d'exploiter respectivement les hôtes exécutant Apache Hadoop, Docker, Redis et Confluence.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Cado Security, il apparaît clairement que « les pirates consacrent beaucoup de temps à comprendre les types de services accessibles depuis le Web déployés dans les environnements cloud, à se tenir informés des vulnérabilités signalées dans ces services et à exploiter ces connaissances pour s'introduire dans les environnements ciblés ».
Cela permet vraiment de se rendre compte du temps que les cybercriminels sont prêts à consacrer pour s'assurer que leurs campagnes soient aussi efficaces que possible. Le rapport rappelle également que si les acteurs malveillants suivent de près les vulnérabilités signalées et se tiennent informés des dernières avancées technologiques, nous devrions tous en faire de même.
2. Les auteurs de ransomware diversifient leurs outils d'exfiltration de données
Les auteurs de ransomware exploitent une liste de plus en plus longue d'outils d'exfiltration de données de type « » : (s'ouvre dans un nouvel onglet),et dans le cadre de leurs attaques. Au cours des trois derniers mois seulement, Symantec a constaté qu'au moins une douzaine d'outils différents étaient utilisés à des fins d'exfiltration de données. Ces outils comprennent certes certains logiciels malveillants, mais il s'agit dans leur grande majorité de logiciels légitimes à double usage, détournés à des fins malveillantes.
Zoom sur les outils d'exfiltration de données
Parmi les douze outils recensés par Symantec, Rclone reste l'outil le plus fréquemment utilisé pour l'exfiltration de données. La catégorie qui connaît globalement la plus forte croissance est, sans surprise, celle des outils de gestion à distance.
- Rclone : Il s'agit d'un outil open source utilisé pour gérer du contenu dans le cloud. Il est utilisé à des fins malveillantes par des acteurs malveillants pour exfiltrer des données.
- AnyDesk, ScreenConnect, Atera et TightNVC : il s'agit d'outils légitimes de contrôle à distance et de surveillance à distance pouvant être utilisés pour accéder à l'ordinateur d'une victime.
- RDP : Ce protocole permet à un ordinateur de contrôler un autre appareil. Les cybercriminels tentent souvent d'activer cette fonctionnalité afin de pouvoir exploiter des outils utilisant le protocole RDP.
- Cobalt Strike : Il s'agit d'un outil prêt à l'emploi couramment utilisé qui permet « d'exécuter des commandes, d'injecter d'autres processus, d'élever les privilèges des processus en cours ou de se faire passer pour d'autres processus, ainsi que de télécharger et de transférer des fichiers ».
- WinRAR : ce gestionnaire d'archives sert à compresser des fichiers et peut être utilisé par un acteur malveillant pour préparer des fichiers en vue de leur exfiltration.
- Restic : Il s'agit d'un outil de sauvegarde en ligne de commande open source. Il est conçu pour fonctionner sur plusieurs plateformes et prend en charge des systèmes de stockage tels que les répertoires locaux, Amazon S3 et Azure.
- WinSCP : Il s'agit d'un client SFTP et FTP fiable pour Windows.
- Pandora RC : Anciennement connu sous le nom d'eHorus, Pandora RC est un outil d'accès à distance légitime. Il dispose d'agents pour Windows, Linux et Mac, et est utilisé par les cybercriminels pour déployer des outils supplémentaires.
- Chisel : outil proxy open source, Chisel établit des connexions chiffrées via un tunnel. Cette faille est exploitée lors d'attaques par ransomware pour créer ces tunnels vers l'infrastructure d'un acteur malveillant afin d'exfiltrer des données.
Étude de cas : Rclone
Symantec a mené une enquête approfondie sur une attaque par le ransomware RagnarLocker qui exploitait Rclone, un outil que les auteurs de menaces utilisent souvent pour exfiltrer des données de l'environnement d'une victime. Il est généralement installé par l'auteur de la menace après avoir obtenu un premier accès. En raison de son utilisation très fréquente, les cybercriminels ont commencé à modifier le nom de Rclone pour le faire passer pour un autre programme, tel que svchost.exe.
On en a vu un exemple lors d'une attaque de type RagnarLocker l'année dernière. Cette attaque a donné lieu à l'ouverture d'une enquête après l'exécution de commandes PowerShell visant à désactiver les protections LSA. L'acteur a ensuite exécuté netscan.exe, un autre outil accessible au public, afin de recenser les noms d'hôtes et d'autres services réseau.
Après avoir déployé Mimikatz et LaZagne pour extraire les identifiants, l'acteur a utilisé plusieurs outils de type « living off-the-land » (LotL) pour collecter des informations et exécuter des commandes, et a activé le protocole RDP pour permettre l'accès à distance. Les acteurs se sont ensuite tournés vers Rclone pour copier des données à partir de partages réseau. Des connexions Rclone ont été établies vers diverses URL « put[.]io » à des fins d'exfiltration de données. L'attaque s'est soldée par le déploiement du ransomware RagarLocker et le chiffrement des fichiers.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels ont de plus en plus souvent recours à des outils légitimes dans le cadre de leurs attaques afin d'échapper à la détection. À mesure que le secteur prenait conscience de cette tendance, les cybercriminels ont de nouveau changé de stratégie pour se tourner vers des outils moins connus (ou moins médiatisés) ou pour modifier le nom des outils qu’ils utilisaient.
Il peut s'avérer difficile de surveiller l'utilisation d'outils légitimes et d'identifier les cas où ceux-ci sont utilisés à des fins malveillantes. Symantec a publié des mesures d'atténuation concernant « » (s'ouvre dans un nouvel onglet) qui pourraient vous être utiles.
3. Cado publie son rapport sur les principales menaces liées au cloud pour l'année 2H23
Cado Security a publié son rapport « : Cloud Threat Findings » ( ) portant sur le second semestre de 2023. Ce rapport vise à aider les équipes de sécurité à se prémunir contre les acteurs malveillants ciblant le cloud et analyse en détail plusieurs campagnes de logiciels malveillants basées sur le cloud.
Cado Security associe également les données recueillies grâce à son infrastructure de « honeypots » à ses conclusions techniques afin de dresser un tableau des menaces actuelles ciblant le cloud.
Les pirates disposent d'une connaissance approfondie des services cloud
D'après les données de Cado Security, les pirates disposent désormais d'une connaissance approfondie des services cloud tels que Docker, Redis et Jupyter. Cado Security a constaté que des connaissances spécifiques à Docker avaient été utilisées contre son propre honeypot et a identifié des acteurs malveillants qui tentaient de s'échapper des conteneurs créés en montant le système de fichiers de l'hôte. De même, ils ont constaté que des acteurs malveillants exploitaient et utilisaient Redis à des fins malveillantes.
Docker reste une cible de choix
Docker est resté le service le plus ciblé pour l'accès initial en 2023, représentant environ 90 % du trafic des honeypots de Cado Security (en excluant le protocole SSH).
Le K8s s'est classé deuxième, avec un score de seulement 7,61 %. Cado Security a observé plusieurs campagnes de longue durée ciblant Docker tout au long de l'année, dont deux qui exploitaient des points de terminaison API Docker exposés pour exécuter du code malveillant.
Autres conclusions tirées du rapport de Cado
Cado Security a constaté que des acteurs malveillants continuaient d'exploiter des services accessibles depuis le Web dans des environnements cloud tels que Docker, Redis, Kubernetes et Jupyter.
Par ailleurs, la plupart des campagnes ciblant le cloud et Linux impliquaient le détournement de ressources dans le but de miner des cryptomonnaies. Le cryptojacking n'est toutefois plus la seule cible des acteurs malveillants dans le cloud. Des campagnes détournent désormais également divers services SMTP (Simple Mail Transfer Protocol) dans le cloud afin de mener des attaques de spam à grande échelle.
Enfin, Cado a constaté une tendance déjà signalée par de nombreux autres acteurs, à savoir l'augmentation du nombre de logiciels malveillants écrits en Rust et en Golang, qui permettent aux développeurs de compiler leur code pour plusieurs systèmes d'exploitation.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les rapports de Cado prennent de plus en plus d'importance, à mesure que de plus en plus d'entreprises adoptent les technologies cloud.
L'une des principales conclusions de ce rapport est que les pirates « ciblent de plus en plus des services, tels que Docker, Redis, Kubernetes et Jupyter, dont l'exploitation nécessite des connaissances techniques pointues, différentes de celles requises pour attaquer des serveurs Linux classiques ».
Cette découverte à elle seule montre à quel point les auteurs de menaces gagnent en sophistication. Cela montre également que les auteurs de menaces consacrent probablement beaucoup de temps à acquérir les connaissances et les compétences nécessaires pour exploiter certains services cloud. Cela dit, les cybercriminels doivent certainement constater un retour sur investissement en ciblant les services cloud.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
