Pour commencer ce tour d’horizon hebdomadaire, CTI se penche sur une nouvelle alerte concernant la variante très efficace du ransomware LockBit 3,0 . Ensuite, CTI examine la dernière d’une série d’initiatives louables récemment mises en place par la CISA : un nouvel outil open source de gestion des incidents qui permet de détecter les signes d’activités malveillantes dans les environnements cloud de Microsoft. Vous trouverez également un aperçu des nouvelles activités attribuées au groupe APT37 (ScarCruft), soupçonné d'être un groupe nord-coréen de cyberespionnage.
1. Publication d'un nouvel avis conjoint concernant le ransomware LockBit 3,0
Un avis conjoint sur la cybersécurité publié par l’ 16 mars, l’ , (s’ouvre dans un nouvel onglet), rédigé par le Federal Bureau of Investigation (FBI), la Cybersecurity and Infrastructure Security Agency (CISA) et le Multi-State Information Sharing & Analysis Center (MS-ISAC), a été publié afin de diffuser les derniers indicateurs de compromission (IOC) et les techniques, tactiques et procédures (TTP) associés au célèbre ransomware LockBit 3,0 , dont le succès ne cesse de croître.
Les informations techniques contenues dans cette note d'alerte ont été mises en évidence au cours d'enquêtes menées par le FBI, dont les dernières remontent à mars 2023.
Commençons par le commencement : qu'est-ce que LockBit 3,0 ?
LockBit 3,0 fonctionne selon le modèle « ransomware-as-a-service » (RaaS). Ces opérations s'inscrivent dans la continuité des activités observées dans le cadre des versions précédentes du rançongiciel, notamment LockBit 2,0 et LockBit.
Comme le décrit la CISA :
Depuis janvier 2020, LockBit fonctionne comme une variante de ransomware reposant sur un réseau d'affiliés ; les affiliés qui déploient le RaaS LockBit utilisent de nombreuses techniques, tactiques et procédures (TTP) variées et s'attaquent à un large éventail d'entreprises et d'organismes gérant des infrastructures critiques, ce qui peut compliquer la mise en place d'une défense efficace des réseaux informatiques et la mise en œuvre de mesures d'atténuation.
What to know about LockBit 3,0
- LockBit 3,0 est la variante la plus modulaire de ce ransomware à ce jour. Également connue sous le nom de LockBit Black, cette dernière version est plus insaisissable que ses prédécesseurs et présente des similitudes avec d'autres familles de ransomwares de premier plan, telles que Blackmatter et Blackcat.
- Très adaptable et personnalisable en fonction de l'environnement de la victime dans lequel il se trouve, LockBit 3,0 est configuré lors de la compilation à l'aide d'un large éventail d'options qui influencent le comportement du logiciel malveillant.
- LockBit 3,0 intègre un mécanisme conçu pour protéger son code et empêcher la détection et l'analyse des logiciels malveillants.
- Les acteurs malveillants parviennent à obtenir un accès initial aux réseaux des victimes en exploitant le protocole RDP (Remote Desktop Protocol). Parmi les autres tactiques, on peut citer l'utilisation abusive de comptes valides, l'exploitation d'applications accessibles au public, les attaques de type « drive-by » et les campagnes de hameçonnage de type « ».
- LockBit 3,0 vérifie son niveau de privilège actuel. Si le ransomware constate que cet attribut fait défaut, il tentera d'élever ses privilèges à un niveau qui lui convient davantage.
- On a constaté à plusieurs reprises que LockBit 3,0 utilisait une grande variété d'outils open source lors de ses intrusions. Ces outils sont conçus pour faciliter toute une série d'activités, notamment la reconnaissance du réseau, l'accès à distance et la création de tunnels, l'extraction d'identifiants et l'exfiltration de fichiers.
Par ailleurs, LockBit 3,0 s'est révélé très habile à utiliser PowerShell et les scripts Batch dans la plupart des intrusions observées. Ces utilitaires servent à faciliter la détection des systèmes, la reconnaissance, la recherche de mots de passe et d'identifiants, ainsi que l'escalade de privilèges.
La CISA met également en avant les capacités de chiffrement de LockBit 3,0’s :
LockBit 3,0 tente de chiffrer [T1486 (s'ouvre dans un nouvel onglet)] les données stockées sur tout périphérique local ou distant, mais ignore les fichiers associés aux fonctions essentielles du système... Une fois les fichiers chiffrés, LockBit 3,0 dépose une note de rançon portant le nouveau nom de fichier .README.txt et remplace le fond d'écran et les icônes de l'ordinateur par ceux de la marque LockBit 3,0 [T1491,001 (s'ouvre dans un nouvel onglet)]. Si nécessaire, LockBit 3,0 enverra les informations chiffrées relatives à l'hôte et au bot à un serveur de commande et de contrôle (C2) [T1027 (s'ouvre dans un nouvel onglet)].
Par ailleurs, la CISA met en avant la fonctionnalité d'exfiltration de LockBit 3,0’s :
Les affiliés de LockBit 3,0 utilisent Stealbit, un outil d'exfiltration sur mesure déjà utilisé auparavant avec LockBit 2,0 [TA0010 (s'ouvre dans un nouvel onglet)] ; rclone, un gestionnaire de stockage cloud en ligne de commande open source [T1567,002 (s'ouvre dans un nouvel onglet)] ; et des services de partage de fichiers accessibles au public, tels que MEGA [T1567,002 (s'ouvre dans un nouvel onglet)], afin d'exfiltrer des fichiers contenant des données sensibles de l'entreprise avant leur chiffrement. Bien que rclone et de nombreux services de partage de fichiers accessibles au public soient principalement utilisés à des fins légitimes, ils peuvent également être exploités par des acteurs malveillants pour faciliter la compromission de systèmes, l'exploration de réseaux ou l'exfiltration de données. Les affiliés de LockBit 3,0 ont souvent recours à d’autres services de partage de fichiers accessibles au public pour exfiltrer des données [T1567 (s’ouvre dans un nouvel onglet)].
Perspectives et prévisions de CTI
CTI a déjà identifié le ransomware LockBit comme une cybermenace de premier plan, motivée par des intérêts financiers. Cette dernière alerte interinstitutionnelle en matière de cybersécurité confirme cette analyse.
LockBit s'est montré capable de rebondir après une perturbation majeure causée par un développeur mécontent (qui a divulgué le code de compilation de LockBit 3,0), et ce de manière spectaculaire. La liste des victimes de cette opération de rançongiciel compte plusieurs entreprises privées de premier plan, ainsi que des entités gérant des infrastructures critiques.
Selon TheHackerNews, « la société de cybersécurité industrielle Dragos a révélé, au début de cette année, que LockBit 3,0 était à l'origine de 21 % des 189 attaques par ransomware détectées contre des infrastructures critiques en Q4 2022, ce qui représente 40 incidents. » « La plupart de ces attaques ont touché les secteurs de l'alimentation et des boissons ainsi que celui de l'industrie manufacturière. »
En novembre, le ministère américain de la Justice a indiqué que la variante de ransomware LockBit avait été utilisée contre au moins 1 000 victimes à travers le monde, rapportant à ses auteurs plus de 100 millions de dollars de profits illicites.
Communiqué de la CISA :
Le FBI, la CISA et le MS-ISAC recommandent aux organisations de mettre en œuvre les mesures d'atténuation ci-dessous afin de renforcer la cybersécurité de votre organisation, compte tenu des activités de LockBit 3,0’s . Ces mesures d'atténuation s'inscrivent dans le cadre des objectifs intersectoriels de performance en matière de cybersécurité (CPG) élaborés par la CISA et l'Institut national des normes et des technologies (NIST). Les CPG définissent un ensemble minimal de pratiques et de mesures de protection que la CISA et le NIST recommandent à toutes les organisations de mettre en œuvre. La CISA et le NIST ont élaboré ces CPG en s'appuyant sur les cadres et les recommandations existants en matière de cybersécurité afin d'assurer une protection contre les TTP les plus courantes et les plus préjudiciables. Consultez les « Objectifs de performance en matière de cybersécurité intersectoriels » (CPG) de la CISA pour obtenir plus d'informations sur ces objectifs, notamment sur les mesures de protection de base supplémentaires recommandées.
D'autres mesures d'atténuation pratiques sont présentées dans l'avis original.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cet avis intervient à un moment particulier pour les ransomwares et, plus largement, pour le paysage des cybermenaces, car de plus en plus d'opérations de ransomware délaissent l'extorsion par cryptage au profit d'une extorsion pure et simple par le vol de données. » Par exemple, le groupe de ransomware BianLian (s'ouvre dans un nouvel onglet) a réorienté ses activités (s'ouvre dans un nouvel onglet) , passant du chiffrement des fichiers de ses victimes à des attaques d'extorsion visant uniquement le vol de données. « Il s'agit d'une tendance dont CTI prévoit qu'elle se poursuivra largement jusqu'en 2023 et au-delà. »
2. Un nouvel outil de la CISA détecte les activités de piratage au sein des services cloud de Microsoft
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié un nouvel outil open source de réponse aux incidents, (s'ouvre dans un nouvel onglet) qui permet de détecter les signes d'activités malveillantes dans les environnements cloud de Microsoft.
Conformément à la tradition de longue date de la communauté de la sécurité informatique consistant à attribuer des noms farfelus à des sujets sérieux, « Untitled Goose Tool » est un utilitaire basé sur Python, développé en collaboration avec les Laboratoires Sandia, et capable d'extraire des informations de télémétrie à partir d'Azure Active Directory, de Microsoft Azure et des environnements Microsoft 365 .
Communiqué de la CISA :
Untitled Goose Tool est un outil de détection et de réponse aux incidents robuste et flexible qui intègre des méthodes innovantes d'authentification et de collecte de données afin de mener une enquête approfondie sur les environnements Azure Active Directory (AzureAD), Azure et M365 d'un client.
Les données de télémétrie susmentionnées sont complétées par des données supplémentaires provenant de Microsoft Defender for Endpoint (MDE) et de Defender for Internet of Things (IoT) (D4IoT).
Ce que l'oie sait faire
Selon BleepingComputer, grâce à l'outil multiplateforme de la CISA, « », dédié à l'interrogation et à l'analyse du cloud Microsoft (s'ouvre dans un nouvel onglet), les experts en sécurité et les administrateurs réseau peuvent :
- Exportez et examinez les journaux de connexion et d'audit AAD, les journaux d'audit unifiés (UAL) M365 , les journaux d'activité Azure, les alertes Microsoft Defender pour l'IoT (Internet des objets) et les données Microsoft Defender pour Endpoint (MDE) afin de détecter toute activité suspecte.
- Interrogez, exportez et analysez les configurations AAD, M365 et Azure.
- Extrayez les artefacts cloud des environnements AAD, Azure et M365 de Microsoft sans effectuer d'analyses supplémentaires.
- Effectuez une estimation de la durée de l'UAL.
- Extrayez les données comprises dans ces limites de temps.
- « Collectez et examinez les données en utilisant des fonctionnalités similaires de délimitation temporelle pour les données MDE. »
La CISA a le vent en poupe
Cette dernière initiative de la CISA visant à aider les responsables de la sécurité s'inscrit dans la lignée d'une série d'actions proactives, transparentes et collaboratives visant à renforcer sa participation à la protection des entreprises relevant des secteurs public, privé et des infrastructures critiques.
Par exemple, la CISA a récemment mis à disposition un outil open source appelé Decider (s'ouvre dans un nouvel onglet) afin d'aider les responsables de la sécurité à générer des rapports de mise en correspondance avec le cadre MITRE ATT&CK. Juste avant la publication de Decider, la CISA a publié en janvier un guide des meilleures pratiques intitulé « » (opère dans un nouvel onglet) concernant la mise en correspondance avec le modèle MITRE ATT&CK, soulignant ainsi l'importance de l'utilisation de cette norme.
De plus, la CISA met désormais en garde les entités gérant des infrastructures critiques (s'ouvre dans un nouvel onglet)concernant les systèmes exposés à Internet qui sont vulnérables aux attaques par ransomware.
Cette dernière initiative semble avoir déjà porté ses fruits.
Communiqué de la CISA :
Grâce à cette capacité de cyberdéfense proactive, la CISA a signalé à plus de 60 entités des intrusions par ransomware à un stade précoce depuis le janvier 2023, notamment à des organismes gérant des infrastructures critiques dans les secteurs de l'énergie, des soins de santé et de la santé publique, des réseaux d'eau et d'assainissement, ainsi qu'au milieu éducatif.
Selon BleepingComputer :
Cette initiative fait suite au lancement, dans le cadre de l'initiative « août 2021 », d'un nouveau partenariat visant à protéger les infrastructures critiques américaines contre les ransomwares et autres cybermenaces, connu sous le nom de « Joint Cyber Defense Collaborative » (JCDC).
L'agence de cybersécurité avait précédemment publié, à l'adresse juin 2021 , un nouveau module de son outil d'évaluation de la cybersécurité (CSET), appelé « Ransomware Readiness Assessment » (RRA), destiné à aider les organisations à évaluer leur capacité à prévenir les attaques par ransomware et à s'en remettre.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L' , la CISA, et ses dirigeants font preuve d'un engagement sérieux en faveur de l'amélioration de la cybersécurité des entreprises relevant du secteur public, du secteur privé et des infrastructures critiques, ce qui mérite d'être salué. » Nous sommes nombreux à avoir attendu longtemps que le pays se dote d'une politique et d'une infrastructure globales en matière de cybersécurité, et ces dernières initiatives constituent un pas en avant dans cette direction. « Bravo, CISA. »
3. L'arsenal en constante évolution de ScarCruft
Zscaler surveille depuis les TTP (techniques, tactiques et procédures) de (s'ouvre dans un nouvel onglet) du groupe APT37, également connu sous le nom de ScarCruft, qui s'est montré très actif en février et mars 2023.
APT37 (s'ouvre dans un nouvel onglet) est un groupe de cyberespionnage nord-coréen soutenu par l'État. Ce groupe a, par le passé, ciblé des victimes en Corée du Sud, au Japon, au Vietnam, en Russie, etc. Le groupe APT37 a déjà eu recours à divers vecteurs d'infection, notamment des « watering holes », l'exploitation de vulnérabilités et des e-mails de hameçonnage contenant des pièces jointes malveillantes. On observe fréquemment que le groupe APT37 diffuse la porte dérobée PowerShell « Chinotto ».
Des chercheurs ont récemment découvert un dépôt GitHub appartenant à un membre du groupe APT37. En raison de ce qui semble être une faille de sécurité opérationnelle de la part de l'acteur malveillant, Zscaler a pu accéder à des informations concernant les fichiers malveillants utilisés par ce groupe. Ce référentiel a servi à héberger de nombreuses charges utiles malveillantes différentes utilisées par l'acteur malveillant.
Les informations extraites du dépôt GitHub ont également permis aux chercheurs de mieux cerner les types de thèmes utilisés par APT37 dans ses leurres d'ingénierie sociale. Parmi ces thèmes figurent notamment les attraits liés à la géopolitique, les établissements universitaires et les entreprises sud-coréennes.
Pratiques, techniques et procédures récentes
- CHM: APT37 utilise régulièrement une porte dérobée Chinotto PowerShell, qu’il déploie sur le terminal via un fichier d’aide Windows malveillant ou un fichier CHM. Les fichiers CHM sont diffusés au sein de fichiers d'archives, dont la plupart contiennent deux éléments : le fichier CHM malveillant et le fichier leurre qui s'affiche à l'écran de la victime. Les fichiers leurres observés sont souvent protégés par un mot de passe, lequel est contenu dans le fichier CHM.
- Complément MS Excel : Dans le cadre d'une campagne surveillée sur 15 mars, APT37 , on a constaté le téléchargement d'un complément Excel malveillant vers le dépôt GitHub. C'était la première fois que ce groupe était vu en train d'exploiter des fichiers XLL. Ce fichier XLL extrait un fichier XLS et le place dans le chemin d'accès suivant : C:\programdata\20230315_SejeongSupport[.]xls. Il affiche le fichier XLS transféré, qui sert de leurre et est utilisé exclusivement à des fins d'ingénierie sociale. Il lance ensuite MSHTA pour télécharger un fichier HTA à partir d'une URL de yangak[.]com. Le fichier HTA téléchargé contient la porte dérobée PowerShell « Chinotto ».
- LNK : Certains fichiers LNK ont été récupérés dans le dépôt GitHub ; ceux-ci avaient été mis en ligne sur août 2022 et avaient été observés dans des attaques réelles à peu près à la même période. Les fichiers LNK se trouvaient dans des archives RAR. Un fichier HTML était également présent, se faisant passer pour une page de connexion de la société sud-coréenne LG. Les fichiers LNK ont été utilisés pour exécuter MSHTA et télécharger les fichiers HTA malveillants depuis le serveur contrôlé par le pirate. Cette chaîne d'attaque aboutit à l'installation de la même porte dérobée PowerShell, Chinotto.
Les métadonnées des fichiers LNK ont révélé qu'ils avaient été générés sur une machine virtuelle fonctionnant sous VMware, dont l'adresse MAC était 00:0c:29:41:1b:1c. L'auteur de la menace a utilisé la même machine virtuelle pour générer plusieurs charges utiles, ce qui s'avère utile pour la recherche de menaces et l'attribution future.
- On a également constaté que le fichier MS Office contenant une macro: APT37 avait été mis en ligne sur le dépôt GitHub. La macro lance MSHTA pour télécharger Chinotto.
- Fichier HWP contenant un objet OLE intégré: APT37 a également déployé Chinotto sur le terminal à l'aide de fichiers HWP contenant des objets OLE intégrés. Les objets OLE se présentent sous la forme d'un élément cliquable sur lequel la victime doit cliquer pour que les charges utiles PE malveillantes s'exécutent.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe “APT37 est un autre groupe APT extrêmement sophistiqué qui fait constamment évoluer ses techniques, tactiques et procédures (TTP). « Sa capacité à maintenir un dépôt GitHub contenant des charges utiles malveillantes pendant plus de 2 ans sans être détecté ni supprimé souligne encore davantage la sophistication de ses opérations. »
« L'utilisation d' s de fichiers CHM pour diffuser des logiciels malveillants (s'ouvre dans un nouvel onglet) a récemment été observée chez un autre groupe lié à la Corée du Nord, Kimsuky. » « Kimsuky a utilisé des fichiers CHM pour diffuser une porte dérobée destinée à collecter des données du presse-papiers et des frappes au clavier. »
« Les fichiers CHM constituent-ils la prochaine grande tendance en matière d'APT nord-coréennes ? » « Seul le temps nous le dira. »
Avez-vous des informations à partager concernant ces articles ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
