CTI Roundup: Microsoft met en garde contre les attaques de Mercury et DEV-1084 sur les environnements hybrides

Pour commencer ce tour d'horizon hebdomadaire, CTI vous propose un aperçu d'un rapport inquiétant de Microsoft concernant la découverte d'une opération destructrice impliquant des attaques visant des ressources situées aussi bien dans des environnements sur site que dans le cloud.

CTI conclut son analyse par un résumé de la dernière campagne de cyberespionnage menée par l'acteur malveillant russe Nobelium, sur la base d'une note d'alerte émanant du Service de contre-espionnage militaire polonais.

1. Mercury et DEV-1084 : attaque destructive visant un environnement hybride

Microsoft Threat Intelligence a découvert  (s'ouvre dans un nouvel onglet)des opérations destructrices qui ont visé à la fois des environnements sur site et dans le cloud.

Ces attaques ont été rendues possibles par Mercury — un acteur malveillant étatique soutenu par l’Iran — qui a probablement collaboré avec l’acteur DEV-1084 pour mener des actions destructrices post-exploitation et passer d’un environnement sur site au cloud au cours de l’attaque.

Cette attaque vise à faire passer cette activité pour une campagne de rançongiciel classique, son objectif ultime étant la destruction et la perturbation.

• Mercury : Mercury, également connu sous le nom de « MuddyWater » (s'ouvre dans un nouvel onglet), est un acteur malveillant d'État lié au gouvernement iranien. Plus précisément, Mercury a été associé au ministère iranien du Renseignement et de la Sécurité (MOIS). Les attaques précédentes menées par Mercury ont ciblé exclusivement des environnements sur site au sein d'organismes publics et d'entreprises privées dans divers secteurs, notamment les télécommunications, les collectivités locales, la défense, le pétrole et le gaz naturel. Ses victimes précédentes se trouvaient principalement au Moyen-Orient, en Asie, en Afrique, en Europe et en Amérique du Nord. Mercury a par ailleurs fait parler d’elle  (s’ouvre dans un nouvel onglet)l’année dernière lorsqu’elle a suivi le mouvement pour exploiter les failles Log4j et 2 .
• DEV-1084: DEV-1084 est un autre acteur malveillant iranien suivi par Microsoft, qui aurait collaboré avec Mercury dans le cadre de sa dernière campagne. DEV-1084 a publiquement endossé l'identité de DarkBit au début de cette année dans le cadre d'une attaque par ransomware et d'extorsion de type « » visant le Technion (s'ouvre dans un nouvel onglet). Cette attaque visait Israël et utilisait des options de ligne de commande ainsi que des routines de chiffrement optimisées.

Les liens entre ces deux groupes malveillants tiennent à des recoupements au niveau de l'infrastructure, des adresses IP et des outils utilisés. On ignore pour l'instant quelle est exactement la relation entre ces deux acteurs malveillants, et s'ils opèrent de manière indépendante ou si DEV-1084 est un sous-groupe de Mercury qui n'apparaît que lorsque les opérateurs de Mercury reçoivent l'ordre de mener ce type d'attaques destructrices.

Attaque dans un environnement hybride

Microsoft estime que Mercury obtient un premier accès en exploitant à distance un périphérique connecté à Internet et non mis à jour. Mercury semble alors céder l'accès à DEV-1084.

Il semblerait que les auteurs de l'attaque aient multiplié les tentatives lors de leur intrusion initiale, avant de finalement parvenir à leurs fins en exploitant des applications vulnérables exposées.

Une fois l'accès obtenu, les auteurs de la menace ont procédé au déploiement de divers outils et techniques afin d'assurer la persistance de leur présence. Cela comprenait notamment :

• Installation de shells Web
• Création de comptes d'utilisateurs locaux avant l'élévation des privilèges au niveau d'administrateur local
• Installation d'outils d'accès à distance légitimes, notamment RPort, Ligolo et eHorus
• Installation d'un script PowerShell personnalisé de type « backdoor » de type « »
• Vol d'identifiants

Les auteurs de la menace ont ensuite mené des activités de reconnaissance en utilisant des outils et des commandes natifs de Windows, tels que « netstat » et « nltest ».

Grâce à des identifiants volés, les auteurs de l'attaque ont pu effectuer des mouvements latéraux au sein de l'environnement. Ces actions comprennent des tâches planifiées à distance visant à lancer une porte dérobée PowerShell personnalisée, l'utilisation de WMI pour exécuter des commandes, ainsi que des services à distance permettant d'exécuter des commandes PowerShell codées. Les nouveaux appareils infectés ont été touchés par les mêmes mécanismes de persistance que ceux énumérés ci-dessus.

Microsoft souligne que les auteurs de ces attaques attendaient parfois plusieurs semaines (voire, dans certains cas, plusieurs mois) avant de passer à l'étape suivante de la chaîne d'attaque.

Conséquences sur les installations sur site

Les auteurs de l'attaque ont perturbé le fonctionnement des outils de sécurité via des objets de stratégie de groupe (GPO) et ont exploité des identifiants dotés de privilèges élevés pour accéder aux contrôleurs de domaine. Cela leur a permis de se préparer à un chiffrement à grande échelle.

Le GPO a été utilisé pour enregistrer une tâche planifiée visant à lancer le rançongiciel qui avait été préalablement chargé dans les partages NETLOGON de plusieurs contrôleurs de domaine. La charge utile du ransomware chiffre les fichiers présents sur le système et leur ajoute l'extension DARKBIT.

De l'environnement sur site au cloud

Les auteurs de l'attaque ont perturbé le fonctionnement des outils de sécurité via des objets de stratégie de groupe (GPO) et ont exploité des identifiants dotés de privilèges élevés pour accéder aux contrôleurs de domaine. Cela leur a permis de se préparer à un chiffrement à grande échelle. Le GPO a été utilisé pour enregistrer une tâche planifiée visant à lancer le rançongiciel qui avait été préalablement chargé dans les partages NETLOGON de plusieurs contrôleurs de domaine. La charge utile du ransomware chiffre les fichiers présents sur le système et leur ajoute l'extension DARKBIT.

Impact du cloud

Les auteurs de ces attaques ont pu procéder à une suppression massive de ressources Azure, exploiter de manière abusive l'API d'Exchange Web Server et se faire passer pour d'autres personnes dans des e-mails.

• Suppression de ressources Azure : Les auteurs de l'attaque se sont approprié le rôle d'administrateur global via PIM (Azure Privileged Identity Management) et ont étendu ce droit d'accès afin d'obtenir des autorisations sur les groupes de gestion et les abonnements Azure. Ce compte d'administrateur compromis, ainsi que le compte Azure AD Connector, ont été utilisés pour détruire l'environnement Azure. Cette destruction a notamment consisté à supprimer des fermes de serveurs, des machines virtuelles, des comptes de stockage et des réseaux virtuels en l'espace de quelques heures seulement.
• Utilisation abusive de l'API Exchange Web Server : Les auteurs de l'attaque ont obtenu un accès complet aux boîtes aux lettres via les services Web Exchange en fournissant une application OAuth légitime dotée des autorisations appropriées et du consentement de l'administrateur. Ces privilèges ont permis à l'acteur malveillant de mettre à jour l'application OAuth à l'aide de certificats afin de mener des activités malveillantes. Les auteurs de la menace ont ensuite utilisé les autorisations de cette application pour effectuer des opérations « GetItem » et mener des milliers d'opérations de recherche — probablement dans le but d'extraire les données des boîtes aux lettres ou de rechercher des données sensibles dans celles-ci.
• Usurpation d'identité par e-mail : Le compte d'administrateur piraté a été utilisé pour accorder des autorisations SMTP « d'envoi pour le compte de » au compte Azure AD Connector. Cette opération a été effectuée sur la boîte aux lettres d'un collaborateur occupant un poste à responsabilités à l'aide de la cmdlet PowerShell « Set-Mailbox ». Des e-mails ont ensuite été rédigés et envoyés à des destinataires tant internes qu'externes.

Extraction des identifiants

Des identifiants compromis ont été utilisés pour accéder au dispositif Azure AD Connect deux semaines avant le déploiement du rançongiciel. À ce moment-là, les auteurs de la menace ont établi un tunnel SSH vers un appareil qu'ils contrôlaient.

Peu de temps avant le déploiement du rançongiciel, une adresse IP d'un attaquant connu s'est authentifiée sur le compte cloud Azure AD Connector. Cette connexion n'a pas nécessité de deviner ni de modifier le mot de passe du compte, ce qui indique que l'auteur de l'attaque disposait probablement du mot de passe de ce compte.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

« Les campagnes hybrides qui ciblent à la fois les environnements sur site et dans le cloud au cours d’une même attaque ne sont pas monnaie courante. » « Certes, il existe peut-être des logiciels malveillants comportant plusieurs variantes capables de cibler à la fois les environnements sur site et dans le cloud, mais le fait de passer d'un environnement sur site au cloud au cours d'une même attaque est bien moins fréquent chez les acteurs malveillants que nous suivons actuellement. »

« Dans le même ordre d’idées, le fait que Mercury soit passé d’une stratégie ciblant exclusivement les environnements sur site à des attaques visant à la fois les environnements sur site et ceux dans le cloud marque une évolution potentielle de la méthodologie adoptée par les acteurs qui composent le paysage des menaces, soulignant ainsi l’augmentation des attaques visant le cloud. » Cette campagne s'appuie sur des techniques, tactiques et procédures (TTP) qui ne sont pas nécessairement nouvelles ou originales. « Par exemple, le vol d'identifiants, l'escalade de privilèges, l'installation de shells Web et la mise en œuvre de stratégies de groupe malveillantes sont autant de techniques que nous avons déjà observées dans le cadre de campagnes précédentes. »

« Ce qui distingue cette campagne, c'est la manière particulièrement efficace dont elle combine ces techniques, tactiques et procédures (TTP) pour accéder à deux types d'environnements réseau différents. » Bien que cette attaque semble avoir été menée par deux acteurs malveillants agissant de concert, ces deux ensembles d'activités semblent être liés à l'acteur malveillant principal basé en Iran, MuddyWater. Cela n’a rien de surprenant, car les acteurs malveillants soutenus par l’État iranien sont connus pour sous-traiter certaines parties de leurs opérations. »

2. Des pirates informatiques russes seraient à l'origine d'attaques à grande échelle visant l'OTAN et l'UE

Selon un avis émis par le Service de contre-espionnage militaire polonais, son équipe d’intervention en cas d’urgence informatique (CERT) a établi un lien entre le groupe de pirates informatiques russe « APT29 » ( — ou ), soutenu par l’État, et « Nobelium » ( (s’ouvre dans un nouvel onglet) ), dans le cadre d’une vaste campagne de cyberespionnage, et une récente vague d’attaques à grande échelle visant à la fois les pays de l’OTAN et ceux de l’Union européenne (UE).

Détails de la campagne

Bien que l’avis publié par CERT.PL sur (s’ouvre dans un nouvel onglet) souligne que la campagne est toujours en cours, il semble que l’objectif principal de l’opération menée par Nobelium soit la collecte à grande échelle d’informations sensibles — du type de celles qui correspondent aux objectifs du gouvernement russe et contribuent à leur réalisation. Parmi les cibles figurent des entités diplomatiques relevant de l'OTAN et des ministères des Affaires étrangères de pays de l'Union européenne, ainsi que de pays africains.

En ce qui concerne la victimologie et les modes d'attaque, ce n'est en aucun cas un domaine inconnu pour Nobelium. Toutefois, CERT.PL indique que, bien que l’infrastructure et les TTP recoupent en partie (ou en totalité) les activités antérieures de Nobelium, le logiciel unique déployé au cours de cette campagne distingue cette opération des autres, car il n’aurait apparemment jamais été « décrit publiquement » auparavant.

La note d'information affirme que ces nouveaux outils ont été déployés à la fois simultanément et indépendamment les uns des autres ; l'idée étant que Nobelium remplace méthodiquement les outils dont l'efficacité est en déclin, ce qui permet ainsi à cet acteur de maintenir son rythme opérationnel élevé habituel (OPTEMPO).

Détails de l'attaque

Comme le décrit l’avis de CERT.PL, les attaques composant cette campagne ont toutes débuté par des opérations de spear- -phishing, dans le cadre desquelles des e-mails se faisant passer pour des ambassades européennes ont été envoyés à des membres spécifiques du personnel occupant des postes diplomatiques.

• Ces messages contenaient soit une invitation à une réunion, soit une demande de collaboration pour la rédaction de documents.
• Chaque message comportait un lien, soit dans le corps de l'e-mail, soit dans un document PDF joint.
• Ce lien avait pour but de donner l'impression qu'il permettrait au destinataire d'accéder à l'agenda de l'ambassadeur dont l'identité avait été usurpée, de consulter les détails d'une réunion ou de le rediriger vers un fichier téléchargeable.

En réalité, le lien redirigeait les destinataires vers un site web compromis contenant un script malveillant, un fragment de code communément appelé « ENVYSCOUT » (s'ouvre dans un nouvel onglet) «» « » — un « dropper » utilisé par Nobelium depuis au moins 2021.

Source : CERT.PL :

Il utilise la technique dite du « HTML Smuggling » : un fichier malveillant placé sur la page est décodé à l'aide de JavaScript lors de l'ouverture de celle-ci, puis téléchargé sur l'appareil de la victime. Cela rend le fichier malveillant plus difficile à détecter côté serveur, là où il est stocké. La page Web affichait également une information destinée à rassurer la victime sur le fait qu'elle avait bien téléchargé la pièce jointe souhaitée.

Selon l'alerte, l'attaquant a déployé trois versions différentes d'ENVYSCOUT, en ajoutant progressivement de nouveaux mécanismes visant à échapper à la détection et à compliquer l'analyse au fur et à mesure que la campagne avançait.

Modifications apportées aux formats de fichiers

CERT.PL souligne que les campagnes passées attribuées à Nobelium utilisaient couramment des fichiers .ZIP ou .ISO pour diffuser des logiciels malveillants. Dans le cadre de cette campagne, l'attaquant a ajouté l'utilisation de fichiers .IMG à son répertoire habituel.

Les images disque au format .ISO et .IMG étant automatiquement montées dans le système de fichiers lorsqu'elles sont ouvertes, leur contenu s'affiche dans l'Explorateur Windows. De plus, ces types de fichiers ne présentent pas la « marque du Web » (MOTW), ce qui signifie que Windows n'avertira pas l'utilisateur que ces fichiers proviennent d'Internet.

L'attaquant a eu recours à toute une série de techniques pour inciter les victimes à exécuter le logiciel malveillant.

Source : CERT.PL :

L'un d'entre eux était un fichier de raccourci Windows (LNK) qui se faisait passer pour un document, mais qui exécutait en réalité une bibliothèque DLL cachée contenant les outils de l'acteur. La technique dite de « sideloading de DLL » a également été observée : elle consiste à utiliser un fichier exécutable signé pour charger et exécuter le code contenu dans une bibliothèque DLL cachée, en la plaçant dans le même répertoire sous un nom choisi en fonction des entrées de la table d'importation. À un stade ultérieur de la campagne, le nom du fichier exécutable comportait de nombreux espaces afin de rendre l'extension « .exe » difficile à repérer.

Outils utilisés

Outre ENVYSCOUT, Nobelium a utilisé divers outils à différentes étapes de la campagne. Ils figurent dans la liste suivante, issue de CERT.PL, accompagnée de liens vers une analyse technique détaillée de chacun d'entre eux :

• SNOWYAMBER  (s'ouvre dans un nouvel onglet) : un outil utilisé pour la première fois dans octobre 2022, qui exploite la vulnérabilité Notion7 service pour communiquer et télécharger d'autres fichiers malveillants. Deux versions de cet outil ont été observées.
• HALFRIG (s'ouvre dans un nouvel onglet) : utilisé pour la première fois dans février 2023. Cet outil se distingue des autres par le code intégré qui permet de faire fonctionner l'outil COBALT STRIKE.
• QUARTERRIG (s'ouvre dans un nouvel onglet) : un outil utilisé pour la première fois dans mars 2023, qui partage une partie de son code avec HALFRIG. Deux versions de cet outil ont été observées.

Source : CERT.PL :

Les outils SNOWYAMBER et QUARTERRIG ont été utilisés comme ce qu'on appelle des « downloaders ». Ces deux outils ont transmis à l'acteur l'adresse IP, ainsi que l'identifiant de l'ordinateur et le nom d'utilisateur. Ces éléments ont servi à déterminer si la victime présentait un intérêt pour l'auteur de l'attaque et s'il s'agissait d'un environnement d'analyse de logiciels malveillants. Si le poste de travail infecté passait avec succès la vérification manuelle, les programmes de téléchargement susmentionnés étaient utilisés pour déployer et lancer les outils commerciaux COBALT STRIKE ou BRUTE RATEL. HALFRIG, quant à lui, fonctionne comme ce qu’on appelle un « chargeur » : il contient la charge utile COBALT STRIKE et l’exécute automatiquement.

Bien que cette campagne soit quelque peu singulière dans la mesure où elle marque l’émergence d’un nouveau logiciel malveillant (qui a fait l’objet de diverses mises à jour et modifications tout au long de son déroulement), le CERT.PL décrit plusieurs éléments de l’opération comme reproductibles et énumère plus précisément les caractéristiques d’attaque suivantes :

1. La manière dont l'infrastructure est construite. L'auteur de cette campagne d'espionnage préfère exploiter des sites web vulnérables appartenant à des entités choisies au hasard.
2. Thème de l'e-mail. Tous les e-mails obtenus et utilisés dans le cadre de ces campagnes reprenaient le thème de la correspondance entre entités diplomatiques.
3. L'utilisation d'un outil connu sous le nom d'ENVYSCOUT. Ce script est utilisé par l'acteur depuis au moins 20219. Des modifications du code de l'outil ont été observées au cours de la campagne, mais elles n'ont pas eu d'incidence significative sur son fonctionnement.
4. Un lien vers l'outil ENVYSCOUT a été transmis à la victime sous la forme d'un lien intégré dans le corps de l'e-mail ou dans le corps d'un fichier PDF joint.
5. Utilisation des images disque au format ISO et IMG.
6. Utilisation d’une technique appelée « DLL Sideloading » , qui consiste à utiliser un fichier exécutable non malveillant et signé numériquement pour lancer les outils de l’acteur.
7. Utilisation des outils commerciaux « », « COBALT STRIKE » et « BRUTE RATEL ».

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

« Il convient de noter que les recommandations relatives à cette faille de sécurité spécifique existent depuis avril 2021. » Même si l'utilisation du terme « zero-day » dans le titre d'un article de blog ne manquera pas d'attirer l'attention, les professionnels de la cybersécurité ne s'accordent pas sur la question de savoir si cette faille particulière constitue réellement un exemple de vulnérabilité « zero-day ».

Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».