Tout d’abord dans le résumé de cette semaine, CTI explore un nouveau conseil sur la variante de ransomware LockBit 3,0 très réussie. Ensuite, CTI explore la dernière série d’initiatives de louables de CISA : un nouvel outil de réponse aux incidents open source qui aide à détecter les signes d’activité malveillante dans les environnements cloud Microsoft. Un aperçu de la nouvelle activité attribuée à APT37 (ScarCruft), un groupe de cyberespionnage nord-coréen suspecté, est également inclus.
1. Nouveau conseil commun publié pour le ransomware LockBit 3,0
Un 16 mars conseil conjoint en cybersécurité rédigé par le Federal Bureau of Investigation (FBI), la Cybersecurity and Infrastructure Security Agency (CISA) et le Multi-State Information Sharing & Analysis Center (MS-ISAC) a été publié pour diffuser les derniers IOC et TTP associés au célèbre ransomware LockBit 3,0 , qui connaît de plus en plus de succès.
Les informations techniques contenues dans le conseil ont été identifiées au cours des enquêtes du FBI qui ont eu lieu aussi récemment que mars 2023.
Tout d’abord : qu’est-ce que LockBit 3,0 ?
LockBit 3,0 fonctionne conformément au modèle RaaS (rançongiciel en tant que service). Les opérations représentent la poursuite de l’activité observée en association avec les versions antérieures du ransomware, y compris LockBit 2,0 et LockBit.
Comme le décrit la CISA :
Depuis janvier 2020, LockBit fonctionne comme une variante de rançongiciel basée sur une filiale ; les filiales déployant le RaaS LockBit utilisent de nombreux TTP variables et attaquent un large éventail d’entreprises et d’organisations d’infrastructures critiques, ce qui peut rendre difficile la défense et l’atténuation efficaces du réseau informatique.
Ce qu’il faut savoir sur LockBit 3,0
- LockBit 3,0 est la variante la plus modulaire du ransomware à ce jour. Également connue sous le nom de LockBit Black, la dernière itération est plus évasive que ses ancêtres, partageant des similarités avec d’autres familles de rançongiciels de premier plan telles que Blackmatter et Blackcat.
- Hautement adaptable et personnalisable en fonction de l’environnement victime dans lequel il se trouve, LockBit 3,0 est configuré lors de la compilation avec un large éventail d’options qui influencent le comportement du logiciel malveillant.
- LockBit 3,0 contient un mécanisme intégré conçu pour protéger son code et dissuader la détection et l’analyse des logiciels malveillants.
- Les acteurs malveillants sont en mesure d’obtenir un accès initial aux réseaux des victimes grâce à l’exploitation du protocole de bureau à distance (RDP). D’autres tactiques comprennent l’abus de comptes valides, l’exploitation d’applications publiques, la compromission au volant et les campagnes d’hameçonnage.
- LockBit 3,0 effectue une vérification de son niveau de privilège actuel. Si le rançongiciel trouve que cet attribut manque, il tentera de faire remonter les privilèges qui sont plus à son goût.
- LockBit 3,0 a été observé à plusieurs reprises en tirant parti d’une grande variété d’outils open source pendant les intrusions. Ces outils sont conçus pour faciliter un éventail d’activités, y compris la reconnaissance du réseau, l’accès et la tunnelisation à distance, le dumping des informations d’identification et l’exfiltration de fichiers.
En outre, LockBit 3,0 s’est avéré capable d’utiliser les scripts PowerShell et Batch dans la plupart des intrusions observées. Ces utilitaires aident à la découverte du système, à la reconnaissance, à la recherche de mots de passe/informations d’identification et à la remontée des privilèges.
La CISA met également en évidence les capacités de chiffrement LockBit 3,0’s :
LockBit 3,0 tente de chiffrer [T1486] données enregistrées sur n’importe quel appareil local ou distant, mais ignore les fichiers associés aux fonctions du système principal... Une fois les fichiers chiffrés, LockBit 3,0 dépose une note de rançon avec le nouveau nom de fichier .README.txt et modifie le fond d’écran et les icônes de l’hôte en marque LockBit 3,0 [T1491,001]. Si nécessaire, LockBit 3,0 enverra des informations cryptées sur l’hôte et le bot à un serveur de commande et de contrôle (C2) [T1027].
En outre, CISA pointe la fonction d’exfiltration LockBit 3,0’s :
Les filiales de LockBit 3,0 utilisent Stealbit, un outil d’exfiltration personnalisé utilisé précédemment avec LockBit 2,0 [TA0010] ; rclone, un gestionnaire de stockage cloud de ligne de commande open source [T1567,002] ; et des services de partage de fichiers accessibles au public, tels que MEGA [T1567,002], pour exfiltrer les fichiers de données sensibles de l’entreprise avant le cryptage. Bien que le rclone et de nombreux services de partage de fichiers accessibles au public soient principalement utilisés à des fins légitimes, ils peuvent également être utilisés par les acteurs malveillants pour aider à la compromission du système, à l’exploration du réseau ou à l’exfiltration des données. Les affiliés de LockBit 3,0 utilisent souvent d’autres services de partage de fichiers disponibles publiquement pour exfiltrer également des données [T1567].
Perspectives et conseils de CTI
CTI a précédemment identifié le ransomware LockBit comme une cybermenace de premier plan et motivée financièrement. Ce dernier conseil en cybersécurité multi-agences confirme cette évaluation.
LockBit s’est avéré capable de rebondir d’une perturbation majeure entre les mains d’un développeur mécontent (qui a publié le code du constructeur pour LockBit 3,0), et d’une manière importante. La victimologie de l’opération de ransomware compte plusieurs entreprises privées de premier plan, ainsi que des entités d’infrastructure critiques, parmi ses rangs.
Selon TheHackerNews, « la société de cybersécurité industrielle Dragos, en début d’année, a révélé que LockBit 3,0 était responsable de 21 % des 189 attaques de ransomware détectées contre les infrastructures critiques en Q4 2022, représentant 40 incidents. Une majorité de ces attaques ont affecté les secteurs de l’agroalimentaire et de la fabrication. »
En novembre, le ministère de la Justice des États-Unis a signalé que la souche de ransomware LockBit a été utilisée contre au moins 1 000 victimes dans le monde, compensant l’opération de plus de 100 millions USD en bénéfices illicites.
De la CISA :
Le FBI, la CISA et la MS-ISAC recommandent aux organisations de mettre en œuvre les mesures d’atténuation ci-dessous pour améliorer la posture de cybersécurité de votre organisation sur la base de l’activité LockBit 3,0’s . Ces mesures d’atténuation s’alignent sur les objectifs de performance de cybersécurité (CPG) intersectoriels développés par le CISA et le National Institute of Standards and Technology (NIST). Les CPG fournissent un ensemble minimum de pratiques et de protections que la CISA et le NIST recommandent à toutes les organisations de mettre en œuvre. La CISA et le NIST ont basé les CPG sur les cadres de cybersécurité existants et des conseils pour se protéger contre les TTP les plus courants et les plus percutants. Consultez les objectifs de performance de cybersécurité intersectoriels de la CISA pour obtenir plus d’informations sur les CPG, y compris les protections de référence recommandées supplémentaires.
Des mesures d’atténuation pratiques supplémentaires peuvent être consultées dans le conseil original.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce conseil arrive à un moment intéressant pour les rançongiciels et le paysage plus vaste des cybermenaces, car de plus en plus d’opérations de rançongiciel s’éloignent de l’extorsion via le chiffrement en faveur d’une extorsion directe via le vol de données. Par exemple, le groupe de ransomwares BianLian s’ est recentré sur le chiffrement des fichiers de ses victimes et les attaques par extorsion de données pures. Il s’agit d’une tendance que CTI prévoit de poursuivre bien au-delà de 2023 . »
2. Le nouvel outil CISA détecte l’activité de piratage dans les services cloud Microsoft
La Cybersecurity & Infrastructure Security Agency (CISA) des États -Unis a lancé un nouvel outil de réponse aux incidents open source qui aide à détecter les signes d’activité malveillante dans les environnements cloud Microsoft.
Dans le cadre de la longue tradition de la communauté InfoSec consistant à attribuer des noms de trompes à des choses sérieuses, l’outil Untitled Goose est un utilitaire basé sur Python développé conjointement avec les laboratoires Sandia et capable de vider les informations de télémétrie des environnements Azure Active Directory, Microsoft Azure et Microsoft 365 .
De la CISA :
Untitled Goose Tool est un outil de recherche et de réponse aux incidents robuste et flexible qui ajoute de nouvelles méthodes d’authentification et de collecte de données afin d’exécuter une enquête complète sur les environnements Azure Active Directory (AzureAD), Azure et M365 d’un client.
La télémétrie susmentionnée est augmentée par une télémétrie supplémentaire de Microsoft Defender for Endpoint (MDE) et Defender for Internet of Things (IoT) (D4IoT).
Ce que l’oie peut faire
Selon BleepingComputer, avec l’aide de l’ outil d’interrogation et d’analyse cloud Microsoft multiplateforme de CISA, les experts en sécurité et les administrateurs réseau peuvent :
- Exportez et examinez les journaux de connexion et d’audit AAD, M365 journaux d’audit unifiés (UAL), les journaux d’activité Azure, les alertes Microsoft Defender for IoT (Internet des objets) et les données Microsoft Defender for Endpoint (MDE) pour les activités suspectes.
- Interrogez, exportez et enquêtez sur les configurations AAD, M365 et Azure.
- Extrayez les artefacts cloud des environnements AAD, Azure et M365 de Microsoft sans effectuer d’analyses supplémentaires.
- Effectuez la limitation de temps de l’UAL.
- Extrayez des données dans ces limites de temps.
- Collectez et examinez les données à l’aide de capacités de limitation de temps similaires pour les données MDE. »
Les CISA sont en jeu
La dernière tentative de la CISA d’aider les défenseurs suit une série d’efforts proactifs, transparents et collaboratifs pour accroître sa participation à la protection des entreprises appartenant à des organisations gouvernementales, privées et d’infrastructures critiques.
Par exemple, CISA a récemment publié un outil open source appelé Decider pour aider les défenseurs à générer des rapports de cartographie MITRE ATT&CK. Juste avant de publier Decider, CISA a publié un guide des meilleures pratiques sur la cartographie MITRE ATT&CK en janvier, soulignant l’importance d’utiliser la norme.
De plus, la CISA avertit désormais les entités d’infrastructure critiques des systèmes exposés à Internet qui sont vulnérables aux attaques de ransomware.
Cette dernière initiative a apparemment déjà donné des résultats.
De la CISA :
Grâce à cette capacité de cyberdéfense proactive, la CISA a informé plus de 60 entités d’intrusions de ransomwares en phase précoce depuis janvier 2023, y compris des organisations d’infrastructures critiques dans les secteurs de l’énergie, de la santé et de la santé publique, de l’eau et des eaux usées, ainsi que la communauté éducative.
Selon BleepingComputer :
Cela a fait suite au lancement d’un nouveau partenariat en août 2021 pour protéger l’infrastructure critique américaine contre les rançongiciels et autres cybermenaces, connu sous le nom de JCDC (Joint Cyber Defense Collaborative).
L’agence de cybersécurité a précédemment publié juin 2021 un nouveau module pour son outil d’évaluation de la cybersécurité (CSET) connu sous le nom d’évaluation de la préparation aux rançongiciels (RRA) pour aider les organisations à évaluer leur préparation à prévenir et à se remettre des attaques de rançongiciels.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La CISA et ses dirigeants s’engagent sérieusement à améliorer la cybersécurité des entreprises appartenant à des organisations gouvernementales, privées et d’infrastructures critiques, et cela doit être félicité. Beaucoup d’entre nous ont attendu longtemps que la nation adopte une politique/infrastructure de cybersécurité complète, et ces dernières initiatives représentent une étape positive dans cette direction. Bravo, CISA. »
3. L’arsenal évolutif de ScarCruft
Zscaler a surveillé les TTP de APT37, également connus sous le nom de ScarCruft, qui a été très actif en février et mars 2023.
APT37 est un groupe de cyberespionnage parrainé par l’État nord-coréen. Le groupe a historiquement ciblé des victimes en Corée du Sud, au Japon, au Vietnam, en Russie, etc. APT37 a précédemment exploité des vecteurs d’infection, y compris des trous d’arrosage, l’exploitation de vulnérabilités et des e-mails d’hameçonnage contenant des pièces jointes malveillantes. APT37 est fréquemment observé en distribuant le backdoor Chinotto PowerShell.
Des chercheurs ont récemment découvert un référentiel GitHub appartenant à un membre de APT37. En raison de ce qui est considéré comme une défaillance de sécurité opérationnelle de l’acteur malveillant, Zscaler a pu accéder aux informations concernant les fichiers malveillants exploités par le groupe. Ce référentiel a été utilisé pour mettre en scène de nombreuses charges utiles malveillantes différentes exploitées par l’acteur malveillant.
Les informations extraites du référentiel GitHub ont également donné aux chercheurs un aperçu des types de thèmes que APT37 utilise dans ses attraits en ingénierie sociale. Certains de ces thèmes comprennent les attraits géopolitiques, les instituts universitaires et les entreprises sud-coréennes.
PTT récents
- CHM : APT37 utilise régulièrement une backdoor Chinotto PowerShell, qu’il déploie sur l’endpoint via un fichier d’aide Windows malveillant ou un fichier CHM. Les fichiers CHM sont distribués dans des fichiers d’archive, dont la plupart contiennent deux composants : le fichier CHM malveillant et le fichier decoy qui est affiché à la victime. Les fichiers de retrait observés sont souvent protégés par mot de passe, le mot de passe étant contenu dans le fichier CHM.
- Module complémentaire MS Excel : dans une campagne observée le 15 mars, APT37 ont été observés en téléchargeant un module complémentaire Excel malveillant dans le référentiel GitHub. C’était la première fois que le groupe tirait parti des fichiers XLL. Ce fichier XLL extrait un fichier XLS et le dépose dans le chemin suivant : C :\programdata\20230315_SejeongSupport[.]xls. Il affiche le fichier XLS abandonné qui est une décoy et utilisé strictement comme un attrait d’ingénierie sociale. Il lance ensuite MSHTA pour télécharger un fichier HTA à partir d’une URL yangak[.]com. Le fichier HTA téléchargé contient le backdoor PowerShell, Chinotto.
- LNK : certains fichiers LNK ont été récupérés à partir du référentiel GitHub qui avait été téléchargé dans août 2022 et qui a été vu dans la nature lors d’attaques à peu près au même moment. Les fichiers LNK étaient présents dans les archives RAR. Un fichier HTML était également présent en se faisant passer pour une page de connexion de la société sud-coréenne LG. Les fichiers LNK ont été utilisés pour exécuter MSHTA et télécharger les fichiers HTA malveillants à partir du serveur contrôlé par attaquant. La chaîne d’attaque se traduit par la même porte dérobée PowerShell, Chinotto.
Les métadonnées des fichiers LNK ont révélé qu’elles étaient générées sur une machine virtuelle exécutant VMWare, avec l’adresse Mac 00 :0c :29 :41 :1b :1c. L’acteur malveillant a utilisé la même machine virtuelle pour générer plusieurs charges utiles, ce qui le rend utile pour la recherche des menaces et l’attribution future.
- Fichier MS Office basé sur macro : APT37 a également été observé lors du téléchargement d’un fichier MS Office Word basé sur macro dans le référentiel GitHub. La macro lance MSHTA pour télécharger Chinotto.
- Fichier HWP avec objet OLE intégré : APT37 a également déployé Chinotto sur l’endpoint à l’aide de fichiers HWP avec des objets OLE intégrés. Les objets OLE se présentent sous la forme d’un élément cliquable sur lequel la victime doit cliquer pour que les charges utiles PE malveillantes s’exécutent.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
“APT37 est une autre APT incroyablement sophistiquée et en constante évolution de ses TTP. Sa capacité à maintenir un référentiel GitHub de charges utiles malveillantes pendant plus de 2 ans sans être détectée ou supprimée souligne davantage la sophistication des opérations. »
« L’ utilisation de fichiers CHM pour fournir des logiciels malveillants a été récemment observée par un autre groupe affilié à la Corée du Nord, Kimsuky. Kimsuky a utilisé des fichiers CHM pour distribuer une porte dérobée chargée de collecter des données de presse-papiers et des données de frappe. »
« Les fichiers CHM sont-ils la prochaine grande chose pour les APT nord-coréens ? Seul le temps le dira. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
