Résumé CTI : Microsoft avertit sur le mercure et les attaques DEV-1084 contre les environnements hybrides

En tête de la liste CTI de cette semaine, vous obtenez un aperçu d’un rapport inquiétant de Microsoft sur sa découverte d’une opération destructrice comportant des attaques sur des actifs appartenant à des environnements sur site et dans le cloud.

CTI conclut avec un résumé de la dernière campagne de cyberespionnage de Nobelium, un acteur de menace russe, éclairé par un conseil du Service de contre-intelligence militaire polonais.

1. Mercury et DEV-1084 : attaque destructrice sur un environnement hybride

Microsoft Threat Intelligence a découvert des opérations destructrices qui ont attaqué à la fois les environnements sur site et cloud.

Les attaques sont activées par Mercury, un acteur national contre les menaces soutenu par l’Iran, qui a probablement travaillé en partenariat avec l’acteur DEV-1084 pour effectuer des actions destructrices après l’exploitation et passer de l’environnement sur site au cloud pendant l’attaque.

L’attaque tente de dissimuler l’activité comme une campagne traditionnelle de rançongiciel, l’objectif ultime étant la destruction et la perturbation.

• Mercure : Mercure, également connu sous le nom de MuddyWater, est un acteur de menace national ayant des liens avec le gouvernement iranien. Plus précisément, Mercury a été lié au ministère iranien de l’Intelligence et de la Sécurité (MOIS). Les attaques précédentes de Mercury ont ciblé des environnements strictement sur site dans le gouvernement et les organisations privées dans divers secteurs, notamment les télécommunications, le gouvernement local, la défense, le pétrole et le gaz naturel. Ses précédentes victimes ont été largement situées au Moyen-Orient, en Asie, en Afrique, en Europe et en Amérique du Nord. Mercury a également été mis à l’honneur l’année dernière lorsqu’il a sauté sur le tablier pour tirer parti de Log4j 2 exploits.
• DEV-1084 : DEV-1084 est un autre acteur iranien suivi par Microsoft qui aurait travaillé en partenariat avec Mercury dans sa dernière campagne. DEV-1084 a publiquement adopté le persona DarkBit plus tôt cette année dans le cadre d’une attaque par rançongiciel et extorsion visant Technion. Cette attaque a ciblé Israël avec des options de ligne de commande et des routines de chiffrement optimisées.

Les liens entre ces deux groupes de menaces proviennent de l’infrastructure, des adresses IP et des chevauchements d’outils. À l’heure actuelle, on ignore la relation exacte entre ces deux acteurs malveillants et s’ils fonctionnent indépendamment ou si DEV-1084 est un sous-groupe de mercure qui ne fait surface que lorsque les opérateurs de mercure sont chargés d’effectuer ces types d’attaques destructrices.

Attaque d’environnement hybride

Microsoft pense que Mercury obtient un accès initial via l’exploitation à distance d’un appareil non corrigé connecté à Internet. Mercury semble alors donner accès à DEV-1084.

Il semble que les acteurs malveillants aient tenté plusieurs fois son intrusion initiale, puis réussi en tirant parti des applications vulnérables exposées.

Après avoir obtenu l’accès, les acteurs malveillants ont déployé divers outils et techniques pour établir la persistance. Cela comprenait :

• Installation des web shells
• Ajout de comptes d’utilisateur locaux avant l’élévation des privilèges à l’administrateur local
• Installation d’outils d’accès à distance légitimes, y compris RPort, Ligolo et eHorus
• Installation d’un backdoor de script PowerShell personnalisé
• Vol des informations d’identification

Les acteurs malveillants ont ensuite effectué des activités de reconnaissance en tirant parti des outils et commandes Windows natifs tels que netstat et nltest.

Avec l’aide d’informations d’identification volées, les acteurs malveillants ont pu effectuer des actions de mouvement latéral dans l’environnement. Ces actions comprennent des tâches planifiées à distance pour lancer une backdoor PowerShell personnalisée, WMI pour lancer des commandes et des services à distance pour exécuter des commandes PowerShell codées. Les nouveaux appareils infectés ont été touchés avec les mêmes mécanismes de persistance que ceux mentionnés ci-dessus.

Microsoft note que les acteurs malveillants ont parfois attendu des semaines (et dans certains cas, des mois) avant de passer à l’étape suivante de la chaîne d’attaque.

Impact sur site

Les acteurs malveillants ont interféré avec les outils de sécurité via les objets de politique de groupe (GPO) et ont tiré parti des informations d’identification hautement privilégiées pour accéder aux contrôleurs de domaine. Cela leur a permis de se préparer au chiffrement à grande échelle.

GPO a été utilisé pour enregistrer une tâche planifiée pour lancer le ransomware qui a été précédemment chargé dans les partages NETLOGON de plusieurs contrôleurs de domaine. La charge utile du ransomware chiffre les fichiers trouvés sur le système et ajoute l’extension DARKBIT.

Des locaux au cloud

Les acteurs malveillants ont interféré avec les outils de sécurité via les objets de politique de groupe (GPO) et ont tiré parti des informations d’identification hautement privilégiées pour accéder aux contrôleurs de domaine. Cela leur a permis de se préparer au chiffrement à grande échelle. GPO a été utilisé pour enregistrer une tâche planifiée pour lancer le ransomware qui a été précédemment chargé dans les partages NETLOGON de plusieurs contrôleurs de domaine. La charge utile du ransomware chiffre les fichiers trouvés sur le système et ajoute l’extension DARKBIT.

Impact sur le cloud

Les acteurs malveillants ont pu effectuer une suppression massive des ressources Azure, abuser de l’API du serveur Web Exchange et effectuer un usurpation d’identité par e-mail.

• Suppression des ressources Azure : les acteurs malveillants ont revendiqué la permission Administrateur mondial via PIM – Azure Privileged Identity Management – et ont augmenté cet accès pour obtenir des permissions pour les groupes de gestion et les abonnements Azure. Ce compte administrateur compromis ainsi que le compte Azure AD Connector ont été utilisés pour la destruction de l’environnement Azure. La destruction comprenait la suppression des fermes de serveurs, des machines virtuelles, des comptes de stockage et des réseaux virtuels en quelques heures seulement.
• Abus d’API du serveur Web Exchange : les acteurs malveillants ont obtenu un accès complet aux boîtes aux lettres via Exchange Web Services en fournissant une application OAuth légitime avec les permissions et le consentement de l’administrateur appropriés. Ces privilèges ont permis à l’acteur malveillant de mettre à jour l’application OAuth avec des certificats pour effectuer des activités malveillantes. Les acteurs malveillants ont ensuite utilisé les permissions de cette application pour effectuer des opérations GetItem et des milliers d’activités de recherche, potentiellement pour vider des données de boîte aux lettres ou pour rechercher des données sensibles dans les boîtes aux lettres.
• Usurpation d’identité par e-mail : le compte administrateur compromis a été utilisé pour accorder des permissions SMTP « envoyer au nom » au compte Azure AD Connector. Cette action a été effectuée sur la boîte aux lettres d’un employé de haut rang via le cmdlet PowerShell de Set-Mailbox. Les e-mails ont ensuite été rédigés et envoyés à des parties internes et externes.

Extraction des informations d’identification

Des informations d’identification compromises ont été utilisées pour accéder à l’appareil Azure AD Connect deux semaines avant le déploiement du ransomware. À l’heure actuelle, les acteurs malveillants ont initié un tunnel SSH vers un appareil contrôlé par l’acteur malveillant.

Peu de temps avant le déploiement du ransomware, une adresse IP connue du pirate informatique authentifiée dans le compte cloud Azure AD Connector. Cette connexion n’impliquait pas deviner ou de modifier le mot de passe d’identification, indiquant que l’acteur malveillant possédait probablement le mot de passe pour ce compte.

Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium

« Les campagnes hybrides qui ciblent à la fois les environnements sur site et cloud pendant une seule attaque ne sont pas quelque chose que nous voyons chaque jour. Bien sûr, il peut y avoir des logiciels malveillants avec plusieurs variantes capables de cibler à la fois les environnements sur site et cloud, mais l’acte réel de passer de sur site au cloud en une seule attaque est beaucoup moins fréquemment observé parmi les acteurs malveillants que nous suivons actuellement. »

« Dans le même ordre d’idée, le passage de Mercury du ciblage exclusif des environnements sur site à l’engagement d’attaques sur les environnements sur site et cloud marque une évolution potentielle de la méthodologie adoptée par les acteurs qui alimentent le paysage des menaces, soulignant l’augmentation de l’exploitation du cloud. Cette campagne exploite des TTP qui ne sont pas nécessairement nouveaux ou innovants. Par exemple, le vol d’informations d’identification, l’escalade des privilèges, l’installation de web shells et la mise en œuvre de politiques de groupe malveillantes sont tout ce que nous avons vu dans les campagnes auparavant. »

« Ce qui distingue cette campagne est lié à la manière percutante dont elle combine ces TTP pour accéder à deux types différents d’environnements réseau. Bien que cette attaque semble être menée par deux acteurs malveillants travaillant ensemble, les deux clusters d’activités semblent être liés à l’acteur principal basé en Iran, MuddyWater. Cela n’est pas surprenant, car les acteurs de la menace soutenus par l’État iranien sont connus pour contracter certaines parties des opérations. »

2. Les pirates russes sont liés à des attaques généralisées ciblant l’OTAN et l’UE

Selon un conseil du Service de contre-intelligence militaire polonais, son équipe d’intervention d’urgence informatique a lié le groupe de piratage APT29 parrainé par l’État russe, ou Nobelium , à une récente série d’attaques généralisées ciblant les pays de l’OTAN et de l’Union européenne (UE) dans le cadre d’une vaste campagne de cyberespionnage.

Détails de la campagne

Bien que le conseil de CERT.PL mette l’accent sur le fait que la campagne est toujours en cours, il semble que l’objectif principal de l’exploitation de Nobelium est la collecte à grande échelle d’informations sensibles, le type qui s’aligne à la fois sur les objectifs du gouvernement russe et les poursuit. Les cibles comprennent des entités diplomatiques appartenant à l’OTAN et aux ministères étrangers dans les pays de l’UE, ainsi que des nations africaines.

En ce qui concerne la victimologie et les modèles de ciblage, ce n’est en aucun cas un nouveau territoire pour Nobelium. Cependant, CERT.PL rapporte que, malgré l’infrastructure et les TTP se chevauchant en partie (ou en totalité) avec l’activité précédente de Nobelium, le logiciel unique déployé pendant cette campagne distingue cette opération, car elle n’a apparemment pas été précédemment « décrite publiquement ».

Le conseil affirme que de nouveaux outils ont été déployés en même temps et indépendamment les uns des autres ; l’idée étant que Nobelium remplace méthodiquement les services publics dont l’efficacité est en baisse et permet ainsi à l’acteur de maintenir son tempo opérationnel élevé habituel (OPTEMPO).

Détails de l’attaque

Comme décrit dans le conseil de CERT.PL, le cours des attaques composant cette campagne a tous commencé par le spear phishing, dans lequel des e-mails usurpant l’identité des ambassades européennes ont été envoyés à du personnel spécifique occupant des postes diplomatiques.

• Les messages contenaient soit une invitation à une réunion, soit une demande de collaboration sur la production de documents.
• Un lien a été inclus dans chaque message, soit dans le corps de l’e-mail, soit dans un document PDF joint.
• Le lien a été conçu pour apparaître comme s’il permettait au destinataire d’accéder au calendrier de l’ambassadeur usurpé, de permettre au destinataire d’afficher les détails de la réunion ou d’amener la victime dans un fichier téléchargeable.

En réalité, le lien a dirigé les destinataires vers un site Web compromis contenant un script malveillant, un code publiquement appelé ENVYSCOUT , un compte-gouttes qui est exploité par Nobelium depuis au moins 2021.

Depuis CERT.PL :

Il utilise la technique de contrebande HTML, par laquelle un fichier malveillant placé sur la page est décodé à l’aide de JavaScript lorsque la page est ouverte, puis téléchargée sur l’appareil de la victime. Cela rend le fichier malveillant plus difficile à détecter du côté du serveur où il est stocké. La page Web affichait également des informations destinées à rassurer la victime qu’elle avait téléchargé la bonne pièce jointe.

Selon l’avis, l’adversaire a déployé trois versions différentes d’ENVYSCOUT, ajoutant progressivement de nouveaux mécanismes pour échapper à la détection et rendre l’analyse plus difficile à mesure que la campagne progressait.

Modifications des formats de fichier

CERT.PL note que les campagnes passées attribuées à Nobelium utilisaient fréquemment des fichiers .ZIP ou .ISO pour fournir des logiciels malveillants. Dans cette campagne, l’adversaire a ajouté l’utilisation des fichiers .IMG à son répertoire normal.

Étant donné que les images de disque .ISO et .IMG sont automatiquement montées dans le système de fichiers lors de l’ouverture, leur contenu est affiché dans l’Explorateur Windows. De plus, ces types de fichiers n’affichent pas la marque du Web (MOTW), ce qui signifie que Windows n’avertira pas l’utilisateur que les fichiers proviennent d’Internet.

L’adversaire a déployé un éventail de techniques pour inciter les victimes à lancer le logiciel malveillant.

Depuis CERT.PL :

L’un d’eux était un fichier de raccourci Windows (LNK) se faisant passer pour un document, mais exécutant en fait une bibliothèque DLL masquée avec les outils de l’acteur. La technique de chargement latéral DLL a également été observée, en utilisant un fichier exécutable signé pour charger et exécuter le code contenu dans une bibliothèque DLL masquée en le plaçant dans le même répertoire, sous un nom choisi en fonction des entrées dans le tableau d’importation. À un stade ultérieur de la campagne, le nom du fichier exécutable contenait de nombreux espaces pour rendre l’extension exe difficile à repérer.

Outils exploités

Outre ENVYSCOUT, Nobelium a utilisé divers outils à différentes étapes de la campagne. Ils sont inclus dans la liste suivante de CERT.PL, avec des liens vers une analyse technique détaillée de chacun :

• SNOWYAMBER  : un outil utilisé pour la première fois en octobre 2022, abusant du Notion7 service pour communiquer et télécharger d’autres fichiers malveillants. Deux versions de cet outil ont été observées.
• HALFRIG : utilisé pour la première fois dans février 2023. Cet outil se distingue des autres par le code intégré qui exécute l’outil COBALT STRIKE.
• QUARTERRIG : un outil utilisé pour la première fois dans mars 2023, partageant une partie du code avec HALFRIG. Deux versions de cet outil ont été observées.

Depuis CERT.PL :

Les outils SNOWYAMBER et QUARTERRIG ont été utilisés comme téléchargeurs. Les deux outils ont envoyé l’adresse IP ainsi que l’ordinateur et le nom d’utilisateur à l’acteur. Ils ont été utilisés pour évaluer si la victime était intéressée par l’acteur et s’il s’agissait d’un environnement d’analyse des logiciels malveillants. Si le poste de travail infecté a réussi la vérification manuelle, les téléchargeurs susmentionnés ont été utilisés pour fournir et démarrer les outils commerciaux COBALT STRIKE ou BRUTE RATEL. HALFRIG, en revanche, fonctionne comme un chargeur : il contient la charge utile COBALT STRIKE et l’exécute automatiquement.

Bien que cette campagne soit quelque peu unique en ce sens qu’elle marque l’émergence de nouveaux logiciels malveillants (qui ont été soumis à diverses mises à niveau et modifications tout au long de la progression de la campagne), CERT.PL décrit plusieurs éléments de l’opération comme reproductibles, et répertorie spécifiquement les attributs d’attaque suivants :

1. La façon dont l’infrastructure est construite. L’acteur derrière la campagne d’espionnage préfère utiliser des sites Web vulnérables appartenant à des entités aléatoires.
2. Thème de l’e-mail. Tous les e-mails acquis utilisés dans les campagnes utilisaient le thème de la correspondance entre les entités diplomatiques.
3. L’utilisation d’un outil publiquement appelé ENVYSCOUT. Ce script est utilisé par l’acteur depuis au moins 20219. Des modifications du code de l’outil ont été observées pendant la campagne, mais elles n’ont pas affecté de manière significative sa fonctionnalité.
4. Un lien vers l’outil ENVYSCOUT a été fourni à la victime sous la forme d’un lien intégré dans le corps de l’e-mail ou dans le corps d’un fichier PDF joint.
5. Utilisation des images de disque ISO et IMG.
6. Utilisation d’une technique appelée « chargement latéral DLL » qui utilise un fichier exécutable non malveillant, signé numériquement pour démarrer les outils de l’acteur.
7. Utilisation d’outils commerciaux COBALT STRIKE et BRUTE RATEL.

Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium

« Il convient de noter que les directives concernant ce défaut de sécurité particulier existent depuis avril 2021. Bien que l’inclusion des mots « zero-day » dans le titre d’un article de blog attirera certainement l’attention, il existe un désaccord entre les professionnels de la cybersécurité quant à savoir si ce défaut particulier est vraiment un exemple de vulnérabilité zero-day. »

Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.