Dans notre tour d'horizon de cette semaine, nous analysons un avis conjoint sur la cybersécurité mettant en évidence le recours à l'ingénierie sociale et à l'usurpation d'identité par des acteurs malveillants soutenus par un État et liés au gouvernement nord-coréen. CTI présente ensuite les grandes lignes d'un rapport consacré à la double identité d'un acteur malveillant connu sous le nom d'« Asylum Ambuscade », qui se situe à la frontière entre la cybercriminalité et le cyberespionnage. Enfin, CTI analyse en détail un rapport consacré aux acteurs malveillants associés au ransomware Cyclops et à sa nouvelle fonctionnalité de vol d'informations.
1. Washington et Séoul démasquent les cyberespions nord-coréens de Kimsuky
Un avis conjoint sur la cybersécurité publié par l’ 1 juin , met en évidence le recours à l’ingénierie sociale et à l’usurpation d’identité par le groupe «» Kimsuky (également connu sous les noms de TA406 et Thallium) — un groupe de menaces persistantes avancées soutenu par un État et lié à la République populaire démocratique de Corée. Ce rapport a été rédigé par le Federal Bureau of Investigation (FBI), le Département d'État américain et l'Agence nationale de sécurité (NSA), en collaboration avec le Service national de renseignement (NIS), l'Agence nationale de police (NPA) et le ministère des Affaires étrangères (MOFA) de la République de Corée (ROK).
Cette activité malveillante servirait, selon certaines informations, à l'exploitation des réseaux informatiques (CNE) et ciblerait des personnes travaillant dans des centres de recherche, des groupes de réflexion, des établissements universitaires et des organes de presse à travers le monde.
L'objectif principal de cet avis conjoint est de mettre en lumière la méthodologie utilisée par Kimsuky pour mener ses cyberattaques, notamment son recours à l'ingénierie sociale et à l'usurpation d'identité. Les agences estiment que le fait de dévoiler les tactiques, techniques et procédures (TTP) de l’un des groupes APT les plus actifs et les plus efficaces de la RPDC permettra de mieux faire connaître leurs campagnes et aidera les cibles potentielles à mettre en œuvre des pratiques élémentaires en matière de cybersécurité.
Ce qu'il faut savoir sur Kimsuky
En activité depuis 2012, Kimsuky s'adresse principalement aux diplomates, aux organisations non gouvernementales, aux groupes de réflexion et aux experts sur les questions liées à la péninsule coréenne.
Source : The Record : (s'ouvre dans un nouvel onglet)
Les services de renseignement et les chercheurs en cybersécurité affirment que ce groupe est contrôlé par les services de renseignement militaire nord-coréens, le Bureau général de reconnaissance (RGB), qui a fait l'objet de sanctions de la part du Conseil de sécurité des Nations unies.
Comme l'explique la nouvelle note d'information conjointe, Kimsuky joue un rôle majeur dans le programme cybernétique de la RPDC, qui fournit au régime une part importante de ses activités de collecte de renseignements à grande échelle et constitue un élément essentiel des capacités d'espionnage de la RPDC.
Les agences alliées chargées de la cybersécurité, responsables de la rédaction conjointe de cet avis commun — ainsi que les gouvernements qu’elles servent — estiment que « les principaux objectifs du programme cybernétique du régime nord-coréen consistent notamment à maintenir un accès constant à des renseignements actualisés sur les États-Unis, la Corée du Sud et d’autres pays présentant un intérêt, afin de contrer toute menace politique, militaire ou économique pesant sur la sécurité et la stabilité du régime ».
Selon la note d’information conjointe, Kimsuky relève administrativement d’une entité au sein du RGB nord-coréen, et ses missions dans ce cadre consistent notamment à mener de vastes campagnes cybernétiques à l’appui de divers objectifs du RGB ainsi qu’à collecter des données pour répondre aux besoins du RGB en matière de renseignement (IR) depuis au moins 2012. Toutes ces activités s'inscrivent dans le cadre de la mission première et fondamentale de Kimsuky : fournir au régime nord-coréen des données volées et des informations géopolitiques précieuses.
Comment Kimsuky utilise l'ingénierie sociale et le spear phishing
Les attaques de phishing de type « spear » constituent le principal moyen utilisé par les cybercriminels pour s'introduire initialement dans un réseau cible et accéder aux ressources et aux appareils de la victime.
Les opérateurs de Kimsuky ont passé plus d’une décennie à perfectionner l’art de créer des communications frauduleuses, chaque message étant spécialement conçu pour séduire – et tromper – sa cible visée, afin de l’amener à se compromettre à son insu.
Extrait du communiqué conjoint :
Une campagne de spear-phishing menée par Kimsuky commence par un travail de recherche et de préparation approfondi. Les cyberacteurs nord-coréens ont souvent recours à des informations issues de sources ouvertes pour identifier des cibles potentielles présentant un intérêt, puis adaptent leurs identités en ligne afin de paraître plus crédibles et plus attrayants aux yeux de leurs victimes.
Les opérateurs de Kimsuky ne reculent devant rien pour donner un air de crédibilité à une attaque de spear-phishing. Par exemple, les pirates de Kimsuky créent des adresses e-mail destinées à ressembler fortement à celles des personnes réelles dont ils cherchent à usurper l'identité ; ils enregistrent également des noms de domaine d'apparence authentique dont le seul but est d'héberger le contenu malveillant d'un message de spear-phishing. Les acteurs nord-coréens utilisent souvent des noms de domaine qui, à première vue, ressemblent fortement à ceux de services Internet courants et de sites médiatiques, afin de tromper plus efficacement leurs cibles.
Autres techniques notables de spear-phishing
Les pirates de Kimsuky se font souvent passer pour des médias et des journalistes de renom, en utilisant des noms de domaine issus de « typosquatting » pour envoyer des e-mails de spear-phishing à partir d'adresses qui ressemblent fortement à celles de sources légitimes.
Les cyberacteurs nord-coréens se font souvent passer pour de vraies personnes afin de gagner la confiance de leurs interlocuteurs et d'établir un rapport de confiance dans leurs communications numériques. Ils piratent souvent les comptes de messagerie de personnes réelles, puis mènent des recherches en analysant les échanges légitimes présents dans la boîte de réception piratée afin de paraître plus convaincants au cas où l'auteur de l'attaque déciderait de s'immiscer dans un fil de discussion existant. En fouillant la boîte de réception de la victime d'usurpation d'identité, le pirate peut également rechercher de nouvelles cibles, tout en récupérant des informations précieuses telles que des listes de contacts, des clubs sociaux, etc. L'acteur nord-coréen peut également exploiter la signature électronique de la victime pour rédiger des messages de spear-phishing plus convaincants.
Extrait du communiqué conjoint :
« On sait également que des cybercriminels nord-coréens piratent des comptes de messagerie appartenant à des experts en politique étrangère, puis créent un compte de messagerie secondaire, en utilisant le compte et l’identité de l’expert pour communiquer avec d’autres cibles importantes. »
Les acteurs de Kimsuky ont également recours à plusieurs identités pour approcher une même cible, en utilisant souvent des identités secondaires afin de renforcer la crédibilité de l'usurpation d'identité principale. La transmission de messages provenant de sources fiables est une tactique similaire que l'on observe chez les acteurs nord-coréens.
Si certains e-mails initiaux de spear-phishing peuvent contenir un lien ou un document malveillant (généralement protégé par un mot de passe afin de contourner les mesures de sécurité de la messagerie), il est bien plus courant que l’e-mail initial ne contienne aucun contenu malveillant, son objectif étant d’établir un lien — et surtout, d’instaurer un climat de confiance.
Une fois qu’ils ont établi le contact avec une cible, les acteurs nord-coréens procèdent à la compromission du compte, de l’appareil ou du réseau de cette dernière en y injectant du contenu malveillant — souvent sous la forme d’une macro malveillante intégrée à un document texte. Selon l'avis conjoint, ce document est soit joint directement à l'e-mail, soit stocké sur un service d'hébergement de fichiers tel que Google Drive ou Microsoft OneDrive. Une fois activées, ces macros malveillantes établissent discrètement des connexions avec l'infrastructure de commande et de contrôle de Kimsuky (C2), dans le but d'obtenir l'accès à l'appareil de la cible.
Dans certains cas, les acteurs du groupe Kimsuky développent des versions frauduleuses — bien que très convaincantes — de sites web, de portails ou d'applications existants dans le but de collecter des identifiants.
Extrait du communiqué conjoint :
La compromission d'un compte cible peut permettre un accès persistant aux communications de la victime, souvent par le biais d'un logiciel malveillant utilisé par les acteurs du groupe Kimsuky, appelé BabyShark. On sait également que les pirates de Kimsuky configurent parfois le compte de messagerie d'une victime afin de transférer automatiquement et à l'insu de celle-ci tous ses e-mails vers une autre adresse contrôlée par les pirates.
Les acteurs malveillants se font souvent passer pour des journalistes, des universitaires et des chercheurs de groupes de réflexion, qu’ils ciblent à l’aide de techniques d’ingénierie sociale. Les communications issues de ces usurpations d'identité sont souvent utilisées pour solliciter des réponses à des questions liées à la politique étrangère, mener des enquêtes, demander des entretiens, examiner des documents, solliciter des CV et proposer des rémunérations pour la rédaction d'articles de recherche.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les données ciblées en vue de leur vol et de leur exploitation par des acteurs soutenus par l’État nord-coréen, tels que Kimsuky, varient considérablement d’une campagne à l’autre. » Par exemple, selon une déclaration du ministère sud-coréen, Kimsuky aurait participé, directement ou indirectement, au programme de développement de satellites de la Corée du Nord « en dérobant des technologies de pointe dans les domaines du développement d'armes, des satellites et de l'espace ».
« Comme à son habitude, la Corée du Nord a rejeté les critiques formulées par Washington et d’autres pays concernant ce tir, affirmant son droit souverain à l’exploration spatiale. »
« Comme indiqué ci-dessus, et comme le rappelle l’article du Record consacré à ce sujet, les campagnes d’usurpation d’identité menées par des groupes tels que Kimsuky sont dangereuses, car certaines cibles peuvent sous-estimer la menace que représentent ces attaques, « soit parce qu’elles ne considèrent pas leurs recherches et leurs communications comme sensibles, soit parce qu’elles ne se rendent pas compte que ces activités alimentent les efforts plus larges de cyberespionnage menés par le régime ». »
2. « Asylum Ambuscade » : logiciel malveillant ou cyberespionnage ?
Un nouveau rapport publié sur le blog « We Live Security » d’ESET explore la double identité d’un acteur malveillant suivi sous le nom d’ Asylum Ambuscade (s’ouvre dans un nouvel onglet), qui se situe à la frontière entre la cybercriminalité – consistant à diffuser des logiciels malveillants – et le cyberespionnage.
Qu'est-ce que « Asylum Ambuscade » ?
Asylum Ambuscade est avant tout un groupe spécialisé dans la cybercriminalité — même s’il mène « en parallèle » un large éventail d’opérations de cyberespionnage. Le groupe existe depuis l'an 2020.
L’existence et les activités de ce groupe ont été rendues publiques pour la première fois dans l’article « mars 2022 », grâce à des chercheurs de Proofpoint (s’ouvre dans un nouvel onglet) qui ont décrit « une campagne de phishing (s’ouvre dans un nouvel onglet) , probablement soutenue par un État-nation, utilisant le compte de messagerie d’un membre des forces armées ukrainiennes potentiellement piraté pour cibler des fonctionnaires européens impliqués dans la gestion logistique des réfugiés fuyant l’Ukraine ».
Le fait que cette activité ait semblé surgir de nulle part n’a pas échappé aux chercheurs de Proofpoint, qui ont intégré le mot « ambuscade » — ou embuscade — dans son nom.
Cependant, de nombreux groupes malveillants et leurs ramifications ont fait leur apparition sur la scène cybercriminelle au cours des années et des mois qui ont précédé le déclenchement du conflit entre la Russie et l'Ukraine. Alors, qu'est-ce qui distingue ce groupe ?
Asylum Ambuscade est un groupe spécialisé dans les logiciels malveillants qui cible les clients de banques et les traders de cryptomonnaies dans diverses régions, notamment en Amérique du Nord et en Europe. Ce groupe mène également des activités d'espionnage à l'encontre d'entités gouvernementales en Europe et en Asie centrale. Et la plupart de ses implants utilisent des langages de script tels qu'AutoHotkey, JavaScript, Lua, Python et VBS.
Ainsi, si l’on met de côté un instant le fait qu’il s’agisse d’un acteur malveillant dont les compétences semblent davantage correspondre à celles d’un groupe de cybercriminels motivés par l’appât du gain, examinons à quoi se consacre Asylum Ambuscade pendant son temps libre : l’espionnage.
Campagnes de cyberespionnage
Selon certaines informations, le groupe « Asylum Ambuscade » mènerait des campagnes de cyberespionnage depuis au moins 2020. Dans son article de blog, « We Live Security » cite comme preuve de ce fait les attaques antérieures dont ont été victimes des responsables gouvernementaux et des employés d'entreprises nationalisées en Asie centrale et en Arménie.
D'après le rapport de Proofpoint, il apparaît clairement que ce groupe a été observé en train de cibler des fonctionnaires liés aux gouvernements de divers pays européens limitrophes de l'Ukraine en 2022. L'objectif de ces campagnes était de dérober des informations ainsi que les identifiants d'accès aux portails de messagerie en ligne officiels utilisés par les fonctionnaires visés.
Les attaques qui composaient ces campagnes commençaient souvent par des e-mails de spear phishing accompagnés de pièces jointes Excel malveillantes contenant du code VBA malveillant. Ce code servait à télécharger des paquets MSI depuis un serveur distant contrôlé par les pirates, puis à installer SunSeed, un programme de téléchargement écrit en Lua.
Cela ne veut pas dire que les pièces jointes manquaient de variété. En juin, l'attaque « 2022 Asylum Ambuscade » a exploité la vulnérabilité « Follina » largement médiatisée (CVE-2022-30190 (s'ouvre dans un nouvel onglet)). Il s'agissait là d'une rupture notable par rapport à l'utilisation habituelle de code VBA malveillant.
Dans ces variantes d'attaque, si les pirates estimaient que l'appareil ciblé méritait qu'on y consacre davantage d'efforts, ils passaient à l'étape suivante : l'installation d'« AHKBOT ». AHKBOT est un outil de téléchargement écrit en AutoHotkey dont les fonctionnalités peuvent être étendues à l'aide de divers plugins ; il facilite la collecte de renseignements à partir de la machine compromise. Ce n'est là qu'un aperçu des outils dont dispose le groupe.
Campagnes de cybercriminalité
Selon certaines informations, le groupe « Asylum Ambuscade » mènerait des campagnes de cybercriminalité à des fins lucratives depuis le début de l'année 2020. Et depuis janvier 2022 , ses activités cybercriminelles ont fait pas moins de 4 500 victimes à travers le monde. Les victimes de ce groupe se trouvent principalement en Amérique du Nord, mais on en a également recensé en Asie, en Afrique, en Europe et en Amérique du Sud.
En ce qui concerne les stratégies de ciblage d’Asylum Ambuscade, le profil des victimes de ce groupe est assez varié et comprend des particuliers, des traders de cryptomonnaies ainsi qu’un large éventail de petites et moyennes entreprises (PME) issues de divers secteurs d’activité.
Si l'objectif sous-jacent à une grande partie des activités et des cibles de cet acteur malveillant est assez évident (par exemple, le groupe cible les traders de cryptomonnaies dans le but de leur voler des cryptomonnaies), certains de ses objectifs ne sont pas si évidents à première vue. Par exemple, les auteurs de cet article de blog reconnaissent que l'on sait peu de choses sur la manière dont Asylum Ambuscade tire profit de l'accès aux PME. Toutefois, les chercheurs émettent l'hypothèse que l'auteur pourrait simplement revendre cet accès à d'autres organisations cybercriminelles, qui l'utiliseraient ensuite pour déployer des logiciels de rançon ou se livrer à d'autres formes d'extorsion ou de vol de données. Les auteurs soulignent également que ce phénomène ne s'est manifesté dans aucune des données télémétriques observées.
En ce qui concerne la chaîne d'attaque mise à profit par Asylum Ambuscade dans le cadre de ses activités de « crimeware », on constate un chevauchement important avec le cycle de compromission utilisé pour faciliter la réalisation des objectifs de cyberespionnage du groupe. La différence la plus évidente réside dans le vecteur d'accès initial.
Selon le rapport, un vecteur d'attaque secondaire utilisé par le groupe lors de ses campagnes de cybercriminalité repose sur des publicités Google Ads malveillantes, qui redirigent les victimes vers des sites web hébergeant des fichiers JavaScript malveillants (s'ouvre dans un nouvel onglet).
Extrait de « We Live Security » :
Redirections HTTP multiples dans un système de gestion du trafic (TDS). Le TDS utilisé par le groupe est désigné sous le nom de « 404 TDS » par Proofpoint. Ce n'est pas une pratique exclusive à Asylum Ambuscade et nous avons constaté qu'elle était, par exemple, utilisée par un autre acteur malveillant pour diffuser Qbot.
Le groupe a également développé des équivalents de SunSeed utilisant d'autres langages de script tels que Tcl et VBS, ainsi qu'un programme similaire à AHKBOT en Node.js, que les auteurs du rapport désignent sous le nom de NODEBOT.
Mention de source
Compte tenu des similitudes frappantes observées dans presque tous les aspects des chaînes d'attaque, il apparaît clairement que tant les campagnes de cyberespionnage que celles de cybercriminalité sont l'œuvre d'un seul et même groupe. Cette affirmation est d'autant plus étayée que SunSeed et AHKBOT ont tous deux été largement utilisés dans le cadre d'attaques visant ces deux objectifs. Les auteurs du document source sur lequel s'appuie cette synthèse doutent que SunSeed et AHKBOT soient actuellement commercialisés sur le marché noir.
Extrait de « We Live Security » :
Nous ne pensons pas que SunSeed et AHKBOT soient vendus sur le marché noir. Ces outils ne sont pas très sophistiqués par rapport à d'autres outils de crimeware disponibles sur le marché ; le nombre de victimes est assez faible si l'on considère qu'il s'agit d'un ensemble d'outils partagé entre plusieurs groupes, et l'infrastructure réseau reste la même d'une campagne à l'autre... À ce titre, nous estimons qu’Asylum Ambuscade est un groupe de cybercriminels qui se livre également à des activités de cyberespionnage.
À partir de là, l'article de blog aborde des détails très techniques concernant la boîte à outils d'Asylum Ambuscade ; il propose une analyse et des éclairages sur tous les aspects, depuis les fichiers JavaScript malveillants déployés lors de la plupart des campagnes de « crimeware » menées par le groupe, jusqu'à ses téléchargeurs personnalisés de première et de deuxième phase, en passant par la myriade de plugins qui prennent en charge SunSeed et AHKBOT.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Asylum Ambuscade est avant tout un acteur malveillant spécialisé dans la cybercriminalité, car la motivation principale du groupe semble être d'ordre financier. »
« Dans cette optique, et étant donné qu’il est extrêmement rare de voir un cybercriminel exercer une activité secondaire consistant à mener des opérations de cyberespionnage ciblées, on peut raisonnablement affirmer que les activités d’espionnage attribuées à cet acteur pourraient très bien s’agir d’un travail réalisé sous contrat, à la demande du gouvernement d’un État-nation non encore identifié ou à la demande d’un groupe de pirates informatiques soutenu par un gouvernement cherchant à se dissocier de ces agissements. »
« Il n'est pas rare que des acteurs malveillants soutenus par des États « sous-traitent » certains aspects de leur travail à des cybermercenaires. » Par exemple, les APT iraniennes me viennent immédiatement à l'esprit. Cependant, il semble qu'il y ait ici plus que ce que l'on voit à première vue. « CTI continuera à suivre cette affaire en cours. »
3. Combinaison du ransomware Cyclops et d'un logiciel de vol de données : une double menace
Un rapport récent d'Uptycs se penche sur les acteurs malveillants associés au ransomware Cyclops d' : (s'ouvre dans un nouvel onglet) ainsi que sur sa nouvelle fonctionnalité de vol d'informations.
Le ransomware Cyclops cible tous les principaux systèmes d'exploitation, notamment Windows, Linux et macOS. Cette opération diffuse désormais un nouveau fichier binaire conçu pour voler des données sur des appareils fonctionnant sous Windows et sous Linux.
Comment les chercheurs ont découvert Cyclope
Au cours d'une session de surveillance de routine du dark web, Uptycs a découvert par hasard un nouveau fournisseur de services de rançongiciel (RaaS) , , proposant des services de rançongiciel ainsi qu'un fichier binaire distinct destiné au vol de données. L'acteur malveillant à l'origine du RaaS fait la promotion de ces offres sur divers forums et exige une part des bénéfices réalisés par ceux qui utilisent ses services. Il propose également un panneau distinct permettant de diffuser des ransomwares sur trois systèmes d'exploitation différents.
Analyse binaire des ransomwares
Comme indiqué précédemment, le ransomware Cyclops existe en plusieurs variantes pour Windows, Linux et macOS.
Windows
Uptycs a téléchargé le fichier d'archive Windows depuis le panneau d'administration de Cyclops et a découvert la présence du fichier binaire du générateur ainsi que d'un fichier readme.txt.
L'auteur de la menace a communiqué en privé un identifiant de générateur permettant de créer une charge utile de rançongiciel portant le nom « locker.exe ». Cette charge utile est conçue pour infecter aussi bien les ordinateurs locaux que ceux connectés au réseau, et le fichier texte qui l'accompagne contient les instructions d'exécution de cette charge utile.
La charge utile analysera et identifiera les processus en cours d'exécution sur la machine ciblée, puis mettra fin à tous ceux susceptibles d'interrompre son processus de chiffrement.
La charge utile utilise l'API GetLogicalDriveStrings pour récupérer les informations relatives aux lecteurs logiques du système. Une fois les lettres de lecteur obtenues, il répertoriera les dossiers et placera sur le disque une note de rançon intitulée « How To Restore Your Files.txt ». Il vérifiera l'extension d'un fichier avant son chiffrement afin de voir si elle correspond à une liste prédéfinie. Si la correspondance n'est pas établie, le fichier sera chiffré et l'extension .cyclops y sera ajoutée.
Un pirate utilisant ce fichier binaire de ransomware peut obtenir des informations sur les clichés d'ombre du système d'une victime en exécutant simplement une requête SELECT*FROM Wind32_ShadowCopy. Les informations affichées comprennent notamment l'identifiant de chaque image instantanée, sa date et heure de création, le volume concerné, son nom, etc. La charge utile lancera alors la suppression d'un cliché de sauvegarde spécifique, identifié par son ID. La suppression s'effectue à l'aide de l'utilitaire de ligne de commande Windows Management Instrumentation (WMIC).
Linux
La variante Linux est un fichier compilé en Go dont les noms de fonctions ont été supprimés afin de compliquer la rétro-ingénierie.
Après avoir exécuté l'exemple, Uptycs a constaté qu'il offrait la possibilité de chiffrer des fichiers situés dans un chemin d'accès spécifique, des machines virtuelles, ou d'activer un affichage détaillé.
Cette variante placera une note de rançon dans chaque dossier qu'elle chiffre, puis générera un rapport contenant des informations sur les fichiers détectés, les fichiers chiffrés, les fichiers chiffrés ayant généré une erreur, l'heure, et bien plus encore.
macOS
Le hachage de cette variante correspond à un fichier compilé en Go et se présente sous la forme d'un binaire Mach-O.
Une fois exécutée, cette commande vous permet de chiffrer des fichiers situés dans un chemin d'accès spécifique, des machines virtuelles ou d'activer l'affichage détaillé des informations.
L'option choisie pour l'exécution de la rançon place les fichiers chiffrés dans un dossier dédié, accompagnés de la note de rançon.
Analyse binaire de Stealer
Uptycs continue d'étudier en détail les aspects techniques des variantes du logiciel malveillant Cyclops, mais a communiqué les informations dont elle dispose à ce jour.
Logiciel de vol de mots de passe Windows : Uptycs a téléchargé ce logiciel depuis le panneau d'administration de Cyclops. Après avoir décompressé le fichier d'archive téléchargé, les chercheurs ont obtenu deux fichiers : stealer.exe et config.json.
Ce programme malveillant est un fichier binaire exécutable destiné aux systèmes x64 et extrait diverses informations système des machines ciblées. Le programme malveillant lit ensuite son fichier config.json, qui contient une liste de noms de fichiers avec leurs extensions et leurs tailles respectives.
Le pirate procédera ensuite à une analyse des répertoires afin de vérifier la présence des fichiers ciblés et de certaines extensions de fichiers. Si une correspondance est trouvée, le programme créera un nouveau fichier ZIP protégé par mot de passe contenant une copie exacte du fichier, ainsi que la structure arborescente de ses dossiers. Ces données sont ensuite exfiltrées vers le serveur de l'acteur malveillant.
Stealer pour Linux : à l'instar de la variante Linux, deux fichiers ont été découverts dans l'archive : stealer.linux et config.json.
Ce programme malveillant commence par lire le fichier config.json, qui contient lui-même une liste de noms de fichiers accompagnés de leurs extensions et tailles respectives. Tout comme la version Windows, ce programme répertoriera les répertoires, vérifiera la présence des fichiers et extensions de fichiers ciblés, puis créera un fichier ZIP protégé par mot de passe contenant les éléments correspondants.
Les fichiers ZIP sont ensuite mis en ligne sur api[.]bayfiles[.]com/upload et api[.]anonfiles[.]com/upload.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cyclops est une opération RaaS relativement récente qui a été documentée pour la première fois il y a peu. » « Outre le fait de cibler Windows, Linux et macOS avec son ransomware, cette opération s'est étendue pour inclure un logiciel malveillant destiné au vol d'informations. »
« Ces offres, associées à son système de chiffrement complexe, indiquent clairement que l'acteur malveillant à l'origine de cette opération dispose de moyens sophistiqués. » « Si l’on tient compte du fait que Cyclops offre toutes ces fonctionnalités alors qu’il n’existe que depuis peu, on commence à comprendre à quelle vitesse une opération de ransomware encore méconnue peut devenir une menace majeure. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une conversation.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».