Dans son tour d'horizon de cette semaine, CTI se penche sur la recrudescence récente des activités du ransomware Medusa et sur les dernières tactiques employées par ce groupe. CTI explique ensuite comment les logiciels de vol d'informations ciblent de plus en plus macOS. Enfin, CTI conclut par un aperçu d’un avis conjoint en matière de cybersécurité publié par le Federal Bureau of Investigation (FBI) et la Cybersecurity and Infrastructure Security Agency (CISA), destiné à diffuser les indicateurs de compromission (IOC) et les techniques, tactiques et procédures (TTP) connus associés aux acteurs malveillants déployant le logiciel malveillant « Androxgh0st ».
1. Le ransomware Medusa se tourne désormais vers l'extorsion
Les chercheurs de Palo Alto Networks ont constaté une recrudescence des activités du ransomware Medusa, de l' (s'ouvre dans un nouvel onglet) , ainsi qu'un changement de tactique de la part de ce groupe.
Le ransomware Medusa s'oriente désormais vers l'extorsion grâce à son site de blog « » (s'ouvre dans un nouvel onglet), que le groupe utilise pour divulguer les données volées. La stratégie d'extorsion multiple mise en œuvre par ce groupe offre aux victimes plusieurs options parmi lesquelles choisir, telles qu'une prolongation du délai, la suppression des données ou le téléchargement de l'ensemble des données volées, chacune de ces options étant assortie d'un montant différent.
Zoom sur le ransomware Medusa
La plateforme Medusa RaaS a vu le jour à la fin de l'année 2022 , mais n'a vraiment commencé à s'imposer qu'au début de l'année 2023. Ce ransomware cible les appareils Windows et a tendance à exploiter les services vulnérables et à détourner des comptes légitimes.
Ce ransomware exploite des techniques dites « living-off-the-land » en utilisant des logiciels à des fins malveillantes afin de se fondre dans le trafic normal. Le ransomware Medusa a lancé son blog « Medusa Blog » en 2023 , que le groupe utilise pour divulguer les données volées.
Les victimes du ransomware Medusa disposent de plusieurs options lorsqu'elles consultent le blog de Medusa :
- Les victimes peuvent s'acquitter d'une redevance forfaitaire de 10 000 dollars pour bénéficier d'un délai supplémentaire d'une journée afin d'empêcher la publication des données sur le blog.
- Ils peuvent également demander la suppression de ces données, ainsi que leur téléchargement et leur consultation. Ces options entraînent des frais importants.
Un article récemment publié sur le blog présentait une vidéo montrant des fichiers provenant d'une organisation piratée. La vidéo était accompagnée de la légende « Medusa Media Team », que les chercheurs considèrent comme une branche de l'opération chargée de la gestion de l'image publique.
Outre le fait qu’il s’agisse d’un site dédié aux fuites de données et d’un espace d’hébergement de vidéos contenant des données volées, ce blog comporte également des liens vers Telegram et X. Le lien vers Telegram est censé servir de « soutien à l’information ». En revanche, le lien X n'est qu'une page de résultats de recherche pour « ransomware Medusa ».
Victimologie de Méduse
Le ransomware Medusa cible divers secteurs et ne semble pas se concentrer sur des secteurs spécifiques. Le secteur le plus visé, à savoir celui des technologies, a représenté moins de 10 des 74 attaques menées par ce groupe.
Ce groupe fait preuve d'une plus grande précision quant à la localisation géographique de ses attaques. Medusa a pris pour cible des organisations dans plusieurs pays, mais les États-Unis constituaient sa cible principale.
Fichier binaire de ransomware
Palo Alto a également mis en évidence un élément récurrent dans le fichier binaire de Medusa : l'utilisation et l'intégration du terme « gaze » dans le chemin de débogage de PEStudio.
Ce thème les a amenés à désigner le fichier binaire du rançongiciel sous le nom de « Gaze ». Ce ransomware peut s'exécuter avec 11 arguments possibles et a fait l'objet de mises à jour depuis sa première apparition en 2023. Ce ransomware utilise un chiffrement asymétrique RSA et ajoute l'extension .medusa aux fichiers chiffrés. Il évitera de chiffrer les fichiers portant les extensions .dll, .exe, .lnk et .medusa. Une fois la note de rançon affichée, le programme s'effacera automatiquement du système afin d'entraver toute tentative de restauration et d'analyse.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'opération de rançongiciel Medusa revêt un caractère quelque peu opportuniste, puisqu'elle cible des organisations issues d'un large éventail de secteurs. C'est une pratique courante dans de nombreuses opérations de ransomware.
Ce qui apparaît clairement, c'est que les opérations de ransomware commencent à fonctionner de plus en plus comme de véritables organisations, comme en témoignent la création du blog Medusa et de l'équipe chargée des relations avec les médias. Au-delà de son organisation de type commercial, Medusa dispose de stratégies et de techniques d'exploitation sophistiquées. De ce fait, il est en train de devenir rapidement une menace de plus en plus importante dans le paysage des ransomwares.
2. Les logiciels d'espionnage contournent les solutions anti-malware de macOS
SentinelOne a récemment mis au jour trois programmes de vol d'informations actifs sous macOS, de type « » : (s'ouvre dans un nouvel onglet) . Ceux-ci sont capables de contourner XProtect, le système anti-malware intégré à macOS.
KeySteal
- Le logiciel malveillant KeySteal a été signalé pour la première fois en 2021 et n'a cessé d'évoluer depuis lors. Dans la mise à jour « février 2023 », Apple a ajouté une signature à XProtect permettant de détecter KeySteal. Toutefois, en raison de l'évolution du logiciel malveillant, cette signature ne détecte plus les versions actuelles.
- KeySteal était initialement diffusé sous la forme d'un fichier .pkg intégré à un utilitaire macOS appelé ReSignTool. Les cybercriminels ont modifié le code de cette application open source légitime afin de voler des informations contenues dans le trousseau et d'y implanter des composants de persistance.
- Les dernières variantes de KeySteal ont encore évolué. Ils n'utilisent plus ReSignTool et apparaissent désormais dans les binaires Mach-O sous les noms « UnixProject » ou « ChatGPT ».
- Ce qui n'est pas clair, c'est la manière dont ces nouveaux variants se propagent. Non seulement les dernières variantes ne sont pas détectées par XProtect, mais elles affichent également de faibles taux de détection sur VirusTotal. SentinelOne souligne qu'il existe un point commun entre les premières versions et les dernières : il s'agit du nombre C2, qui est codé en dur. Cette valeur « C2 » codée en dur permet encore à certaines détections de parasites de passer, mais peut-être pas pour longtemps.
Atomic Stealer
- Atomic Stealer a fait l'objet de plusieurs signalements et est toujours actif. Ce logiciel malveillant pour macOS a subi plusieurs modifications, ce qui explique la présence simultanée de nombreuses versions différentes de ce logiciel malveillant en circulation.
- SentinelOne a signalé avoir identifié des variantes de ce logiciel malveillant qui ne sont actuellement pas détectées par XProtect, dont beaucoup affichent également de faibles taux de détection sur VirusTotal.
- Ce logiciel malveillant empêche les victimes, les analystes ou les environnements de test de logiciels malveillants d'exécuter le terminal en même temps que le logiciel de vol de données. Les variantes récentes utilisent du code AppleScript codé en dur en texte clair qui révèle le mécanisme de vol mis en œuvre par le logiciel malveillant.
- Les cybercriminels diffusent généralement ce logiciel malveillant via des torrents ou des plateformes de jeux sociaux.
CherryPie
- Le logiciel malveillant CherryPie a été ajouté à XProtect dans la version v2176.
- Ce logiciel malveillant, également connu sous les noms de GaryStealer et JaskaGo, est un programme de vol de données ciblant macOS et Windows qui présente actuellement de faibles taux de détection sur VirusTotal.
- Certaines versions de ce logiciel malveillant utilisent le projet open source légitime « Wails » pour intégrer le code malveillant dans un ensemble d'applications.
- Bon nombre des échantillons observés par SentinelOne sont signés à l'aide d'une signature ad hoc et contiennent du code servant à désactiver Gatekeeper.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Se fier uniquement à la détection statique ne suffit tout simplement pas pour faire face à l'évolution constante des menaces. La détection statique des logiciels malveillants s'apparente de plus en plus à un jeu de « tape-la-taupe » et n'est pas toujours efficace.
SentinelOne souligne que, outre les fonctionnalités natives de macOS, « la recherche proactive des menaces, les règles de détection améliorées et la connaissance des tactiques en constante évolution peuvent aider les équipes de sécurité à garder une longueur d'avance sur les menaces ciblant la plateforme macOS ».
3. Le FBI et la CISA publient un avis conjoint concernant Androxgh0st logiciels malveillants
Le Federal Bureau of Investigation (FBI) et l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) ont publié un avis conjoint en matière de cybersécurité afin de diffuser les indicateurs de compromission (IOC) et les techniques, tactiques et procédures (TTP) connus associés aux acteurs malveillants déployant le logiciel malveillant « Androxgh0st ».
Plusieurs enquêtes en cours ont permis d'apporter des précisions sur le logiciel malveillant Androxgh0st , notamment sur sa capacité à mettre en place un botnet capable d'identifier et de compromettre davantage les réseaux vulnérables.
Qu'est-ce que le Androxgh0st ?
Androxgh0st est un logiciel malveillant écrit en Python, conçu pour rechercher et extraire les fichiers .env contenant les identifiants d'accès à des applications telles qu'AWS, Microsoft Office 365 et d'autres. Il prend en charge de nombreuses fonctionnalités qui lui permettent d'utiliser le protocole SMTP à des fins malveillantes, notamment l'analyse et l'exploitation d'identifiants et d'API exposés, ainsi que le déploiement de shells Web. Fortinet recense chaque jour Androxgh0st tentatives d'attaques par logiciels malveillants sur plus de 40 000 appareils Fortinet.
Cibler PHPUnit
Ce logiciel malveillant a tendance à utiliser des scripts, à effectuer des analyses et à rechercher des sites web présentant des vulnérabilités spécifiques. Plus précisément, les auteurs de cette menace semblent exploiter la faille CVE-2017-9841 pour exécuter à distance du code PHP sur des sites web vulnérables via PHPUnit.
Les sites Web qui utilisent ce module et qui comportent des dossiers accessibles depuis Internet ou des dossiers fournisseurs peuvent être exposés à des requêtes HTTP POST malveillantes dirigées vers une URL spécifique. Cette page exécutera du code PHP transmis via une requête POST, ce qui permettra ainsi à l'acteur malveillant d'exécuter du code à distance.
L'auteur de la menace utilise le port Androxgh0st pour télécharger des fichiers malveillants supplémentaires sur le système hébergeant le site web. Grâce à cet accès, ils peuvent créer de fausses pages accessibles via l'URI afin d'établir une porte dérobée vers le site web.
Ciblage du framework Laravel
Ce logiciel malveillant met en place un botnet afin de rechercher des sites web via le framework d'applications web Laravel. Il utilise Laravel pour identifier les sites web, puis détermine si le fichier .env situé à la racine du domaine est accessible ou non et s'il contient des identifiants.
Si le fichier est accessible, l'auteur de la menace peut envoyer une requête GET à cette URL et tenter d'accéder aux données. Ce logiciel malveillant peut également accéder à la clé d'application de l'application Laravel hébergée sur le site web. S'ils parviennent à identifier la clé de l'application, ils peuvent tenter une exploitation en utilisant cette clé pour chiffrer le code PHP, puis en transmettant ce code en tant que valeur dans le jeton XSRF.
Ciblage du serveur web Apache
On constate également que les acteurs malveillants utilisant la faille Androxgh0st procèdent à des analyses de serveurs Web Apache susceptibles d'être vulnérables à la faille CVE-2021-41773. Les acteurs malveillants peuvent identifier les URL de fichiers situés en dehors du répertoire racine au moyen d'une attaque par traversée de chemin. Ces fichiers, s'ils ne sont pas protégés, pourraient permettre l'exécution de code à distance. Si l'auteur de la menace parvient à obtenir des identifiants pour l'un quelconque de ces services grâce à ces méthodes, il peut les utiliser pour accéder à des données sensibles ou mener d'autres actions malveillantes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La récente recrudescence de l'activité du groupe Androxgh0st est assurément préoccupante, d'autant plus qu'elle vise notamment des cibles telles qu'AWS et Office.
Ce logiciel malveillant a été signalé pour la première fois en 2022 et ne semblait pas avoir suscité beaucoup d'intérêt jusqu'à récemment. Il est possible que soit on n'en tirait pas pleinement parti, soit cela passait tout simplement inaperçu.
Quoi qu'il en soit, l'avis conjoint présente en détail certaines recommandations d'atténuation susceptibles de contribuer à la protection contre le Androxgh0st. Ce rapport mérite d'être consulté.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
