Dans le tour d'horizon de cette semaine, CTI dévoile les dernières activités des opérateurs du ransomware BlackCat, notamment les dernières mises à jour de leurs outils. Dans la suite de cet article, CTI examine deux acteurs malveillants nord-coréens relevant de l'État, qui font partie du groupe Lazarus, ainsi que leur récente exploitation de la faille CVE-2023-42793. Le rapport CTI se termine par une analyse détaillée de la manière dont les cybercriminels utilisent de nouvelles techniques pour compromettre les Mac, ce qui a conduit Apple à faire évoluer ses défenses et à renforcer la protection anti-malware intégrée.
1. Les opérateurs de BlackCat présentent l'utilitaire Munchkin
Les opérateurs à l'origine du ransomware BlackCat (s'ouvre dans un nouvel onglet) ont récemment annoncé des mises à jour de leurs outils, notamment un utilitaire appelé « Munchkin » qui permet aux acteurs malveillants de propager la charge utile de BlackCat vers des machines distantes et des partages au sein des réseaux.
Une instance de Munchkin récemment acquise est chargée dans une machine virtuelle Alpine personnalisée, ce qui permet à l'acteur malveillant d'utiliser des machines virtuelles (VM) pour contourner les solutions de sécurité.
À propos du ransomware BlackCat
BlackCat fonctionne selon le modèle « ransomware-as-a-service » (RaaS), ce qui permet à ses affiliés d'utiliser ses outils en échange d'une partie des bénéfices. Alors que ce groupe ciblait traditionnellement des victimes aux États-Unis, il a élargi son champ d'action et a évolué au fil des ans afin de tirer parti de capacités supplémentaires et de mécanismes de dissimulation.
BlackCat s'est historiquement concentré sur les victimes aux États-Unis. Cependant, cette famille de logiciels malveillants a récemment élargi son champ d'action en raison de sa popularité croissante. Cette famille de logiciels malveillants n'a cessé d'évoluer au fil des ans afin de tirer parti de nouvelles fonctionnalités et de nouveaux mécanismes de dissimulation.
BlackCat présente l'utilitaire Munchkin
Le groupe a récemment lancé un nouvel outil baptisé « Munchkin », qui propose un système d'exploitation basé sur Linux intégrant Sphynx, la dernière variante de BlackCat. Les opérateurs peuvent utiliser l'utilitaire Munchkin pour exécuter BlackCat sur des machines distantes ou chiffrer des partages SMB/CIFS distants.
- Le nouvel utilitaire Munchkin de BlackCat est transmis aux victimes sous la forme d'un fichier ISO qui est chargé dans une instance nouvellement installée du logiciel de virtualisation VirtualBox.
- Le fichier ISO est une implémentation personnalisée du système d'exploitation Alpine. L'auteur de la menace a probablement opté pour cette solution en raison de son faible encombrement. Lors de l'exécution du système d'exploitation, plusieurs commandes sont lancées, permettant au logiciel malveillant de modifier le mot de passe root de la machine virtuelle.
- Il génère ensuite une nouvelle session de terminal via l'utilitaire tmux intégré, qui sert à exécuter le fichier binaire malveillant nommé « controller », puis éteint la machine virtuelle.
- Le logiciel malveillant de contrôle est hébergé dans le répertoire /app, aux côtés de plusieurs autres fichiers associés. Parmi les fichiers importants, on peut citer /app/controller, /app/config et /app/payload. Plusieurs autres scripts Python sont également disponibles et peuvent être utilisés lors des mises à jour ultérieures au sein de la machine virtuelle. Bon nombre de ces scripts peuvent être utilisés pour effectuer des mouvements latéraux, extraire des mots de passe et permettre l'exécution ultérieure de logiciels malveillants.
Logiciels malveillants de type « controller »
Le logiciel malveillant de contrôle est écrit en Rust, d'une manière très similaire à celle de la famille de logiciels malveillants BlackCat.
Une fois exécuté, il déchiffrera plusieurs chaînes de caractères à l'aide d'une opération XOR unique à un octet. Il effectue ensuite des vérifications de base pour s'assurer que les fichiers de configuration et de charge utile attendus se trouvent bien dans le répertoire /app. Si cette option est activée, le fichier de configuration sera analysé. Sinon, le programme s'arrêtera en affichant un message d'erreur.
Le fichier /app/config contient des informations telles que les jetons d'accès, les identifiants de tâches, les identifiants des victimes, les URL des victimes de BlackCat, les types de fichiers et les chemins d'accès figurant sur la liste noire, ainsi que les hôtes et les partages à cibler pour le chiffrement. Il créera et montera ensuite le répertoire /payloads/, qui sert à héberger les instances de BlackCat. Le contrôleur utilisera le répertoire /app/payload comme modèle pour créer des exemples BlackCat personnalisés. Le fichier de modèle contient plusieurs marqueurs spécifiques que le contrôleur recherchera et utilisera pour modifier le fichier.
Les fichiers créés sont nommés à l'aide de valeurs incrémentielles au format /payloads/0. Une fois les charges utiles créées, le logiciel malveillant parcourra la configuration fournie dans le but d'infecter tous les lecteurs SMB/CIFS qui ont été spécifiés. Une fois que le logiciel malveillant aura terminé son exécution, la machine virtuelle s'éteindra et n'effectuera aucune autre action.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
BlackCat reste depuis un certain temps l'une des opérations de ransomware les plus actives. L'ajout constant de nouvelles fonctionnalités et de nouveaux outils au sein de l'entreprise, comme le tout dernier utilitaire Munchkin, contribue clairement à son succès durable.
La nouvelle tactique consistant à utiliser une machine virtuelle personnalisée pour déployer des logiciels malveillants gagne peu à peu en popularité parmi les auteurs de menaces, et nous pourrions y être de plus en plus confrontés dans un avenir proche.
2. Des membres du groupe nord-coréen Lazarus exploitent une faille de JetBrains TeamCity
Selon Microsoft, deux acteurs malveillants nord-coréens relevant d’une opération d’ , appartenant au groupe Lazarus , exploitent actuellement CVE-2023-42793 (s’ouvre dans un nouvel onglet). Cette vulnérabilité permettant l'exécution de code à distance affecte plusieurs versions du serveur JetBrains TeamCity, une application d'intégration continue et de déploiement continu (CI/CD).
Les auteurs de ces attaques exploitent probablement cette faille pour déployer des logiciels malveillants de type « porte dérobée » et mener des attaques visant la chaîne d'approvisionnement logicielle.
Diamond Sleet et Onyx Sleet
Les deux acteurs malveillants identifiés par Microsoft sont Diamond Sleet et Onyx Sleet (également connus sous les noms d' , Andariel). Ces deux entités font partie de ce groupe malfamé d'acteurs étatiques connu sous le nom de « groupe Lazarus ».
- Diamond Sleet cible généralement les médias, les prestataires de services informatiques et les entités du secteur de la défense à l'échelle mondiale ; on a récemment constaté qu'il s'en prenait également aux chercheurs en sécurité. Ce groupe a également mené par le passé des attaques de type « chaîne d'approvisionnement logicielle ».
- Onyx Sleet cible principalement les organisations spécialisées dans la défense et les services informatiques situées en Corée du Sud, aux États-Unis et en Inde. Ils ont recours à un large éventail d'outils pour assurer leur persistance et exploitent fréquemment des vulnérabilités de type « N-day » pour obtenir un accès initial.
Stratégie d'attaque n° 1 : Grésil de diamant
L'attaque commence par la compromission des serveurs TeamCity via la vulnérabilité CVE-2023-42793 .
À la suite de cette exploitation, Diamond Sleet a utilisé PowerShell pour télécharger des charges utiles supplémentaires à partir d'une infrastructure légitime qui avait été préalablement compromise. Ces charges utiles sont stockées dans le répertoire C:\ProgramData sous les noms Forest64.exe et 4800-84DC-063A6A41C5C, le premier vérifiant la présence du second.
Le contenu déchiffré du fichier 4800-84DC-063A6A41C5C correspond au fichier de configuration du logiciel malveillant ForestTiger. Le fichier Forest64.exe créera des tâches planifiées qui s'exécuteront au démarrage du système afin d'assurer la persistance du logiciel malveillant. Il exploitera également la porte dérobée ForestTiger pour extraire des identifiants via LSASS.
Attack path 2: Diamond sleet
Ce même acteur malveillant déploie également des charges utiles destinées à des attaques de détournement de l'ordre de recherche des DLL après avoir exploité la vulnérabilité CVE-2023-42793 . Pour ce faire, ils utilisent PowerShell afin de télécharger des DLL malveillantes depuis leur infrastructure. Cette DLL est placée à côté d'un exécutable légitime.
Lorsque le fichier Version.dll est chargé par le programme légitime clip.exe, il charge et déchiffre le contenu d'un fichier readme.md téléchargé depuis l'infrastructure de l'acteur malveillant. Ce fichier contient les données nécessaires au déchiffrement du code indépendant de la position intégré dans Version.dll, ce qui permet de lancer la phase finale du RAT. Le fichier exécutable de deuxième étape déchiffre un fichier de configuration contenant les URL que le logiciel malveillant utilisera pour C2. Une fois encore, Microsoft a constaté que l'acteur malveillant récupérait des identifiants via LSASS.
Attack path 3: Diamond sleet
La troisième méthode d'attaque observée est mise en œuvre par Onyx Sleet. Cela commence également par l'exploitation réussie de la faille CVE-2023-42793 .
Dans cet exemple, l'auteur de la menace crée, sur les systèmes compromis, un nouveau compte utilisateur nommé « krtbgt », qui sert probablement à usurper l'identité du compte Windows légitime « KRBTGT ». Ce compte est ensuite ajouté au groupe « Administrateurs locaux » à l'aide de la commande « net use ». Onyx Sleet déploie une charge utile unique qui est téléchargée depuis son infrastructure vers le fichier C:\Windows\Temp\temp.exe ou C:\Windows\ADFS\bg\inetmgr.exe. La charge utile déchiffrera une ressource PE intégrée, qui sera ensuite chargée en mémoire et exécutée. La charge utile interne est un outil proxy utilisé pour assurer la persistance ; elle a été identifiée comme étant HazyLoad.
On a également constaté que cet acteur malveillant utilisait le compte « krtbgt » qu’il avait créé pour se connecter à l’appareil compromis via RDP — arrêtant le service TeamCity, récupérant les identifiants via LSASS et déployant des outils pour extraire les identifiants stockés dans les navigateurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Microsoft observe cette activité depuis début octobre, bien qu'un correctif pour cette vulnérabilité de TeamCity ait été publié le mois dernier — ce qui met en évidence le fait qu'il existe encore des instances vulnérables qui n'ont pas encore été corrigées.
Les deux acteurs malveillants identifiés dans le cadre de cette activité sont tous deux affiliés au groupe Lazarus, mais ont utilisé des ensembles d'outils et des voies d'attaque différents après avoir exploité la vulnérabilité CVE-2023-42793 pour atteindre leurs objectifs.
Le groupe Lazarus et l'ensemble de ses réseaux affiliés constituent une menace sophistiquée et sont capables de mener des attaques destructrices. Leurs méthodes, techniques et procédures (TTP) évoluent rapidement à chaque attaque ; il est donc essentiel de vous tenir informé de leurs dernières activités et de vous assurer que vous disposez de mécanismes de détection adaptés.
3. Les cybercriminels ciblent macOS à l'aide de techniques en constante évolution
La version 2023 a introduit plusieurs nouvelles méthodes permettant de pirater les Mac. En conséquence, Apple fait évoluer ses mécanismes de défense et ajoute sans cesse de nouvelles règles à son outil anti-malware XProtect.
Un nouveau rapport de SentinelOne met en évidence l'une des principales menaces de type « » (malware) visant macOS (s'ouvre dans un nouvel onglet) , récemment découverte, et explique en détail comment les auteurs de ces menaces s'adaptent et modifient leurs méthodes pour parvenir à compromettre les appareils macOS.
La persistance n'est plus une priorité pour les auteurs de logiciels de vol d'informations
Cette année, on a constaté une augmentation du nombre de familles de logiciels malveillants pour macOS qui évitent délibérément de s'ancrer dans le système. C'est une caractéristique propre aux logiciels de vol d'informations, car ceux-ci ont tendance à atteindre leur objectif en une seule exécution.
Compte tenu de la valeur financière que peuvent représenter les données volées pour les cybercriminels, ceux-ci n'ont généralement pas besoin de rester présents sur l'appareil. Les données exfiltrées fournissent souvent aux acteurs malveillants ce dont ils ont besoin pour obtenir un accès plus étendu et compromettre davantage le système.
En plein essor : l'ingénierie sociale ciblée
Les cybercriminels ont désormais recours à des techniques d'ingénierie sociale plus sophistiquées, notamment dans le cadre d'incidents sur macOS.
Par exemple, certains logiciels malveillants pour macOS, tels que , RustBucket (s'ouvre dans un nouvel onglet),et , incitent les victimes à ouvrir un document « confidentiel » et à télécharger un lecteur de PDF qui exécute un logiciel malveillant en arrière-plan. RustBucket oblige les utilisateurs à contourner les mécanismes de sécurité de macOS d'Apple.
Les chercheurs ont également observé des logiciels malveillants moins sophistiqués ciblant les petites entreprises. La campagne MetaStealer sur macOS ciblait ses victimes à l'aide d'appâts d'ingénierie sociale tels que « cahier des charges publicitaires » et « Brief_Presentation-Task_Overview ». Ces fichiers étaient des images disque contenant un logiciel malveillant de vol d'informations déguisé en documents PDF.
Utilisation croissante des outils publics de sécurité offensive
Il est courant que les acteurs malveillants utilisent des outils de sécurité offensive destinés aux systèmes Windows, comme le montre clairement l'exemple de Cobalt Strike. On commence désormais à observer la même tendance dans le domaine des logiciels malveillants sous macOS. Par exemple, des projets tels que , Geacon (s'ouvre dans un nouvel onglet),et intègrent les fonctionnalités de Cobalt Strike dans des charges utiles basées sur Go. On en a observé un grand nombre intégrés dans des versions contrefaites d'applications d'entreprise telles que SecureLink, émettant des signaux vers le C2s.
L'outil open source de simulation d'attaques « red teaming » Mythic et diverses charges utiles telles que Poseidon ont également été observées lors de récentes campagnes ciblant macOS. Ces outils fonctionnent comme un implant et une suite d'administration C2 , à l'instar de Cobalt Strike. Poseidon intègre des fonctionnalités d'obfuscation et de communications chiffrées, offrant ainsi aux acteurs malveillants une boîte à outils puissante.
SentinelOne souligne que le service de blocage des logiciels malveillants d'Apple, XProtect, ne dispose pas encore d'une signature permettant de détecter les charges utiles de Poseidon, ce qui nécessite des mesures de sécurité supplémentaires.
Vivre des fruits du verger
Les techniques dites « Living-off-the-land » (LOLbin) ont toujours été utilisées dans le cadre d'attaques visant d'autres charges utiles. Mais sous macOS, on constate une prise de conscience croissante de l'existence de ces techniques, parfois qualifiées de « living-off-the-orchard » (LOOBins).
Parmi les outils intégrés les plus couramment utilisés, on peut citer :
- System_profiler pour la collecte de données sur les installations locales
- Sw_vers permet de récupérer la version et le numéro de build du système d'exploitation
- Curl pour le téléchargement et l'exfiltration de données
L'une des familles de logiciels malveillants les plus courantes observées dans la version 2023 et au cours des dernières années est celle d' , Adload (s'ouvre dans un nouvel onglet), qui utilise une combinaison de LOLBins.
Exploitation abusive de logiciels libres pour une intrusion initiale
JokerSpy (s'ouvre dans un nouvel onglet) : ce logiciel malveillant a fait son apparition cet été. Il contient plusieurs composants, notamment deux portes dérobées Python, l'outil de simulation d'attaques « red team » SwiftBelt, ainsi qu'un fichier Mach-O basé sur Swift qui tente de se faire passer pour le service XProtect d'Apple. Les chercheurs estiment que certaines de ces attaques ont été lancées à l'aide d'un générateur de codes QR infecté par un cheval de Troie, connu sous le nom de QRLog.
Protection des charges utiles à l'aide de logiciels malveillants modulaires à plusieurs niveaux
L'une des attaques les plus complexes de l'année visant la chaîne d'approvisionnement a compromis des entreprises en aval en raison d'une altération malveillante du logiciel client de routage d'appels 3CX’s , 3CXDesktopApp. Diverses étapes initiales et intermédiaires du logiciel malveillant ont été découvertes pour la partie macOS de la chaîne d'infection, mais la véritable charge utile de la phase finale reste inconnue. Les versions connues de ce logiciel malveillant avaient manifestement été conçues pour passer inaperçues et comptaient sur le fait que les utilisateurs lancent l'application infectée pour assurer leur persistance. Il a collecté des données limitées concernant le compte n° 3CX de l'hôte avant de transmettre ces informations à l'auteur de la menace et de s'autodétruire.
De même, l'attaque « » de JumpCloud (s'ouvre dans un nouvel onglet) , décrite dans juillet 2023 , s'est déroulée en plusieurs étapes afin d'assurer la furtivité et de protéger les charges utiles des dernières phases. Ces deux campagnes ont été attribuées à des acteurs malveillants liés à la RPDC, qui se sont particulièrement concentrés sur les attaques visant la chaîne d'approvisionnement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de SentinelOne met en lumière la manière dont les auteurs de menaces ciblent de plus en plus le système d'exploitation macOS. L'équipe de sécurité d'Apple semble s'être efforcée d'améliorer ses méthodes de détection des logiciels malveillants ciblant sa propre plateforme, mais les progrès ont été lents.
On peut en voir un exemple avec le logiciel malveillant « Atomic Stealer » pour macOS, dont la présence a été signalée pour la première fois en mai. Apple vient d'ajouter des règles concernant Atomic Stealer à XProtect en octobre. Cet exemple met en évidence l'importance d'identifier rapidement les menaces émergentes et de s'en prémunir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
