Pour commencer cette semaine, CTI se penche sur un rapport d'IBM X-Force concernant la nouvelle variante « Sphynx » du célèbre rançongiciel BlackCat/ALPHV. CTI se penche ensuite sur la découverte par Microsoft d'une vulnérabilité permettant à des attaquants disposant de privilèges root de contourner les contrôles de la protection de l'intégrité du système (SIP) de macOS et d'installer des logiciels malveillants « indélébiles ». Enfin, CTI conclut son analyse en se penchant sur un rapport récent de Group-IB détaillant les dernières activités attribuées à l'acteur malveillant connu sous le nom de « Dark Pink ».
1. Une version améliorée du ransomware BlackCat frappe à la vitesse de l'éclair et recourt à des tactiques furtives
Un nouveau rapport de l'équipe IBM Security X-Force détaille les principales évolutions de l'opération de rançongiciel BlackCat/ALPHV menée par le groupe « » (s'ouvre dans un nouvel onglet). Ces mises à jour comprennent des améliorations apportées à la vitesse, à la discrétion et aux capacités d'exfiltration du ransomware.
Qu'est-ce que BlackCat ?
- CTI considère BlackCat comme l'une des principales menaces liées aux ransomwares et à l'extorsion auxquelles sont confrontées les entreprises aujourd'hui.
- Les cybercriminels utilisent principalement BlackCat pour cibler les secteurs de l'administration, de l'éducation, de l'industrie, de l'hôtellerie et de la santé.
- BlackCat tente d'intégrer une stratégie de double chantage dans ses attaques. Les données volées sont généralement publiées sur le site officiel de divulgation du groupe, afin d'accentuer la pression exercée sur ses victimes d'extorsion pour qu'elles paient.
Comme l’explique l’auteur du rapport d’IBM, BlackCat est passé au langage de programmation Rust (s’ouvre dans un nouvel onglet)en 2022 — une décision probablement influencée par les possibilités de personnalisation offertes par ce langage, ainsi que par son utilité pour compliquer la détection et l’analyse du logiciel malveillant.
Un an et demi après son apparition présumée sur la scène des cybermenaces, le groupe BlackCat ne montre aucun signe de ralentissement. BlackCat/ALPHV figure régulièrement parmi les offres de ransomware-as-a-service (RaaS) les plus rentables du paysage des cybermenaces, rivalisant avec d’autres groupes d’extorsion de premier plan, tels que LockBit, pour s’adjuger la part du lion des rançons versées.
Qu'est-ce que le Sphynx ?
« Sphynx » est une nouvelle variante puissante de BlackCat qui intègre « un certain nombre de fonctionnalités améliorées visant à renforcer les efforts du groupe pour échapper à la détection », selon l'analyse d'IBM X-Force.
Source : IBM Security X-Force :
X-Force a constaté que les affiliés de BlackCat continuaient à perfectionner leurs opérations afin d'augmenter leurs chances de réussite, notamment en matière de vol et de chiffrement de données. Les pirates ont automatisé la phase d'exfiltration des données de l'opération à l'aide d'ExMatter, un logiciel malveillant sur mesure capable de s'« effacer » (autodestruction). Par ailleurs, le groupe BlackCat a récemment publié une nouvelle version de son rançongiciel, baptisée « Sphynx », dotée de fonctionnalités améliorées destinées à contourner les mesures de défense.
ExMatter est un outil d'exfiltration de données .NET qui, selon IBM X-Force, est utilisé exclusivement par un groupe affilié au ransomware BlackCat, suivi par Microsoft sous les références suivantes : , DEV-0504, (s'ouvre dans un nouvel onglet),, . En ce qui concerne les capacités d'évasion améliorées de BlackCat mentionnées précédemment, la version « Sphynx » de BlackCat intègre désormais du code indésirable et des chaînes de caractères chiffrées ; ces améliorations visent à entraver la détection et l'analyse. Les arguments de ligne de commande transmis au binaire ont également fait l'objet d'une refonte complète, ce qui le distingue de ses versions précédentes.
Alors que les versions précédentes utilisaient le paramètre « access token » pour s'exécuter, la dernière version supprime complètement ce paramètre et le remplace par un ensemble d'arguments plus complexes. Cette mesure a probablement été prise afin de rendre le rançongiciel plus difficile à détecter, car les professionnels de la sécurité ne disposent désormais plus de commandes standard leur permettant de mener des opérations de recherche.
Cela n’a rien de surprenant, puisque le groupe BlackCat affirme lui-même que le logiciel malveillant a été entièrement réécrit à partir de zéro, la priorité déclarée de cette mise à jour étant «afin d’optimiser la détection par les antivirus et les solutions EDR (s’ouvre dans un nouvel onglet) ».
21 février 2023 : le groupe de ransomware ALPHV a informé ses affiliés d'une nouvelle mise à jour de son « produit ». Leur nouvelle variante de ransomware s'appelle Sphynx.
Ce qui distingue également cette nouvelle version de ses prédécesseurs, c'est l'ajout du chargeur BlackCat Sphynx.
Extrait de The Hacker News :
Sphynx intègre également un chargeur destiné à déchiffrer la charge utile du ransomware qui, une fois exécutée, effectue des opérations de découverte du réseau afin de repérer d'autres systèmes, supprime les copies d'ombre des volumes, chiffre les fichiers et, enfin, affiche la note de rançon.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« BlackCat doit clairement sa longévité et sa rentabilité à sa capacité à se réinventer sans cesse, en améliorant à chaque fois les caractéristiques et les fonctionnalités qui permettent à ce logiciel malveillant d'échapper à la détection et de contourner les mécanismes de sécurité. »
« En tant que professionnels de la sécurité, nous devons faire preuve de la même capacité d'adaptation. » « Le CTI continuera à surveiller cette menace afin de détecter toute évolution significative et vous tiendra informés le cas échéant. »
2. Microsoft a découvert un bug dans macOS qui permet aux pirates de contourner les restrictions SIP au niveau racine
Une équipe de chercheurs en sécurité de Microsoft a découvert une vulnérabilité permettant à des attaquants disposant de privilèges root de contourner la protection de l'intégrité du système (SIP) (s'ouvre dans un nouvel onglet) et d'installer des logiciels malveillants « impossibles à supprimer ». Les pirates pourraient également accéder aux données privées des victimes en contournant les mesures de sécurité « Transparence, consentement et contrôle » (TCC) d'Apple.
Ce qu'il faut savoir sur le CVE-2023-32369
Cette faille de sécurité — baptisée « Migraine » par Microsoft et référencée sous les numéros CVE-2023-32369 (s'ouvre dans un nouvel onglet) — concerne la technologie SIP sous macOS.
Source : Microsoft :
Le SIP ( ) est une technologie de sécurité intégrée à macOS (s'ouvre dans un nouvel onglet) qui empêche l'utilisateur « root » d'effectuer des opérations susceptibles de compromettre l'intégrité du système. Le contournement du protocole SIP pourrait entraîner de graves conséquences, telles que l'augmentation du risque que des pirates et des auteurs de logiciels malveillants parviennent à installer des rootkits, à créer des logiciels malveillants persistants et à élargir la surface d'attaque pour permettre l'utilisation de techniques et d'exploits supplémentaires.
Le protocole SIP (ou « rootless ») empêche les logiciels potentiellement malveillants de modifier certains dossiers et fichiers en imposant des restrictions au compte utilisateur « root » et en limitant ses capacités au sein de certaines zones protégées du système d'exploitation. Ce système repose sur le principe selon lequel seuls les processus signés par Apple — ou ceux disposant de droits spéciaux — devraient être autorisés à accéder aux composants protégés de macOS ou à les modifier.
Découverte et exploitation
Les chercheurs de Microsoft ont découvert cette vulnérabilité ainsi que la technique utilisée pour contourner les restrictions habituelles du protocole SIP lors d’une opération de détection de logiciels malveillants de routine. Les chercheurs de Microsoft ont concentré leur attention sur les processus système signés par Apple et dotés du droit «com.apple.rootless.install.heritable » (s’ouvre dans un nouvel onglet).
Grâce à cette méthodologie, les chercheurs ont mis au jour deux processus enfants pouvant être manipulés au point de leur permettre d'exécuter du code arbitraire tout en contournant les contrôles du SIP.
SIP et droits
Comme l'explique Microsoft, le protocole SIP sécurise le système à la source grâce à la « sandbox » d'Apple. Cela contribue à protéger la plateforme, de la même manière que SELinux protège les systèmes Linux.
« L’une des principales caractéristiques du protocole SIP est sa capacité à restreindre l’accès au système de fichiers, ce qui empêche le remplacement de fichiers et de répertoires entiers », explique Microsoft. « Les fichiers et répertoires protégés par défaut par le protocole SIP sont généralement ceux qui sont liés à l'intégrité du système. »
De plus, il n'existe aucun moyen de désactiver le protocole SIP sur un système en production autrement que via le système d'exploitation de secours — une méthode qui nécessite un accès physique à l'appareil. Par conséquent, un contournement SIP est une vulnérabilité permettant à un utilisateur distant de contourner ses restrictions. Microsoft cite deux exemples illustrant comment un tel contournement a pu être réalisé, soit en contournant les restrictions SIP pour écrire dans des répertoires protégés par SIP, soit en créant un fichier protégé par SIP.
Nous abordons ensuite les « entitlements » de macOS, que la documentation d’Apple décrit (s’ouvre dans un nouvel onglet) comme « un droit ou un privilège qui confère à un exécutable des capacités particulières ».
Il est impossible de falsifier ces droits, car ils sont largement utilisés par Apple pour assurer la sécurité au sein de macOS et ne sont accordés qu'à des processus très spécifiques.
Ce qu’il est important de comprendre à propos de ces droits, c’est que lorsqu’ils sont accordés à un processus, celui-ci est autorisé, par conception, à contourner les contrôles de sécurité du SIP.
Source : Microsoft :
L'autorisation « com.apple.rootless.install.heritable » est particulièrement intéressante : elle permet au processus et à l'ensemble de l'arborescence des processus dont il est la racine de contourner les contraintes de sécurité liées à la protection de l'intégrité du système (System Integrity Protection) au niveau du système de fichiers.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Comme l'explique Microsoft, le contournement arbitraire du protocole SIP comporte de graves conséquences, liées principalement au risque important que les auteurs de logiciels malveillants puissent créer du code pratiquement impossible à supprimer. »
« Microsoft présente les implications sous la forme d'une liste pratique. » Il s'agit notamment de créer des logiciels malveillants impossibles à supprimer, d'élargir la surface d'attaque, et bien plus encore. Découvrez-les ici : (s'ouvre dans un nouvel onglet). »
« Apple a depuis corrigé cette faille de sécurité dans les mises à jour de sécurité pour macOS Ventura 13,4 (s'ouvre dans un nouvel onglet), , macOS Monterey 12,6,6 (s'ouvre dans un nouvel onglet) et macOS Big Sur 11,7,7 (s'ouvre dans un nouvel onglet), publiées il y a deux semaines, le . » 18 mai
3. Les pirates informatiques de « Dark Pink » continuent de cibler les organismes gouvernementaux et militaires
Un rapport récent du groupe de s Group-IB (s'ouvre dans un nouvel onglet) détaille les dernières activités attribuées à l'acteur malveillant suivi sous le nom de « Dark Pink », un groupe de pirates informatiques considéré comme une menace persistante avancée (APT) qui, ces derniers temps, a été observé en train de cibler des organismes gouvernementaux, militaires et éducatifs en Indonésie, au Brunei et au Vietnam — ajoutant ainsi cinq nouvelles organisations dans ces trois pays à la liste des victimes du groupe. Le groupe de hackers « Dark Pink » (s'ouvre dans un nouvel onglet) serait actif depuis au moins mi-2021 et se livrerait principalement à des attaques contre diverses entités de la région Asie-Pacifique (APAC).
Ce rapport décrit un nouvel acteur malveillant sophistiqué, capable d'utiliser des logiciels malveillants sur mesure dans le cadre de ses activités visant à dérober des informations confidentielles au sein d'agences gouvernementales et d'organismes militaires de plusieurs pays de la région Asie-Pacifique.
Doté d’une boîte à outils contenant des logiciels malveillants sur mesure, Dark Pink a également été observé en train de diffuser des logiciels malveillants via des clés USB et d’exploiter des méthodes de chargement latéral de fichiers DLL et d’exécution déclenchée par des événements pour exécuter ses charges utiles sur les systèmes compromis.
Aujourd’hui, dans ce qui peut être considéré comme la suite de son précédent rapport intitulé « janvier 2023 », Group-IB a fait état des dernières activités de ce groupe de pirates informatiques dans un article de blog intitulé «Dark Pink revient en force : 5 nouvelles organisations dans 3 pays ajoutées à la liste des victimes».
Un retour en force
D'après les dernières recherches, les analystes de Group-IB affirment avoir identifié cinq nouvelles victimes de Dark Pink.
Par ailleurs, la portée géographique des activités de ce groupe semble être nettement plus étendue que ce qui avait été estimé précédemment — une conclusion corroborée par le fait que des entités situées au Brunei, en Thaïlande et en Belgique ont été victimes de cyberattaques attribuées à Dark Pink.
D'après Group-IB :
Une analyse approfondie a révélé que ce groupe est toujours actif, puisque « Dark Pink » a attaqué un ministère à Brunei en janvier dernier et une agence gouvernementale en Indonésie pas plus tard qu’ avril 2023. Par ailleurs, les chercheurs de Group-IB ont pu attribuer trois autres attaques de la série « 2022 » à ce groupe APT spécifique.
Points clés
- Le phishing de type « spear-» reste le moyen d'accès initial privilégié par ce groupe.
- L'arsenal du groupe (qui se composait presque exclusivement d'outils sur mesure conçus pour exfiltrer des fichiers et des données de messagerie instantanée, comme décrit dans le précédent rapport de Group-IB) est toujours utilisé par Dark Pink. Bon nombre de ces outils ont fait l'objet d'améliorations notables.
- Bon nombre de ces améliorations permettent aux opérateurs de Dark Pink de passer inaperçus et de contourner diverses mesures de cybersécurité défensives automatisées.
- Une étude menée par l'unité « Threat Intelligence » de Group-IB a permis de découvrir un nouveau compte « Dark Pink » sur GitHub. Une analyse plus approfondie a révélé que ce compte avait été créé presque immédiatement après la divulgation au grand public, en janvier, d’informations concernant ce groupe de pirates informatiques. Ce compte GitHub permet aux opérateurs de Dark Pink d’envoyer des commandes aux systèmes compromis.
- Les récentes attaques menées par Dark Pink ont consisté à exfiltrer des données volées via le protocole HTTP à l'aide du service Webhook, tout en exploitant les fonctionnalités d'un complément MS Excel pour faciliter la mise en place de la persistance de TelePowerBot (une version simplifiée de KamiKakaBot, , écrite en PowerShell).
- Dark Pink utilise également des commandes PowerShell pour rechercher des logiciels légitimes et des outils de développement sur les appareils compromis, dans l'espoir de découvrir des ressources que les attaquants pourraient exploiter pour poursuivre leurs opérations.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les recherches menées par Group-IB indiquent que le groupe APT « Dark Pink » est un acteur malveillant très actif, qui s'attache à développer en permanence son arsenal sur mesure et qui s'efforce d'étendre ses opérations, tant sur le plan géographique que sectoriel. »
« Comme le souligne Group-IB, “les groupes APT sont réputés pour leur réactivité et leur capacité à adapter leurs outils sur mesure afin d’échapper en permanence à la détection, et Dark Pink ne fait pas exception.” »
« L’élargissement récent du champ d’action du groupe et les efforts qu’il déploie pour améliorer ses capacités de contournement des analyses et de détection devraient inquiéter les professionnels de la sécurité ; et, bien qu’il ne soit pas encore associé à un gouvernement ou à un État-nation en particulier, Dark Pink doit être considéré comme une menace importante. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet) pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés sur les menaces informatiques publiés sur .
