Pour la première fois dans le résumé de cette semaine, CTI examine une nouvelle campagne de logiciels malveillants Linux qui cible les serveurs mal configurés exécutant Apache Hadoop YARN, Docker, Confluence et Redis. Ensuite, la CTI explique comment les acteurs du ransomware exploitent une liste croissante d’outils d’exfiltration de données dans leurs attaques. Enfin, CTI décompose les principales conclusions de menaces liées au cloud à partir de la fin de 2023.
1. La campagne de logiciels malveillants Linux cible les serveurs mal configurés
Une nouvelle campagne de logiciels malveillants Linux a été découverte ciblant les serveurs mal configurés exécutant Apache Hadoop YARN, Docker, Confluence et Redis. La campagne tire parti des charges utiles précédemment non signalées tout en tirant parti des mauvaises configurations courantes et en exploitant un CVE Confluence pour effectuer des attaques d’exécution de code à distance (RCE).
Cado a découvert cette campagne après avoir trouvé un cluster d’activité d’accès initial sur un honeypot d’API Docker Engine. Cette activité impliquait une commande Docker qui a généré un nouveau conteneur basé sur Alpine Linux et créé un support de liaison pour le répertoire racine du honeypot dans le conteneur.
Dans cette campagne, l’acteur malveillant a écrit un exécutable sur « /usr/bin/vurl » et a enregistré une tâche Cron pour décoder et exécuter certaines commandes shell codées. Pour la redondance, l’acteur malveillant a écrit une tâche Cron supplémentaire pour obtenir une autre charge utile si la première méthode a échoué. Les chercheurs n’ont pas pu obtenir cette charge utile supplémentaire.
La charge utile principale
La charge utile principale de cette campagne est un script shell simple. Cela commence par définir le domaine C2 où les charges utiles supplémentaires sont détenues. Il vérifie ensuite l’existence de l’utilitaire de chat et le renomme zzhcht s’il est trouvé. Si cet utilitaire n’est pas trouvé, il en installera un. Enfin, ce script shell vérifiera si l’utilisateur actuel est enraciné et choisira sa prochaine charge utile en fonction de cette réponse.
Scripts supplémentaires
- Ar.sh : ce script shell configure la machine pour une compromission supplémentaire en effectuant des opérations anti-forensiques et en récupérant des charges utiles supplémentaires. Ce script désactivera « firewalld » et
« iptables », supprimera l’historique de shell, désactivera SELinux et ajoutera des serveurs DNS publics à /etc/resolv.conf pour s’assurer que ses demandes DNS sortantes sont réussies. Le script utilisera également « rechercher » pour empêcher les commandes shell d’être incluses dans le fichier d’historique et pour rendre l’analyse plus difficile. Ensuite, le script installera des rootkits pour masquer leurs processus et désinstallera les agents de surveillance pour Alibaba Cloud et Tencent.
Des fonctionnalités supplémentaires pour ce script sont disponibles dans le rapport de Cado Security.
- Fkohts : il s’agit du premier de plusieurs ELF Golang déployés par le logiciel malveillant. Cela recherchera et supprimera les images Docker et mettra à jour le fichier « /etc/hosts ».
- S.sh : il s’agit de l’étape suivante de la chaîne d’infection et d’un autre script shell. S.sh téléchargera des charges utiles supplémentaires et les conservera sur l’hôte.
- L’accès initial et les utilitaires de propagation : h.sh, d.sh, c.sh et w.sh, sont tous récupérés à l’étape précédente. Ces exécutables identifieront et exploiteront les hôtes exécutant Apache Hadoop, Docker, Redis et Confluence, respectivement.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le souligne Cado Security, il est clair que « les pirates consacrent un temps considérable à la compréhension des types de services Web déployés dans les environnements cloud, à se tenir au courant des vulnérabilités signalées dans ces services et à utiliser ces connaissances pour s’implanter dans les environnements cibles. »
Cela met vraiment en perspective le temps que les acteurs malveillants sont prêts à consacrer pour s’assurer que leurs campagnes sont aussi réussies que possible. Il réitère également que si les acteurs malveillants prêtent une attention particulière aux vulnérabilités signalées et restent à jour avec les technologies, nous devrions tous l’être également.
2. Les acteurs de rançongiciel diversifient leurs outils d’exfiltration de données
Les acteurs de rançongiciel tirent parti d’une liste croissante d’ outils d’exfiltration de données dans leurs attaques. Au cours des trois derniers mois, Symantec a observé au moins une douzaine d’outils différents utilisés pour l’exfiltration des données. Ces outils comprennent certains logiciels malveillants, mais des logiciels légitimes à double usage pour les activités malveillantes.
Un examen plus approfondi des outils d’exfiltration de données
Sur les douze outils observés par Symantec, Rclone reste l’outil le plus fréquemment utilisé pour l’exfiltration des données. La catégorie globale à la croissance la plus rapide est, sans surprise, les outils de gestion à distance.
- Rclone : il s’agit d’un outil open source utilisé pour gérer le contenu dans le cloud. Il est maltraité par les acteurs malveillants pour exfiltrer des données.
- AnyDesk, ScreenConnect, Atera et TightNVC : il s’agit d’outils légitimes de surveillance à distance/de bureau qui peuvent être utilisés pour obtenir l’accès à l’ordinateur d’une victime.
- RDP : ce protocole permet à un ordinateur de contrôler un autre appareil. Les acteurs malveillants essaient souvent d’activer cela afin de pouvoir tirer parti des outils qui utilisent le protocole RDP.
- Cobalt Strike : il s’agit d’un outil standard couramment utilisé qui peut être utilisé pour « exécuter des commandes, injecter d’autres processus, élever les processus actuels ou usurper l’identité d’autres processus, et charger et télécharger des fichiers ».
- WinRAR : ce gestionnaire d’archives est utilisé pour archiver/zipper des fichiers et peut être utilisé par un acteur malveillant pour préparer des fichiers à l’exfiltration.
- Restic : il s’agit d’un outil de sauvegarde de ligne de commande open source. Il est conçu pour fonctionner avec plusieurs plateformes et prend en charge les back-ends de stockage tels que les répertoires locaux, Amazon S3 et Azure.
- WinSCP : il s’agit d’un client SFTP légitime et d’un client FTP pour Windows.
- Pandora RC : Anciennement connu sous le nom d’eHorus, Pandora RC est un outil d’accès à distance légitime. Il dispose d’agents pour Windows, Linux et Mac et est exploité par les acteurs malveillants pour déployer des outils supplémentaires.
- Ciseau : outil proxy open source, Chisel crée des connexions tunnelisées cryptées. Elle est utilisée de manière abusive lors d’attaques de ransomware pour créer ces tunnels vers l’infrastructure d’un acteur malveillant afin d’exfiltrer des données.
Étude de cas : Rclone
Symantec s’est lancé dans une attaque par ransomware RagnarLocker qui a exploité Rclone, que les acteurs malveillants utilisent souvent pour exfiltrer des données de l’environnement d’une victime. Il est généralement installé par l’acteur malveillant après l’accès initial. Étant donné qu’il est si fréquemment utilisé, les acteurs malveillants ont commencé à modifier le nom de Rclone pour qu’il apparaisse comme autre chose, comme svchost.exe.
Un exemple de cela a été observé lors d’une attaque RagnarLocker l’année dernière. Cette attaque a déclenché une enquête après l’exécution des commandes PowerShell pour désactiver les protections LSA. L’acteur a ensuite exécuté netscan.exe, un autre outil publiquement disponible, pour découvrir les noms d’hôte et d’autres services réseau.
Après avoir déployé Mimikatz et LaZagne pour le dumping des informations d’identification, l’acteur a utilisé plusieurs outils vivants hors du territoire (LotL) pour collecter des informations et exécuter des commandes, et a activé le RDP pour l’accès à distance. Les acteurs sont ensuite passés à Rclone pour copier les données des partages réseau. Des connexions Rclone ont été effectuées sur diverses URL put[.]io pour l’exfiltration des données. L’attaque s’est terminée par le déploiement du ransomware RagarLocker et le chiffrement des fichiers.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants tirent de plus en plus parti d’outils légitimes dans leurs attaques pour échapper à la détection. Alors que l’industrie s’engagait dans cette tendance, les acteurs malveillants ont à nouveau pivoté pour commencer à utiliser des outils moins connus (ou moins signalés) ou pour modifier le nom des outils utilisés.
Il peut être difficile de surveiller l’utilisation d’outils légitimes et d’identifier les instances qui sont utilisées de manière malveillante. Symantec a fourni des mesures d’atténuation qui peuvent être utiles.
3. Cado révèle son principal rapport sur les découvertes de menaces cloud pour 2H23
Cado Security a publié son rapport Cloud Threat Findings pour le second semestre de 2023. Le rapport vise à aider les équipes de sécurité à se protéger contre les acteurs malveillants axés sur le cloud et à se plonger dans plusieurs campagnes de logiciels malveillants basées sur le cloud.
Cado Security relie également les données collectées à partir de leur infrastructure de pot d’eau à leurs résultats techniques pour décrire les menaces actuelles axées sur le cloud.
Les pirates informatiques ont une connaissance intime des services cloud
D’après les données de Cado Security, les attaquants possèdent désormais une connaissance approfondie des services cloud tels que Docker, Redis et Jupyter. Cado Security a observé des connaissances spécifiques à Docker utilisées contre leur propre foyer et a identifié des acteurs malveillants qui essayaient d’échapper aux conteneurs créés en montant le système de fichiers hôte. De même, ils ont observé des acteurs malveillants exploiter et abuser de Redis.
Docker continue d’être une cible lucrative
Docker est resté le service le plus ciblé pour l’accès initial en 2023, représentant environ 90 % du trafic du pot d’ miel de Cado Security (lors de l’escompte de SSH).
K8s sont arrivés en deuxième position, ne représentant que 7,61 %. Cado Security a observé plusieurs campagnes de longue date axées sur Docker tout au long de l’année, dont deux qui ont abusé des endpoints de l’API Docker exposés pour exécuter du code malveillant.
Résultats supplémentaires du rapport de Cado
Cado Security a observé des acteurs malveillants continuant à exploiter des services Web dans des environnements cloud tels que Docker, Redis, Kubernetes et Jupyter.
De plus, la majorité des campagnes cloud et Linux impliquaient le détournement de ressources aux fins d’extraction de cryptomonnaie. Cependant, le cryptojacking n’est plus le seul objectif des acteurs de la menace cloud. Les campagnes détournent également désormais divers services cloud SMTP (Simple Mail Transfer Protocol) pour exécuter des attaques de spam à grande échelle.
Enfin, Cado a observé une tendance que beaucoup d’autres ont signalée, à savoir l’augmentation des logiciels malveillants Rust et Golang qui permettent aux développeurs de compiler leur code pour plus d’un système d’exploitation.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les rapports de Cado sont devenus de plus en plus importants, avec de plus en plus d’entreprises adoptant des technologies cloud.
L’une des principales conclusions de ce rapport est que les attaquants « ciblent de plus en plus les services, tels que Docker, Redis, Kubernetes et Jupyter, qui nécessitent des connaissances techniques expertes à exploiter, différentes de ce qui est requis pour attaquer les serveurs Linux génériques. »
Cette découverte révèle à elle seule comment les acteurs malveillants sophistiqués deviennent. Cela indique également que les acteurs malveillants investissent probablement beaucoup de temps pour comprendre et développer les compétences nécessaires pour exploiter certains services cloud. Cela dit, les acteurs malveillants doivent constater un retour sur investissement dans le ciblage des services cloud.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
