Dans le résumé de cette semaine, nous analysons un conseil conjoint en cybersécurité mettant en évidence l’utilisation de l’ingénierie sociale et de l’usurpation d’identité par des acteurs de cybermenace parrainés par l’État ayant des liens avec le gouvernement nord-coréen. Ensuite, CTI fournit un aperçu d’un rapport sur l’identité partagée d’un acteur malveillant appelé Asile Ambuscade, qui chevauche la frontière entre cybercriminalité et cyberespionnage. Enfin, CTI examine en profondeur un rapport sur les acteurs malveillants associés au ransomware Cyclops et sa nouvelle offre de vol d’informations.
1. Washington et Séoul exposent les cyberespions Kimsuky de Corée du Nord
Un conseil 1 juin conjoint en cybersécurité souligne l’utilisation de l’ingénierie sociale et de l’usurpation d’identité par Kimsuky (alias TA406 et Thallium), un groupe de menaces persistantes avancées parrainé par l’État ayant des liens avec la République populaire démocratique de Corée. Le rapport a été rédigé par le Federal Bureau of Investigation (FBI), le Département d’État américain et l’Agence nationale de sécurité (National Security Agency, NSA), ainsi que le National Intelligence Service (NIS) de la République de Corée (ROK), l’Agence nationale de police (National Police Agency, NPA) et le ministère des Affaires étrangères (Ministère des Affaires étrangères, MOFA).
L’activité malveillante prend en charge l’exploitation des réseaux informatiques (CNE) et cible les personnes qui travaillent dans des centres de recherche, des groupes de réflexion, des institutions universitaires et des organisations de médias d’information à travers le monde.
L’objectif principal du conseil conjoint est de mettre en évidence la méthodologie de Kimsuky en matière de cyberattaque, en particulier son utilisation de l’ingénierie sociale et de l’usurpation d’identité. Les agences estiment que l’exposition aux tactiques, techniques et procédures (TTP) de l’un des APT plus actifs et efficaces de la DPRK sensibilisera à leurs campagnes et aidera les cibles potentielles à utiliser des pratiques de cybersécurité de base.
Ce qu’il faut savoir sur Kimsuky
En activité depuis 2012, Kimsuky cible principalement les diplomates, les organisations non gouvernementales, les groupes de réflexion et les experts sur les questions liées à la péninsule coréenne.
À partir de l’enregistrement :
Les agences de renseignement et les chercheurs en cybersécurité affirment que le groupe est contrôlé par l’organisation de renseignement militaire de Corée du Nord, le Bureau général de reconnaissance (Reconnaissance General Bureau, RGB), qui a été sanctionné par le Conseil de sécurité des Nations Unies.
Comme l’explique le nouveau conseil conjoint, Kimsuky joue un rôle important dans le cyberprogramme de la DPRK, qui fournit au régime une grande partie de sa collecte de renseignements à grande échelle et permet une grande partie des capacités d’espionnage de la DPRK.
Les agences de cybersécurité alliées responsables de la co-rédaction du conseil conjoint, et les gouvernements qu’elles servent, évaluent que « les objectifs principaux du programme cybernétique du régime de la DPRK comprennent le maintien d’un accès constant aux informations actuelles sur les États-Unis, la Corée du Sud et d’autres pays d’intérêt pour entraver toute menace politique, militaire ou économique à la sécurité et à la stabilité du régime. »
Selon le conseil conjoint, Kimsuky est administrativement subordonné à un élément au sein de la RVB de Corée du Nord, et ses tâches dans ce rôle comprennent de s’engager dans de vastes cybercampagnes soutenant divers objectifs RVB et de collecter des données à l’appui des exigences de renseignement (IR) RVB depuis au moins 2012. Toutes les activités sont effectuées au service de la mission principale de Kimsuky : fournir des données volées et des informations géopolitiques précieuses au régime nord-coréen.
Comment Kimsuky utilise l’ingénierie sociale et le spear phishing
Les attaques par harponnage sont le principal moyen pour l’acteur de faciliter l’entrée initiale sur un réseau cible et d’accéder aux ressources et appareils de la victime.
Les opérateurs Kimsuky ont passé plus d’une décennie à affiner l’art de créer des communications frauduleuses, chaque message étant spécifiquement conçu pour attirer et tromper sa cible prévue et les inciter à initier involontairement une compromission.
À partir de l’avis conjoint :
Une campagne de spear-phishing de Kimsuky commence par une recherche et une préparation étendues. Les cybercriminels de la DPRK utilisent souvent des informations open source pour identifier les cibles de valeur potentielles, puis adapter leurs personas en ligne pour paraître plus réalistes et attrayants pour leurs victimes.
Les opérateurs de Kimsuky feront des efforts considérables pour prêter authenticité à une attaque de spear phishing. Par exemple, les acteurs de Kimsuky créeront des adresses e-mail destinées à ressembler étroitement aux adresses e-mail appartenant aux personnes réelles qu’ils cherchent à usurper ; ils enregistreront également des domaines authentiques dont le seul objectif est d’héberger le contenu malveillant d’un message d’hameçonnage ciblé. Les acteurs de la DPRK utilisent souvent des domaines qui, en un coup d’œil, ressemblent étroitement aux services Internet et aux sites médiatiques courants pour tromper plus efficacement les cibles.
Autres tactiques de spear phishing notables
Les acteurs de Kimsuky se font souvent passer pour des médias et des journalistes bien connus, en utilisant des domaines à faute de frappe pour envoyer des e-mails de spear phishing à partir d’adresses qui ressemblent étroitement à des sources légitimes.
Les cybercriminels de la DPRK adoptent généralement l’identité de personnes réelles pour gagner la confiance et établir un lien dans leurs communications numériques. Elles compromettent souvent les comptes de messagerie de personnes réelles, effectuant des recherches en enquêtant sur les communications légitimes dans la boîte de réception compromise pour sembler plus convaincantes au cas où l’acteur décide de s’insérer dans un fil de communication existant. Le fait d’examiner la boîte de réception de la victime d’usurpation d’identité permet également à l’acteur de rechercher de nouvelles cibles, tout en recueillant des informations précieuses telles que des listes de contacts, des clubs sociaux, etc. L’acteur de la DPRK peut également tirer parti de la signature e-mail de la victime pour élaborer des messages de spear phishing plus convaincants.
À partir de l’avis conjoint :
« Les cybercriminels de laPRK sont également connus pour compromettre les comptes de messagerie appartenant à des experts en politique étrangère et créer ensuite un compte de messagerie secondaire, en utilisant le compte de messagerie et l’identité de l’expert pour communiquer avec d’autres cibles importantes.
Les acteurs de Kimsuky utilisent également plusieurs personas pour engager une cible, souvent en utilisant des identités auxiliaires pour corroborer la validité de l’usurpation d’identité principale. Le transfert de messages à partir de sources fiables est une tactique similaire observée par les acteurs de la DPRK.
Bien que certains e-mails initiaux d’hameçonnage ciblé puissent contenir un lien ou un document malveillant (généralement protégé par mot de passe pour échapper aux mesures de sécurité des e-mails), il est beaucoup plus typique que l’e-mail initial ne contienne aucun contenu malveillant, car son objectif est d’établir un rapport, et surtout, la confiance.
Lorsqu’ils s’engagent avec succès auprès d’une cible, les acteurs de la DPRK continuent à compromettre le compte, l’appareil ou le réseau appartenant à la cible en poussant du contenu malveillant, souvent sous la forme d’une macro malveillante intégrée dans un document texte. Selon l’avis conjoint, ce document est soit joint directement à l’e-mail, soit stocké dans un service d’hébergement de fichiers tel que Google Drive ou Microsoft OneDrive. Ces macros malveillantes, lorsqu’elles sont activées, établissent silencieusement des connexions avec l’infrastructure de commande et de contrôle (C2) Kimsuky, l’objectif étant d’acquérir l’accès à l’appareil de la cible.
Dans certains cas, les acteurs de Kimsuky développent des versions frauduleuses, bien que hautement convaincantes, de sites Web, portails ou applications réels pour la collecte d’informations d’identification.
À partir de l’avis conjoint :
Le compromis d’un compte cible peut entraîner un accès persistant aux communications d’une victime, souvent via un logiciel malveillant utilisé par les acteurs de Kimsuky appelé BabyShark. Les acteurs de Kimsuky sont également connus pour configurer le compte de messagerie d’une victime afin de transférer silencieusement automatiquement tous les e-mails vers un autre e-mail contrôlé par un acteur.
Les acteurs malveillants se font souvent passer pour des journalistes, des universitaires et des chercheurs de groupes de réflexion et les ciblent avec des tactiques d’ingénierie sociale. Les communications provenant de telles usurpations d’identité sont souvent utilisées pour solliciter des réponses à des demandes liées à des politiques étrangères, mener des enquêtes, demander des entretiens, examiner des documents, demander des CV et proposer des paiements pour la rédaction de documents de recherche.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les renseignements ciblés pour le vol et l’exploitation par les acteurs parrainés par l’État de la DPRK, tels que Kimsuky, varient largement d’une campagne à l’autre. Par exemple, selon une déclaration faite par le ministère sud-coréen, Kimsuky a été, directement ou indirectement, engagé dans le développement satellite de la Corée du Nord « en volant des technologies de pointe sur le développement d’armes, le satellite et l’espace ». »
« D’habitude, la Corée du Nord a rejeté la critique de Washington et d’autres pays concernant le lancement, affirmant son droit souverain à l’exploration spatiale. »
« Comme indiqué ci-dessus, et réitéré par l’article de The Record sur le sujet, les campagnes d’usurpation d’identité par des groupes tels que Kimsuky sont dangereuses, car certaines cibles peuvent sous-estimer la menace que ces attaques représentent, « soit parce qu’elles ne perçoivent pas leurs recherches et communications comme sensibles par nature, soit parce qu’elles ne savent pas comment ces efforts alimentent les efforts plus larges de cyberespionnage du régime. »
2. Asile Ambuscade : crimeware ou cyberespionnage ?
Un nouveau rapport publié sur le blog We Live Security de l’ESET explore l’identité quelque peu partagée d’un acteur malveillant suivi sous le nom d’ Asile Ambuscade, qui chevauche la frontière entre la cybercriminalité, s’engageant dans la prolifération des logiciels criminels, et le cyberespionnage.
Qu’est-ce qu’Asile Ambuscade ?
L’asile Ambuscade est avant tout un groupe de cybercriminels, bien qu’il s’agisse d’un groupe qui s’engage dans un large éventail d’opérations de cyberespionnage « de côté ». Le groupe est en service depuis 2020.
L’existence et les activités du groupe ont été rendues publiques pour la première fois en mars 2022, grâce à des chercheurs de Proofpoint décrivant « une campagne d’ hameçonnage probablement parrainée par un État-nation utilisant le compte e-mail d’un membre du service armé ukrainien potentiellement compromis pour cibler le personnel du gouvernement européen impliqué dans la gestion de la logistique des réfugiés qui fuient l’Ukraine. »
Le fait que cette activité semblait sortir du bleu n’a pas été perdu par les chercheurs de Proofpoint, qui ont inclus le mot « ambuscade » — ou embuscade — dans son nom.
Cependant, de nombreux groupes et crises de menaces ont vu le jour dans le paysage des menaces au cours des années et des mois précédant l’épidémie du conflit Russie/Ukraine. Alors, qu’est-ce qui distingue ce groupe ?
Asylum Ambuscade est un groupe de crimeware qui cible les clients bancaires et les négociants de cryptomonnaies dans diverses régions, y compris l’Amérique du Nord et l’Europe. Le groupe mène également l’espionnage contre des entités gouvernementales en Europe et en Asie centrale. Et la plupart de ses implants utilisent des langages de script comme AutoHotkey, JavaScript, Lua, Python et VBS.
Alors, en oubliant un moment que nous parlons d’un acteur de cybermenace dont les compétences semblent plus adaptées à un collectif de cybercriminels motivé financièrement, examinons ce que passe l’asile Ambuscade en dehors des heures de travail : l’espionnage.
Campagnes de cyberespionnage
L’asile Ambuscade aurait participé à des campagnes de cyberespionnage depuis au moins 2020 ans. Les références du blog de We Live Security observent des attaques antérieures contre des fonctionnaires et des employés d’entreprises nationalisées en Asie centrale et en Arménie comme preuve de ce fait.
D’après le rapport de Proofpoint, il est clair que le groupe a été observé ciblant le personnel officiel associé aux gouvernements de divers pays européens bordant l’Ukraine en 2022. L’objectif de ces campagnes était le vol d’informations et d’informations d’identification de messagerie Web provenant des portails de messagerie Web officiels exploités par les personnes gouvernementales ciblées.
Les attaques qui comprenaient ces campagnes ont souvent commencé par des e-mails de spear phishing accompagnés de pièces jointes Excel armées avec un code VBA malveillant. Ce code était responsable du téléchargement des packages MSI à partir d’un serveur distant sous le contrôle des attaquants, et de l’installation de SunSeed, qui est un téléchargeur écrit dans Lua.
Cela ne signifie pas que les pièces jointes n’avaient pas de variations. En juin, 2022 Asylum Ambuscade a exploité la vulnérabilité largement signalée de Follina (CVE-2022-30190). Il s’agissait d’un écart significatif par rapport à l’utilisation habituelle du code VBA malveillant.
Dans ces variations d’attaque, si les attaquants trouvaient que l’appareil ciblé valait la peine d’être déployé, ils déploieraient l’étape suivante : l’installation d’AHKBOT. AHKBOT est un téléchargeur écrit dans AutoHotkey dont la fonctionnalité peut être étendue à l’aide de divers plug-ins, qui facilite la collecte d’informations à partir de la machine compromise. Il ne s’agit que d’un échantillon de la boîte à outils du groupe.
Campagnes de cybercriminalité
L’asile Ambuscade aurait participé à des campagnes de cybercriminalité motivées financièrement depuis le début de l’année 2020. Et puisque janvier 2022 ses opérations cybercriminelles ont un nombre impressionnant de 4 500 victimes mondiales. La victimologie du groupe est principalement dispersée en Amérique du Nord, mais les victimes ont également été enregistrées en Asie, en Afrique, en Europe et en Amérique du Sud.
En ce qui concerne les modèles de ciblage de l’asile Ambuscade, la victimologie du groupe est assez diversifiée et comprend des personnes, des négociants de cryptomonnaies et un éventail de petites et moyennes entreprises (PME) appartenant à divers secteurs verticaux de l’industrie.
Bien que l’objectif sous-jacent à une grande partie de l’activité et du ciblage de l’acteur malveillant soit assez évident (par exemple, le groupe cible les traders de cryptomonnaie dans le but de voler la cryptomonnaie), certains de ses objectifs ne sont pas si évidents à première vue. Par exemple, les auteurs de l’article de blog concèdent que l’on en sait peu sur les manières dont l’asile Ambuscade monétise l’accès aux PME. Cependant, les chercheurs supposent que l’acteur peut simplement vendre l’accès à d’autres organisations cybercriminelles qui exploitent ensuite l’accès volé pour déployer des rançongiciels ou se livrer à d’autres types d’extorsion/vol de données. Les auteurs notent également que cela ne s’est pas matérialisé dans aucune télémétrie observée.
Lorsqu’il s’agit de la chaîne d’attaque exploitée par l’asile Ambuscade pour soutenir ses activités criminelles, il existe un chevauchement significatif entre le cycle de compromission utilisé pour aider à atteindre les objectifs de cyberespionnage du groupe. La différence la plus évidente est le vecteur d’accès initial.
Selon le rapport, un vecteur de compromission secondaire utilisé par le groupe pendant les campagnes de cybercriminalité utilise des Google Ads malveillants, qui redirigent les victimes vers des sites Web qui fournissent des fichiers JavaScript malveillants.
De We Live Security :
Plusieurs redirections HTTP dans un système de direction du trafic (TDS). La TDS utilisée par le groupe est appelée 404 TDS par Proofpoint. Il n’est pas exclusif à Asylum Ambuscade et nous avons observé qu’il était, par exemple, utilisé par un autre acteur malveillant pour livrer Qbot.
Le groupe a également développé des équivalents SunSeed en utilisant d’autres langages de script tels que Tcl et VBS, ainsi qu’un AHKBOT similaire dans Node.js, que les auteurs du rapport suivent sous le nom de NODEBOT.
Attribution
En raison des similitudes frappantes dans presque tous les aspects des chaînes de compromission, il est évident que les campagnes de cyberespionnage et les campagnes de cybercriminalité sont le travail d’un groupe unique. Cette affirmation est encore renforcée par le fait que SunSeed et AHKBOT ont été largement utilisés dans les attaques soutenant les deux objectifs. Les auteurs du document source pour cette vue d’ensemble doutent que SunSeed et AHKBOT soient actuellement vendus sur le marché souterrain.
De We Live Security :
Nous ne pensons pas que SunSeed et AHKBOT soient vendus sur le marché souterrain. Ces outils ne sont pas très sophistiqués par rapport à d’autres outils de crimeware à vendre, le nombre de victimes est assez faible s’il s’agit d’un ensemble d’outils partagé entre plusieurs groupes, et l’infrastructure réseau est cohérente entre les campagnes... En tant que tel, nous pensons que l’asile Ambuscade est un groupe de cybercriminels qui effectue un certain cyberespionnage de côté.
À partir de là, l’article de blog passe en détail très technique concernant l’ensemble d’outils d’Asylum Ambuscade, fournissant une analyse et un aperçu de tout, des fichiers JavaScript malveillants déployés pendant la plupart des campagnes de crimeware du groupe, aux téléchargeurs personnalisés de première étape, téléchargeurs de deuxième étape et aux nombreux plug-ins qui prennent en charge SunSeed et AHKBOT.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’asile Ambuscade est avant tout un acteur cybercriminel, car la motivation globale du groupe semble être de nature financière. »
« Dans cette optique, et parce qu’il est très inhabituel d’observer un éclairement de lune cybercriminel en exécutant des opérations de cyberespionnage dédiées, il est juste de dire que les activités d’espionnage attribuées à cet acteur pourraient tout à fait possiblement être un travail contractuel, effectué à la demande d’un gouvernement national non identifié à ce jour ou à la demande d’un groupe de piratage soutenu par le gouvernement cherchant à se distancer. »
« Il n’est pas inhabituel que les acteurs malveillants parrainés par l’État « exploitent » certains aspects de leur travail auprès des cyber mercenaires. Par exemple, des menaces persistantes avancées iraniennes me viennent immédiatement à l’esprit. Cependant, il semble qu’il y en ait plus que cela ne rencontre l’œil. CTI continuera de surveiller cette histoire en cours. »
3. Combo ransomware et voleur Cyclops : une double menace
Un rapport récent d’Uptycs examine les acteurs malveillants associés au ransomware Cyclops et à sa nouvelle offre de vol d’informations.
Le ransomware Cyclops cible tous les principaux systèmes d’exploitation, y compris Windows, Linux et macOS. L’opération promeut désormais un nouveau binaire conçu pour voler des données sur les appareils Windows et Linux.
Comment les chercheurs ont découvert Cyclops
Uptycs a trébuché sur un nouveau fournisseur de ransomware en tant que service (RaaS) offrant des services de ransomware ainsi qu’un binaire séparé à des fins de vol lors d’une session de surveillance du dark web de routine. L’acteur malveillant derrière le RaaS promeut ces offres sur divers forums et demande une partie des bénéfices réalisés par ceux qui utilisent ses services. Il fournit également un panneau séparé distribuant les ransomwares sur trois systèmes d’exploitation différents.
Analyse binaire des rançongiciels
Comme indiqué précédemment, le ransomware Cyclops possède des variantes pour Windows, Linux et macOS.
Windows
Uptycs a téléchargé le fichier d’archive Windows à partir du panneau d’administration Cyclops et a découvert l’existence du fichier binaire du générateur avec un fichier readme.txt.
L’acteur malveillant a partagé en privé un ID de constructeur pour créer une charge utile de rançon avec le name locker.exe. Cette charge utile est conçue pour infecter les machines locales et en réseau et le fichier texte qui l’accompagne contient les instructions d’exécution de la charge utile.
La charge utile analysera et identifiera les processus exécutés sur la machine ciblée et mettra fin à tous les processus qui pourraient potentiellement interrompre son processus de chiffrement.
La charge utile utilise l’API GetLogicalDriveStrings pour récupérer les informations du lecteur logique du système. Après avoir obtenu les lettres du lecteur, il énumère les dossiers et dépose une note de rançon intitulée « Comment restaurer vos fichiers.txt » sur le disque. Il vérifiera une extension de fichiers avant le chiffrement pour voir si elle correspond à une liste prédéfinie. S’il ne correspond pas, il chiffrera le fichier et ajoutera l’extension .cyclops.
Un pirate informatique utilisant ce binaire de ransomware peut obtenir des détails de copie fantôme à partir du système d’une victime en exécutant simplement une requête SELECT*FROM Wind32_ShadowCopy. Sa sortie inclut chaque ID de copie d’ombre, heure de création, volume, nom, etc. La charge utile lancera alors la suppression d’une copie fantôme spécifique, qui est identifiée par son ID. La suppression est effectuée via l’exécution de l’utilitaire de ligne de commande Windows Management Instrumentation (WMIC).
Linux
La variante Linux est un fichier compilé par golang avec ses noms de fonction supprimés pour rendre l’ingénierie inverse plus difficile.
Après avoir exécuté l’échantillon, Uptycs a trouvé qu’il fournissait des options pour chiffrer les fichiers dans un chemin spécifique, des machines virtuelles ou activer la sortie verbeuse.
Cette variante déposera une note de rançon dans chaque dossier en chiffrements, puis générera un rapport lié aux fichiers trouvés, aux fichiers cryptés, aux fichiers d’erreur cryptés, à l’heure, etc.
macOS
Le hachage pour cette variante est un fichier compilé par golang et se présente sous la forme d’un fichier binaire mach-O.
Lorsqu’il est exécuté, il fournit des options pour chiffrer les fichiers dans un chemin spécifique, des machines virtuelles ou activer la sortie verbeuse.
L’option choisie pour l’exécution de la rançon place les fichiers cryptés dans un dossier désigné avec la note de rançon.
Analyse binaire du voleur
Uptycs explore toujours les détails techniques des variantes de voleurs Cyclops, mais a fourni leurs connaissances actuelles.
Voleur Windows : Uptycs a téléchargé le voleur Windows à partir du panneau d’administration Cyclops. Après avoir extrait le fichier d’archive téléchargé, les chercheurs ont obtenu deux fichiers : stealer.exe et config.json.
Le voleur est un binaire exécutable pour les systèmes x64 et extrait diverses informations système des machines ciblées. Le voleur lit ensuite son fichier config.json qui contient une liste de noms de fichiers avec les extensions et tailles correspondantes.
Le voleur énumérera ensuite les répertoires et vérifiera l’existence de fichiers ciblés et d’extensions de fichiers spécifiques. Si une correspondance est trouvée, elle créera un nouveau fichier zip protégé par mot de passe qui inclut une copie exacte du fichier ainsi que sa structure d’arborescence de dossiers. Ces données sont ensuite exfiltrées sur le serveur de l’acteur malveillant.
Voleur Linux : tout comme la variante Linux, deux fichiers ont été découverts à partir du fichier d’archive : stealer.linux et config.json.
Ce voleur commence par lire config.json, qui contient à nouveau une liste de noms de fichier avec les extensions et tailles correspondantes. Comme la variante Windows, elle énumère les répertoires, vérifie la présence de fichiers ciblés et d’extensions de fichiers, et crée un fichier zip protégé par mot de passe pour les correspondances.
Les fichiers zip sont ensuite téléchargés sur api[.]bayfiles[.]com/upload et api[.]anonfiles[.]com/upload.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cyclops est une opération RaaS relativement nouvelle qui a été récemment documentée pour la première fois. En plus de cibler Windows, Linux et macOS avec son ransomware, l’opération s’est étendue pour inclure une offre de logiciels malveillants voleurs d’informations. »
« Ces offres, associées à son schéma de chiffrement complexe, indiquent clairement que l’acteur malveillant derrière l’opération est sophistiqué. En gardant à l’esprit que Cyclops offre tout cela tout en n’ayant pas été présent depuis très longtemps, nous pouvons commencer à comprendre à quelle vitesse une opération de rançongiciel sans nom peut devenir une menace importante. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
