Pour commencer ce tour d'horizon hebdomadaire, nous allons nous intéresser aux développeurs à l'origine du célèbre logiciel malveillant « Raccoon Stealer », ainsi qu'à la fin de leur absence des forums de hackers. Par la suite, le CTI présente l'analyse réalisée par Mandiant concernant l'intérêt manifesté par les acteurs malveillants pour les capacités en matière d'IA. Enfin, CTI conclut par une analyse détaillée de l'opération menée par le ransomware Monti, après une interruption de deux mois.
1. Le logiciel malveillant « Raccoon Stealer » refait surface
Les développeurs à l'origine du célèbre logiciel malveillant « Raccoon Stealer » de (s'ouvre dans un nouvel onglet) ont mis fin à leur absence des forums de hackers et sont de retour pour promouvoir une nouvelle version. Cette découverte intervient quelques mois après l'arrestation de l'un de ses principaux opérateurs pour son implication dans l'opération « », un programme de malware-as-a-service (MaaS) de type « Raccoon » (s'ouvre dans un nouvel onglet) .
Racoon Stealer : une brève présentation
Raccoon Stealer a été repéré pour la première fois en 2019, alors qu'il faisait l'objet de publicités sur divers forums cybercriminels en tant que logiciel de vol d'informations. Ce logiciel malveillant a gagné en popularité grâce à sa simplicité, car il ne comportait pas de nombreuses fonctionnalités avancées et visait avant tout à faciliter le vol de données.
Les incidents liés à Raccoon commencent souvent lors de campagnes de « malspam », avec l'envoi de pièces jointes malveillantes. Ce logiciel malveillant se propage également par le biais de kits d'exploitation tiers et d'autres familles de logiciels malveillants.
À l'adresse octobre 2022, l'un des principaux opérateurs du groupe Raccoon Stealer, chargé de l'infrastructure de l'opération, a été arrêté. Le FBI a pu récupérer les données volées sur plusieurs ordinateurs infectés par ce logiciel malveillant. Cette arrestation a temporairement interrompu l'opération — jusqu'à récemment, lorsque Raccoon a annoncé son retour dans un message publié sur un forum de pirates informatiques.
Les nouvelles fonctionnalités de Raccoon
- Recherche rapide de cookies et de mots de passe : Un nouveau panneau d'administration vous permet de rechercher facilement des URL. Cette fonctionnalité permet de localiser rapidement et facilement des liens spécifiques au sein de vastes ensembles de données, même lorsqu'il s'agit de millions de documents et de milliers de liens différents. L'ajout d'un module de recherche rapide constitue une avancée significative pour ce logiciel malveillant, offrant ainsi un niveau de confort inédit aux auteurs de menaces.
- Blocage automatique des bots et affichage dans le panneau de contrôle : Le programme de vol d'informations dispose d'un nouveau système permettant de détecter des schémas d'activité inhabituels, tels que des accès multiples provenant d'une même adresse IP ou d'une même plage d'adresses. Ce comportement suspect entraîne la suppression automatique des enregistrements associés à cette activité, ce qui complique la détection du logiciel malveillant par les outils de sécurité d' qui s'appuient sur l'automatisation s et les bots.
- Système de signalement : Un système de signalement a été ajouté dans cette version afin de bloquer les adresses IP utilisées par les robots d'indexation et les bots, les empêchant ainsi de surveiller le trafic de Raccoon.
- Statistiques des journaux : Les statistiques des journaux permettent aux acteurs malveillants qui achètent ce logiciel de vol d'informations de consulter le classement des pays en fonction du nombre de journaux.
Remarques complémentaires
Comportement et capacités
Raccoon Stealer cible toute une série d'applications et utilise des techniques spécifiques pour voler des données. Il extraira le fichier de l'application contenant des données sensibles, le copiera dans un dossier temporaire, puis créera et enregistrera un fichier texte dans le dossier de l'application contenant les données volées.
Afin d'obtenir et de déchiffrer les identifiants des applications, il va récupérer et télécharger les DLL associées à l'application. Les données volées sont regroupées dans un fichier « log.zip » avant d'être envoyées au serveur de commande et de contrôle (C2) de l'acteur malveillant.
Panneau de commande
Les abonnés à Raccoon ont également accès à un panneau de contrôle centralisé hébergé sur un service « onion » du réseau Tor. Ce panneau leur permet de créer et de gérer les configurations de campagne, de générer des charges utiles du logiciel malveillant Raccoon et de consulter les données volées. Il est disponible en anglais et en russe et est accessible à l'aide d'un identifiant et d'un mot de passe, que l'on reçoit vraisemblablement lors de l'abonnement.
Le panneau de configuration utilise des ressources JavaScript accessibles sans authentification. Cela a permis aux chercheurs de déterminer certaines fonctionnalités actuelles. Il affiche également des informations relatives aux conditions d'utilisation et à la FAQ. La ressource JavaScript exposée a révélé les options de menu suivantes, accessibles aux administrateurs de Raccoon : tous les journaux, les statistiques, les actualités, les proxys et les utilisateurs.
Panneau des statistiques
Un tableau de bord statistique offre une vue d'ensemble des campagnes actives de Raccoon Stealer. La rubrique « Compte » affiche les soldes actuels, probablement liés aux fonds d'abonnement. Elle présente également les options de configuration de l'authentification multifactorielle (MFA) et une fonction de réinitialisation du mot de passe.
Builds/config
D'après la rubrique « FAQ », les abonnés peuvent générer une seule version ; toutefois, plusieurs configurations sont également prises en charge et peuvent être mises à jour ou téléchargées à partir de la campagne « C2 mid ».
Une fois la configuration définie et sélectionnée, le processus de compilation permet à l'acteur malveillant de créer une DLL ou un fichier exécutable afin de déployer et de lancer la charge utile. Le nouveau Raccoon MaaS permet également de tester la charge utile nouvellement développée dans une machine virtuelle gérée par les opérateurs de Raccoon. Le test enverra une notification à l'abonné via le panneau de contrôle, l'informant que l'exécution et la communication avec le C2 ont abouti..
Charge utile
De nombreux cybercriminels ont désormais recours à des pièces jointes malveillantes pour diffuser des charges utiles Racoon dans le cadre de campagnes de « malspam ».
Chaque charge utile tente de communiquer avec des URL apparemment inoffensives ou légitimes ; au cours de ce processus, une chaîne cryptée est collectée et traitée afin de récupérer la véritable URL C2 . Il communique actuellement avec des sites web proposant des services de raccourcissement d'URL pour Telegram.
Raccoon Stealer extrait les identifiants, les cookies et les données de cartes de paiement de nombreux navigateurs Web et portefeuilles de cryptomonnaies. Outre le vol de données, ce logiciel malveillant recueillera des informations sur le système, notamment des détails concernant la version du système d'exploitation, le matériel et les applications installées. Une archive ZIP d'exfiltration est utilisée pour transférer ces données vers un serveur C2 Gate.
Charges utiles supplémentaires
Une fois que Raccoon Stealer a terminé l'exfiltration des données, l'acteur malveillant peut lancer le téléchargement ou l'exécution de charges utiles supplémentaires. Ces charges utiles varient en fonction de l'objectif final de l'acteur malveillant. Parmi les observations récentes, on note notamment le déploiement de logiciels malveillants supplémentaires visant à maintenir un accès à distance, ainsi que de charges utiles de cryptojacking.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les mises à jour apportées au célèbre logiciel malveillant Raccoon Stealer montrent à quel point ses opérateurs gagnent en sophistication. » Cela montre également que l'intervention du FBI et les arrestations ne suffisent pas toujours à neutraliser les auteurs de menaces et les opérateurs de logiciels malveillants. »
« L'ajout d'un environnement de machine virtuelle permettant aux cybercriminels de déclencher et de tester leurs versions de Raccoon est une nouveauté et rendra sans doute ce logiciel de vol d'informations plus attractif. »
2. L'utilisation de l'IA générative reste limitée malgré un intérêt croissant
Depuis quelques années, Mandiant observe l'intérêt que portent les acteurs malveillants d' s aux capacités d'IA (s'ouvre dans un nouvel onglet). D'après leurs observations, l'utilisation de l'IA dans le cadre d'attaques reste limitée et concerne principalement l'ingénierie sociale.
Cela dit, l'IA est déjà largement utilisée dans la pratique, les acteurs du secteur exploitant actuellement du contenu généré par l'IA dans leurs campagnes.
Tirer parti de l'IA générative dans les opérations d'information
Selon Mandiant, les technologies d'intelligence artificielle sont susceptibles de renforcer considérablement les capacités des acteurs malveillants.
En effet, l'IA générative permet aux acteurs malveillants amateurs de créer du contenu de meilleure qualité à grande échelle, tout en éliminant les barrières linguistiques. Les contenus générés par l'IA pourraient également s'avérer plus convaincants. On en trouve un exemple dans les modèles d'IA entraînés à partir des voix de personnes réelles pour créer des enregistrements audio falsifiés.
L'adoption de l'IA par les acteurs opérationnels
L'adoption de l'IA variera probablement selon le type de média. Cela s'explique par la disponibilité des outils et par la capacité de chaque support à susciter une réaction émotionnelle.
- Images générées par l'IA : Mandiant a identifié plusieurs cas d'opérations utilisant des images générées par l'IA. La mise à disposition du grand public d'outils permettant de créer des images générées par l'IA a sans doute contribué à leur utilisation fréquente. Les cybercriminels ont pris des mesures supplémentaires pour masquer l'origine générée par l'IA de leurs photos de profil, en ajoutant des filtres ou en retouchant les traits du visage.
- Vidéo générée par l'IA : La technologie vidéo basée sur l'IA accessible au grand public se compose actuellement de modèles vidéo comportant des avatars personnalisables générés par l'IA, qui récitent des textes issus de la synthèse vocale, ainsi que d'outils de manipulation vidéo tels que les services d'échange de visages. Mandiant a constaté l'utilisation de ces technologies dans le cadre de campagnes menées ces dernières années. Par exemple, le groupe cybercriminel Dragonbridge a déjà utilisé, dans le cadre d'une campagne, un présentateur généré par IA.
- Texte généré par l'IA : Mandiant n'a observé qu'un seul cas où des acteurs menant des opérations d'information ont fait référence à un texte généré par l'IA. Toutefois, Mandiant prévoit que l'apparition récente d'outils accessibles au grand public pourrait entraîner une adoption rapide.
- Fichiers audio générés par l'IA : Mandiant n'a constaté que très peu, voire aucune utilisation de fichiers audio générés par l'IA. Ils ont constaté que les utilisateurs de ces technologies, comme 4chan, créaient des enregistrements audio de personnalités publiques tenant des propos inappropriés.
Amélioration des matériaux utilisés pour les leurres
Les acteurs malveillants peuvent utiliser des modèles linguistiques de grande envergure (LLM) pour générer des contenus plus convaincants, adaptés à des publics spécifiques, même sans comprendre la langue de la cible. Les modèles de langage de grande envergure (LLM) permettent aux cybercriminels de générer des textes efficaces dans le cadre de campagnes de hameçonnage.
Mandiant a également constaté que des acteurs animés par des motivations financières utilisaient des contenus vidéo et audio trafiqués dans le cadre d'escroqueries de type « Business Email Compromise » (BEC). On a également recensé des cas d'escroqueries par usurpation d'identité vocale générée par l'IA, dans lesquelles l'auteur de l'attaque se fait passer pour un membre de la famille de la victime afin de susciter une réaction émotionnelle.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« On parle beaucoup ces derniers temps de l’impact que l’IA pourrait avoir sur le paysage des menaces, et de la manière dont elle peut faciliter la tâche des acteurs malveillants. » « Mandiant décrit très bien certaines des situations potentiellement inquiétantes que cela pourrait entraîner, mais apporte également un peu de réconfort en soulignant que son utilisation dans la pratique reste pour l’instant limitée. »
« Étant donné que nous savons que les acteurs malveillants font régulièrement évoluer leurs TTP pour s'adapter aux nouvelles technologies, il n'est pas surprenant que de nombreux chercheurs prévoient une utilisation accrue de l'IA dans les campagnes à l'avenir. »
3. Le ransomware Monti cible les serveurs VMware ESXi avec un nouveau « locker » sous Linux
L'opération de ransomware Monti (s'ouvre dans un nouvel onglet) a repris ses activités après une interruption de deux mois durant laquelle elle n'avait plus publié la liste de ses victimes sur son site dédié aux fuites de données.
Le ransomware Monti utilise désormais un nouveau programme de verrouillage sous Linux pour cibler les serveurs VMware ESXi. La version précédente de « Locker » s'inspirait largement du code divulgué par Conti, mais les chercheurs de ont découvert (s'ouvre dans un nouvel onglet) que cette nouvelle variante présente des différences significatives par rapport à ses prédécesseurs basés sur Linux.
À propos du ransomware Monti
Le ransomware Monti existe en versions Windows et Linux et a commencé à attirer l'attention en juin 2022 en raison de sa ressemblance avec le ransomware Conti. Cette opération a exploité de nombreuses techniques, tactiques et procédures (TTP) largement reconnues du groupe malveillant Conti, tout en utilisant une grande partie du code source de Conti qui a fait l'objet d'une fuite.
Le groupe de ransomware Monti semble avoir fait une pause de deux mois avant de recommencer à publier les données de ses victimes sur son site de fuite de données, mais il a depuis repris ses activités en ciblant des victimes issues des secteurs juridique et gouvernemental. Leur retour s'accompagne d'une nouvelle variante de Monti basée sur Linux.
Les versions précédentes de Monti Linux reposaient en grande partie sur le code source de Conti, tandis que cette nouvelle version utilise un algorithme de chiffrement différent, présentant certains comportements distincts. Au moment de cette découverte, seuls trois fournisseurs avaient signalé cette variante comme malveillante sur VirusTotal. Trend Micro a comparé cette variante à d'anciennes variantes de Monti Linux et a constaté un taux de similitude de 29 %, ce qui indique que plusieurs modifications ont dû être apportées.
Marqueur d'infection
Une nouveauté de cette variante réside dans le fait qu'elle ajoute les octets « MONTI », suivis de 256 octets supplémentaires liés à la clé de chiffrement. Le ransomware vérifiera si la taille du fichier est inférieure ou égale à 261 octets, ce qui correspond à la taille du marqueur d'infection qu'il ajoute à la fin du fichier après le chiffrement.
Si cela s'avère vrai, le ransomware poursuivra son processus d'infection. Si ce n'est pas le cas, Monti vérifiera les 261 derniers octets du fichier afin de confirmer la présence de la chaîne « MONTI ». Si le fichier est déjà chiffré, il sera ignoré.
Chiffrement
Trend Micro a constaté que cette nouvelle variante de ransomware utilisait un cryptage de niveau AES-256-CTR via la fonction evp_enc de la bibliothèque OpenSSL, contre un niveau de Salsa20 utilisé dans l'ancienne variante. Ce nouvel échantillon utilise également diverses méthodes de chiffrement des fichiers, en se basant exclusivement sur la taille du fichier pour son processus de chiffrement.
Le ransomware ne chiffrera que les 100 000 premiers octets du fichier et ajoutera son marqueur d'infection à la fin du fichier si celui-ci compte plus de 1,048MB octets mais moins de 4,19MB. Si le fichier dépasse cette taille, le programme effectuera un décalage vers la droite pour calculer la taille totale du fichier à chiffrer. Tous les fichiers dont la taille est inférieure à 1,048MB seront chiffrés.
Comme pour les variantes précédentes, tous les fichiers sont dotés de l'extension .monti. La note de rançon, « readme.txt », est également placée dans chaque répertoire. De plus, Trend Micro a repéré un code de déchiffrement qui laisse penser que l'auteur pourrait être en train de tester son fonctionnement. Cependant, ce code de déchiffrement s'est avéré inefficace, car il nécessite une clé privée que seul l'auteur connaît.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le ransomware Monti n’a jamais vraiment fait la une des journaux en raison de son volume d’attaques relativement faible, mais cela ne signifie pas pour autant qu’il faille le négliger en tant que menace. »
Les auteurs de cette opération commencent désormais à s'écarter de l'utilisation stricte du code source de Conti qui a fait l'objet d'une fuite et y ajoutent de nouvelles fonctionnalités de leur cru. « Monti suit la voie tracée par de nombreux autres groupes de ransomware en s'efforçant d'améliorer sa capacité à échapper à la détection. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
