Pour commencer ce tour d'horizon hebdomadaire, CTI se penche sur le groupe de ransomware « 8Base » et la récente recrudescence de son activité. CTI se penche ensuite sur Volt Typhoon, un groupe lié à la Chine spécialisé dans les menaces persistantes avancées (APT) qui utilise des techniques novatrices pour accéder aux réseaux cibles. Enfin, CTI examine un nouveau rapport révélant comment Andariel, un acteur malveillant soutenu par la Corée du Nord, a déployé l'année dernière un logiciel malveillant jusqu'alors inconnu dans le cadre de cyberattaques exploitant la vulnérabilité Log4j Log4Shell .
Le ransomware « 8Base » connaît un pic d'activité et menace les entreprises américaines et brésiliennes
L'unité d'analyse des menaces de VMware a publié son analyse (s'ouvre dans un nouvel onglet) consacrée au groupe de ransomware « 8Base », à qui elle attribue une forte recrudescence de l'activité en mai et juin de cette année.
Voici quelques points clés à retenir de ce rapport :
- Il semblerait que « 8Base » soit la suite d'un groupe de ransomware déjà bien établi, plutôt qu'une nouvelle opération. Cela s'explique par les similitudes observées dans les tactiques utilisées lors des récentes attaques par le ransomware 8Base .
- Le groupe de ransomware « 8Base », qui se décrit comme « de simples testeurs d'intrusion », est actif depuis mars 2022 , mais ce n'est qu' qu'il a lancé son site de divulgation de données (s'ouvre dans un nouvel onglet) en mai 2023. Le groupe a rapidement multiplié ses attaques au mois de mai, répertoriant environ 30 victimes sur son site de divulgation pour ce mois-là, contre moins de cinq le mois précédent.
- Le groupe de cybercriminels spécialisé dans les ransomwares récemment découvert était à l'origine d'environ 15 % de l'ensemble des attaques par ransomware en mai 2023. Pour replacer ce chiffre dans son contexte, le groupe LockBit, tristement célèbre , a été à l'origine de 18 % des attaques par ransomware au cours de ce même mois.
- Selon Malwarebytes et le groupe NCC (s'ouvre dans un nouvel onglet), , 8Base a été associé à un total de 67 attaques à la date du mai 2023. Parmi ces attaques, environ 50 % des victimes appartenaient aux secteurs des services aux entreprises, de l'industrie manufacturière et de la finance.
- Le programme « 8Base » semble cibler principalement les petites et moyennes entreprises (PME), la plupart des victimes se trouvant aux États-Unis et au Brésil.
8Base et RansomHouse : quel est le lien ?
VMware a constaté des similitudes importantes entre cette opération et celle menée par le groupe cybercriminel RansomHouse. Il est toutefois important de garder à l'esprit que RansomHouse utilise plusieurs types de ransomware, qui sont tous disponibles sur le dark web. Ce groupe ne dispose pas de son propre ransomware caractéristique.
Les chercheurs ont constaté une similitude de 99 % au niveau des caractéristiques linguistiques des notes de rançon diffusées par ces groupes. Ils ont également procédé à une comparaison côte à côte des sites de fuite de chaque groupe et ont constaté, une fois encore, que le langage utilisé était pratiquement identique. De plus, les pages d'accueil, les conditions générales d'utilisation et les pages de FAQ des deux sites de fuites ont été copiées mot pour mot.
En comparant ces deux groupes de menaces, les chercheurs n'ont relevé que deux différences majeures. La première différence majeure réside dans le fait que RansomHouse met en avant ses partenariats et recherche activement de nouveaux partenaires, contrairement à 8Base . La deuxième différence majeure concerne la mise en page et la conception des pages consacrées aux fuites elles-mêmes.
Le ransomware 8Base et Phobos
Alors que des chercheurs étaient à la recherche d'un échantillon de ransomware appartenant au groupe « 8Base ransom », ils sont tombés sur un échantillon du ransomware Phobos qui utilise l'extension de fichier .8base pour ses fichiers chiffrés.
Une analyse plus approfondie a révélé que la version 8Base utilisait Phobos version 2,9,1 , intégrant SmokeLoader. Étant donné que Phobos fonctionne comme une plateforme de ransomware-as-a-service (RaaS) de typ , il n'est pas surprenant que cela se soit produit. Les auteurs de ces attaques peuvent adapter certains éléments du rançongiciel à leurs propres besoins, comme c'est probablement le cas ici.
Si la version 8Base offrait davantage de possibilités de personnalisation grâce à l'extension de fichier .8base , le format de l'ensemble de la partie ajoutée était identique à celui de Phobos. Il comprenait une section « Identifiant », une adresse e-mail et une extension de fichier.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même si LockBit et Cl0p semblent dominer le secteur des ransomwares ces derniers temps, 8Base semble prêt à relever le défi. » « En effet, ce groupe s'est hissé parmi les deux principaux groupes de rançongiciels au cours des 30 derniers jours. »
« Malheureusement, il n'existe pas beaucoup d'informations accessibles au public concernant les méthodologies, les tactiques ou les motivations sous-jacentes de ce groupe. »
VMware résume ainsi son point de vue concernant ce groupe :
Pour l'instant, nous ne pouvons que supposer qu'ils utilisent plusieurs types de ransomware différents – soit des variantes antérieures, soit dans le cadre de leurs procédures opérationnelles habituelles. Ce que nous savons, c'est que ce groupe est très actif et qu'il cible les petites entreprises.
« Même si l'on sait encore peu de choses sur ce groupe, 8Base reste à ce jour l'une des principales opérations de rançongiciel en activité de cet été. »
2. Le groupe APT « Volt Typhoon », lié à la Chine, utilise des techniques inédites pour accéder aux réseaux cibles
Des chercheurs de CrowdStrike affirment avoir observé le groupe de menaces persistantes avancées (APT) lié à la Chine, connu sous les noms d’ , Volt Typhoon (s’ouvre dans un nouvel onglet) , utiliser des techniques inédites pour obtenir un accès initial aux réseaux ciblés.
L'équipe Falcon Complete de CrowdStrike, spécialisée dans la détection et la réponse gérées (MDR), cite un incident récent lié à Volt Typhoon auquel elle a réagi, à la suite d'une détection déclenchée par des commandes de reconnaissance suspectes.
Qu'est-ce que Volt Typhoon ?
Volt Typhoon est un acteur malveillant soutenu par l'État et basé en Chine. Ce groupe APT sophistiqué se livre généralement à des activités de cyberespionnage et de collecte d'informations afin de répondre à des besoins en matière de renseignement (IR) qui s'inscrivent dans le cadre des intérêts de l'État chinois.
Les premiers rapports accessibles au public concernant cet acteur mettent en évidence le recours quasi exclusif de Volt Typhoon aux techniques « living-off-the-land » (LotL) ainsi que son utilisation fréquente d'activités « hands-on-keyboard » afin d'échapper à la détection dans la mesure du possible.
Volt Typhoon serait actif depuis mi-2021. Elle vise des entités issues d'un large éventail de secteurs critiques, notamment l'administration publique, le secteur maritime, les communications, l'industrie manufacturière, les technologies de l'information, les services publics, les transports, le bâtiment et l'éducation.
Un rapport de Microsoft, rédigé en collaboration avec diverses agences multinationales de cybersécurité, indique que les récentes campagnes de cyberespionnage menées par « » (Volt Typhoon) (s'ouvre dans un nouvel onglet) consistent en des attaques furtives et ciblées qui, selon Microsoft, « visent principalement à accéder aux identifiants après la compromission et à recenser les systèmes réseau au sein d'organisations gérant des infrastructures critiques aux États-Unis ».
Les dernières opérations de Volt Typhoon
Le groupe Volt Typhoon a récemment été observé utilisant les exploits suivants : , ManageEngine Self-service Plus (s'ouvre dans un nouvel onglet),et afin d'obtenir un accès initial. Une fois cet accès obtenu, les attaquants s'appuyaient sur des webshells personnalisées pour faciliter la mise en place d'un accès persistant, ainsi que sur des techniques LotL pour permettre des mouvements latéraux.
L'équipe Falcon Complete de CrowdStrike, en collaboration avec l'équipe Falcon OverWatch chargée de la recherche de menaces au sein de l'entreprise, a réagi à une alerte déclenchée par des commandes de reconnaissance suspectes exécutées sur un serveur web Apache Tomcat sur lequel était installé ManageEngine ADSelfService Plus.
Source : CrowdStrike :
Les activités malveillantes décrites dans le rapport de détection comprenaient le recensement des processus, des tests de connectivité réseau, la collecte d'informations sur les utilisateurs et les groupes, le montage de partages, l'énumération des relations de confiance entre domaines via WMI, ainsi que le recensement des zones DNS via WMI. Les actions de VANGUARD PANDA [ci-après dénommé « Volt Typhoon – Tanium CTI »] ont révélé une bonne connaissance de l’environnement cible, comme en témoignent la succession rapide de leurs commandes, ainsi que le fait qu’ils disposaient de noms d’hôtes et d’adresses IP internes spécifiques à tester par ping, de partages distants à monter et d’identifiants en clair à utiliser pour WMI.
Au cours de l'enquête menée à la suite de la notification par CrowdStrike de l'activité de reconnaissance, l'équipe d'intervention en cas d'incident a rapidement maîtrisé l'hôte compromis, en l'isolant efficacement et en empêchant ainsi l'attaquant d'interagir davantage avec celui-ci.
Autres techniques d'espionnage observées
Bien que toutes les tactiques, techniques et procédures (TTP) associées à l’exploitation de CVE-2021-40593 (s’ouvre dans un nouvel onglet) aient été observées au cours de cet incident, les traces attendues dans les journaux, qui auraient permis de confirmer de manière définitive l’exploitation de cette faille CVE particulière par les attaquants, faisaient défaut.
Cela pourrait témoigner des efforts déployés par Volt Typhoon pour éviter d'être repéré et empêcher toute analyse a posteriori de ses activités.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« CTI continue de s'intéresser de près à Volt Typhoon et reste constamment à l'affût d'informations fiables décrivant en détail les évolutions et les améliorations apportées à la méthodologie et aux TTP de cet acteur. »
« L’analyse par CrowdStrike des TTP de Volt Typhoon, qui n’avaient jamais été documentées auparavant, constitue une information précieuse et exploitable qui peut être mise à profit pour protéger les organisations contre cette menace, ainsi que contre celles qui recourent à des tactiques similaires. »
3. Le groupe de pirates nord-coréen Andariel passe à l'attaque avec un nouveau logiciel malveillant, EarlyRat
Un nouveau rapport publié sur le blog SecureList de Kaspersky révèle que l’acteur malveillant soutenu par la Corée du Nord, identifié sous les noms d’ , Andariel et , a déployé l’année dernière un logiciel malveillant jusqu’alors inconnu — baptisé EarlyRat — dans le cadre de cyberattaques exploitant la vulnérabilité Log4j Log4Shell .
Les chercheurs de SecureList ont découvert cette campagne par hasard au cours d'une récente enquête et, après une analyse plus approfondie, ont mis au jour à la fois la famille de logiciels malveillants non répertoriée mentionnée ci-dessus et de nouveaux éléments venus s'ajouter à l'ensemble des tactiques, techniques et procédures (TTP) d'Andariel.
Andariel : un aperçu détaillé
Andariel, également connu sous les noms de « Silent Chollima » et « Stonefly », serait un sous-groupe du célèbre groupe nord-coréen « Lazarus Group » (), un acteur APT ( ) spécialisé dans les attaques de type « ».
Outre ses opérations de cyberespionnage visant des entités gouvernementales et militaires étrangères présentant un intérêt stratégique pour la Corée du Nord, Andariel mène des campagnes de cybercriminalité (s'ouvre dans un nouvel onglet) afin de générer des revenus et de soutenir l'économie en difficulté ainsi que les opérations militaires de ce pays, qui fait l'objet de nombreuses sanctions.
Comme le décrit un article consacré à ce sujet et publié par The Hacker News, parmi les principales armes de l’arsenal d’Andariel figurent une souche de ransomware appelée « » Maui (s’ouvre dans un nouvel onglet) ainsi que de nombreux chevaux de Troie d’accès à distance et portes dérobées tels que « Dtrack » (Valefor et Preft), « NukeSped » (s’ouvre dans un nouvel onglet) (Manuscrypt), MagicRAT (s'ouvre dans un nouvel onglet), et YamaBot. (s'ouvre dans un nouvel onglet)
L’exploitation de la vulnérabilité Log4Shell par l’acteur malveillant avait déjà été documentée par le Centre d’intervention d’urgence en matière de sécurité d’AhnLab (ASEC (s’ouvre dans un nouvel onglet)) et par Cisco Talos (s’ouvre dans un nouvel onglet), à la suite de ses attaques contre des serveurs VMware Horizon non corrigés en 2022.
Activité récemment recensée
Selon le rapport de SecureList, Andariel a de nouveau été observé en train d'infecter des machines en exécutant un exploit ( Log4j ), ce qui a également entraîné le téléchargement d'autres logiciels malveillants à partir du serveur de commande et de contrôle (C2).
Bien que les chercheurs de Kaspersky n’aient pas pu identifier le premier logiciel malveillant téléchargé par l’acteur, ils ont pu constater que l’exploitation de la vulnérabilité était immédiatement suivie du téléchargement de la porte dérobée « DTrack » du groupe.
Les chercheurs de Kaspersky ont pu reproduire les commandes exécutées par les attaquants, ce qui a immédiatement permis de constater que ces commandes étaient exécutées par un opérateur humain — comme en témoignent les nombreuses erreurs et fautes de frappe qu’ils ont observées.
Utilisation d'outils prêts à l'emploi
Les chercheurs de Kaspersky ont également pu identifier l'éventail d'outils prêts à l'emploi installés et déployés par les opérateurs d'Andariel au cours de la phase d'exécution des commandes ; ces outils ont par la suite été utilisés pour poursuivre l'exploitation de la cible.
Voici quelques exemples :
- Supremo - Accès à distance
- 3Proxy
- Câble d'alimentation
- Mastic
- Dumpert
- NTDSDumpEx
- ForkDump
EarlyRat : une présentation
Comme l'indique le rapport SecureList, les chercheurs de Kaspersky ont observé pour la première fois une version d'EarlyRat lors de l'enquête menée sur l'un des Log4j incidents attribués à Andariel.
À l'époque, on avait supposé que le logiciel malveillant avait été téléchargé via le Log4j. Cependant, la recherche d'autres échantillons a permis de découvrir des documents de hameçonnage, dont l'objectif final était d'injecter EarlyRat sur les appareils compromis.
Ce qui est intéressant, c'est que les e-mails de hameçonnage de type « » utilisés dans cette campagne ne sont pas très sophistiqués. De plus, ces documents de hameçonnage demandent également aux victimes d'activer les macros, ce qui est remarquable car de nombreux cybercriminels se sont tournés vers d'autres solutions, telles que les fichiers XLL, les images ISO et les fichiers MSI, depuis que Microsoft a désactivé les macros par défaut dans plusieurs applications Office l'année dernière.
Fonctionnalité
En ce qui concerne les fonctionnalités d'EarlyRat, ce logiciel malveillant est relativement simple. Il est capable d'exécuter des commandes — et c'est apparemment à peu près tout ce qu'il y a de plus passionnant avec cet appareil.
À l'instar de nombreux chevaux de Troie d'accès à distance (RAT), EarlyRat est conçu pour commencer à collecter des informations sur le système dès son lancement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même si EarlyRat n’est peut-être pas le logiciel malveillant le plus sophistiqué, le groupe Lazarus et ses sous-composants présentent un grand intérêt pour la CTI et méritent d’être suivis de près. » « La capacité de ces groupes à mener des opérations de cyberespionnage tout en menant simultanément des campagnes de cybercriminalité à des fins financières en fait une menace plus complexe et plus nuancée. »
« CTI reste à l’affût dès que nous avons connaissance de nouvelles TTP ou de nouveaux logiciels malveillants utilisés par Lazarus et ses homologues, car il s’agit d’un acteur malveillant qui utilise une grande variété d’outils (dont beaucoup sont développés sur mesure), met continuellement à jour les logiciels malveillants existants et développe souvent de nouveaux logiciels malveillants ainsi que de nouvelles méthodes pour les diffuser. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
