Tout d’abord, nous examinons les rapports d’une augmentation significative des attaques agressives et rapides par logiciels malveillants Qakbot, qui entraînent souvent le déploiement de ransomwares (Black Basta, pour être spécifique). Ensuite, CTI présente un aperçu de l’interdiction de la Commission fédérale des communications (FCC) sur l’importation et les ventes américaines d’appareils fabriqués par les fournisseurs chinois Huawei, Hikvision, ZTE et Dahua. Enfin, nous concluons avec un résumé d’un récent rapport Google Threat Analysis Group (TAG), qui relie la découverte de trois cadres de logiciels malveillants (conçus pour faciliter l’exploitation des vulnérabilités zero-day dans Chrome, Microsoft Defender et Firefox) à un fournisseur informatique commercial basé en Espagne.
1. Campagne agressive Qakbot/Black Basta ciblant les organisations américaines
Une publication récente sur le blog de Cybereason met en lumière l’augmentation largement signalée des infections par Qakbot dans les environnements clients appartenant principalement à des entreprises basées aux États-Unis, qui, selon les chercheurs, est une « campagne de rançongiciel potentiellement généralisée menée par Black Basta ».
Qui est Black Basta ?
Black Basta est un groupe de rançongiciels relativement nouveau, ayant émergé pour la première fois en avril 2022.
Black Basta a fait preuve d’affinité pour cibler les organisations aux États-Unis, au Canada, au Royaume-Uni, en Australie et en Nouvelle-Zélande. Il convient de noter que ce sont les pays qui composent l’alliance de renseignement « Five Eyes » (FVEY). Avec presque tous les autres gangs de rançongiciels qui valent sa peine, Black Basta est un défenseur de la tactique de la « double extorsion ».
Détails de la campagne
Dans sa dernière campagne, Black Basta exploite Qakbot pour gagner une tête de plage, ou un point d’entrée initial, et se déplacer latéralement au sein de réseaux ciblés.
Qakbot (alias QBot), comme la plupart des logiciels malveillants de son calibre, a commencé comme un cheval de Troie bancaire conçu pour voler des données financières, principalement via la capture d’informations d’identification et d’autres informations sensibles contenues dans les données de navigateur, les frappes, etc. Une fois que QakBot a réussi à infecter un environnement, le logiciel malveillant installe une porte dérobée permettant à l’acteur malveillant de supprimer des logiciels malveillants supplémentaires, souvent sous forme de ransomware.
Dans un exemple d’attaque observée par Cybereason, une infection par Qakbot a entraîné divers systèmes essentiels qui ont chargé Cobalt Strike, ce qui a finalement conduit au déploiement mondial du ransomware Black Basta. Pour entraver les efforts de récupération, les acteurs malveillants ont bloqué les victimes hors du réseau en désactivant les services DNS (une tactique observée par les chercheurs du GSOC dans plusieurs attaques).
Points clés à retenir
- L’acteur malveillant se déplace extrêmement rapidement. Dans les différents cas de compromission, Cybereason a identifié que l’acteur malveillant a obtenu des privilèges d’administrateur de domaine en moins de deux heures et est passé au déploiement de ransomware en moins de 12 heures.
- Haute gravité. Le GSOC de Cybereason évalue le niveau de menace comme ÉLEVÉ étant donné la campagne potentiellement généralisée menée par Black Basta.
- Campagne QBot généralisée ciblant les entreprises basées aux États-Unis. Les acteurs malveillants tirant parti du chargeur Qakbot ont lancé un grand réseau, ciblant principalement les entreprises basées aux États-Unis, et ont agi rapidement contre toutes les victimes de spear phishing qu’ils ont compromises avec succès. Au cours des deux dernières semaines, Cybereason a observé plus de 10 clients différents affectés par cette récente campagne.
- Verrouillage du réseau. Parmi les nombreuses infections par Qakbot identifiées, deux ont permis à l’acteur malveillant de déployer des rançongiciels, puis de verrouiller la victime hors de son réseau en désactivant le service DNS de la victime, ce qui rend la récupération encore plus complexe.
- Déploiement de Black Basta. Les compromissions particulièrement rapides observées par Cybereason ont conduit au déploiement du ransomware Black Basta.
- Déploiement de Qakbot. Cybereason n’est pas la seule organisation de recherche en cybersécurité à avoir enregistré une hausse des campagnes agressives de Qakbot. Les observations de Red Canary sur les menaces à la mode octobre 2022 indiquent que « le top 10 d’octobre inclut des menaces qui ne sont pas étrangères à notre liste des menaces à la mode. Qbot a remporté la première place pour le deuxième mois consécutif. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les partenariats entre les rançongiciels Black Basta et les familles de logiciels malveillants de premier plan ne sont pas nouveaux en eux-mêmes. L’importante légende ici est que nous semblons connaître l’un des cycles d’activité accrue de Qakbot, et que l’activité est, pour la plupart, limitée au ciblage d’entités basées aux États-Unis et dans les pays appartenant à certains de ses alliés les plus forts. »
2. Les États-Unis interdisent les ventes d’équipements Huawei, Hikvision, ZTE et Dahua
Le gouvernement américain a interdit la vente d’équipements auprès des fournisseurs chinois de télécommunications et de vidéosurveillance Huawei, ZTE, Hytera, Hikvision et Dahua en raison de prétendus « risques inacceptables pour la sécurité nationale » présentés par les appareils créés et distribués par les fabricants en question.
La FCC caractérise l’action comme la dernière étape des efforts de la Commission pour aider à sécuriser les réseaux de communication du pays.
Les points à retenir
Les éléments suivants consistent en des points à retenir notables basés sur les informations qui ont été divulguées au public au moment du signalement :
- L’impact. Il est interdit aux sociétés de communication jugées dignes d’être incluses sur la liste des fournisseurs interdits de la FCC d’importer et de vendre leur technologie (ainsi que tout fournisseur tiers) ou de maintenir une présence sur le marché américain.
- Toute la famille est au carrefour. L’interdiction couvre non seulement les sociétés mères nommées ci-dessus, mais également leurs filiales et sociétés affiliées.
- L’acte cible la technologie qui pose un risque inacceptable. Le terme vague « risque inacceptable », lorsqu’il est utilisé dans ce contexte, est l’étiquette que la FCC s’appliquera à tout fournisseur chinois suspecté par le gouvernement américain de voler des données de propriété intellectuelle, de recherche et de développement, de planter des portes dérobées dans leurs produits qui permettraient potentiellement au gouvernement de Pékin d’effectuer des opérations d’espionnage ou de s’engager dans une autre combinaison d’activités malveillantes. Si cela vous semble familier, c’est parce que c’est exactement ce dont les Feds ont précédemment accusé le fournisseur de télécommunications Huawei en 2019, selon une accusation du 28 janvier 2019 DoJ.
- Un problème continu. Les technologies de télécommunications de Huawei (5G en particulier) et de ZTE ont été interdites ou exclues au cours des dernières années dans plusieurs pays, y compris l’Australie, la Nouvelle-Zélande, l’Inde, le Japon, les États-Unis, le Canada, la Roumanie et le Royaume-Uni.
- L’acte est unanime. Les quatre membres de la FCC, qui ont des orientations politiques différentes, ont voté à l’unanimité pour adopter les nouvelles mesures contre les cinq entreprises technologiques chinoises.
- Ce n’est pas rétroactif. Bien qu’il ait été précédemment interdit aux entreprises de fournir des systèmes gouvernementaux américains et que le secteur privé ait été fortement découragé d’utiliser leur équipement, l’interdiction n’est pas rétroactive, donc théoriquement les entreprises peuvent poursuivre avec des ventes précédemment autorisées aux États-Unis. Cependant, la FCC a laissé la porte ouverte à la possibilité qu’elle puisse révoquer les autorisations précédentes.
Donc, qui et qu’est-ce qui est couvert ?
Conformément à la section 1,50002 des règles de la Commission, le Bureau de la sécurité publique et de la sécurité intérieure a été chargé de publier une liste d’équipements et de services de communication qui sont considérés comme présentant un risque inacceptable pour la sécurité nationale des États-Unis ou la sécurité et la sûreté des personnes des États-Unis.
Voici la liste, en l’état :
- Équipement de télécommunications produit par Huawei Technologies Company, y compris les services de télécommunications ou de vidéosurveillance fournis par ladite entité ou utilisant ledit équipement. À compter du 12 mars 2021
- Équipement de télécommunications produit par ZTE Corporation, y compris les services de télécommunications ou de vidéosurveillance fournis par ladite entité ou utilisant ledit équipement. À compter du 12 mars 2021
- Équipement de vidéosurveillance et de télécommunications produit par Hytera Communications Corporation, dans la mesure où il est utilisé à des fins de sécurité publique, de sécurité des installations gouvernementales, de surveillance de la sécurité physique des infrastructures critiques et d’autres fins de sécurité nationale, y compris les services de télécommunications ou de vidéosurveillance fournis par ladite entité ou l’utilisation de cet équipement. À compter du 12 mars 2021
- Équipement de vidéosurveillance et de télécommunications produit par Hangzhou Hikvision Digital Technology Company, dans la mesure où il est utilisé à des fins de sécurité publique, de sécurité des installations gouvernementales, de surveillance de la sécurité physique des infrastructures critiques et d’autres fins de sécurité nationale, y compris les services de télécommunications ou de vidéosurveillance fournis par ladite entité ou l’utilisation de cet équipement. À compter du 12 mars 2021
- Équipement de vidéosurveillance et de télécommunications produit par Dahua Technology Company, dans la mesure où il est utilisé à des fins de sécurité publique, de sécurité des installations gouvernementales, de surveillance de la sécurité physique des infrastructures critiques et d’autres fins de sécurité nationale, y compris les services de télécommunications ou de vidéosurveillance fournis par ladite entité ou l’utilisation de cet équipement. À compter du 25 mars 2022
- Produits, solutions et services de sécurité de l’information fournis, directement ou indirectement, par AO Kaspersky Lab ou l’un de ses prédécesseurs, successeurs, sociétés mères, filiales ou sociétés affiliées. À compter du 25 mars 2022
- Services de télécommunications internationaux fournis par China Mobile International USA Inc. sous réserve de la section 214 de la Loi sur les communications de 1934. À compter du 25 mars 2022
- Services de télécommunications fournis par China Telecom (Americas) Corp. sous réserve de la section 214 de la Loi sur les communications de 1934. À compter du 12 mars 2021
- Services de télécommunications internationaux fournis par Pacific Network Corp et sa filiale en propriété exclusive ComNet (USA) LLC sous réserve de la section 214 de la Loi sur les communications de 1934. À compter du 20 septembre 2022
- Services de télécommunications internationales fournis par China Unicom (Amériques) Operations Limited , sous réserve de la section 214 de la Loi sur les communications de 1934. À compter du 20 septembre 2022
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Pour nos lecteurs qui ont maintenu un certain degré de sensibilisation aux diverses controverses entourant l’équilibre géopolitique délicat entre les États-Unis et la Chine, en particulier en matière de technologie et de confidentialité des données, l’annonce de la FCC sera probablement moins que choquante. »
« La nouvelle vient à la suite de rapports selon lesquels TikTok, une plateforme de réseaux sociaux appartenant à la Chine, a été confrontée à des préoccupations concernant la confidentialité des données personnelles appartenant aux citoyens américains, a récemment fait l’objet d’une évaluation interne des risques, dont les résultats ont toutes confirmé les plus grandes craintes de Washington, sauf celles de Washington. »
3. Cadres conçus pour exploiter Chrome, Defender et Firefox 0 jours liés à une entreprise informatique commerciale en Espagne
Le Threat Analysis Group (TAG) de Google a lié une société informatique basée à Barcelone, en Espagne, appelée Variston IT, à la vente de cadres logiciels avancés qui exploitent les vulnérabilités dans Chrome, Firefox et Windows Defender.
Selon un récent article de blog d’Ars Technica, Variston « se facture en tant que fournisseur de solutions de sécurité de l’information sur mesure, y compris la technologie pour les intégrateurs SCADA (contrôle de supervision et acquisition de données) et Internet des objets intégrés, les correctifs de sécurité personnalisés pour les systèmes propriétaires, les outils de découverte de données, la formation à la sécurité et le développement de protocoles sécurisés pour les appareils intégrés. »
Cependant, l’entreprise vendrait un autre produit que les chercheurs ou les clients potentiels ne trouveront pas sur le site Web de l’entreprise : des cadres logiciels qui fournissent aux clients tout ce dont ils pourraient avoir besoin pour installer discrètement des logiciels malveillants sur des appareils à partir desquels ils ont l’intention de collecter des informations sensibles.
Le rapport TAG de Google se concentre principalement sur un exemple spécifique, qui est le cadre Heliconia.
À propos du cadre Heliconia
TAG a découvert le cadre Heliconia en raison d’une soumission anonyme au programme de signalement des bogues Chrome de Google. L’auteur aurait soumis trois bugs, chacun accompagné de ses propres instructions et d’une archive contenant le code source.
Lors de l’analyse, les chercheurs du TAG ont pu révéler l’existence de cadres conçus pour faciliter le déploiement des exploits à l’état sauvage. C’était un script dans le code source qui a pointé les analystes vers le développeur probable du framework : Variston IT.
Les chercheurs de Google caractérisent le cadre d’exploitation Heliconia de Variston IT comme une solution conçue pour permettre aux utilisateurs de faciliter facilement l’exploitation des vulnérabilités à 0 jour dans Chrome, Firefox et Microsoft Defender. Heliconia fournit tous les outils nécessaires pour déployer avec succès des charges utiles malveillantes sur les appareils de votre choix.
Les recherches de Google TAG concèdent que les cadres ont exploité les vulnérabilités que Google, Microsoft et Firefox ont corrigées à divers points entre 2021 et 2022.
Les chercheurs de TAG dépeignent une image convaincante d’un paysage de cybermenaces présentant un marché pour les exploits qui est devenu de plus en plus chaotique, avec un manque inquiétant d’organisation et aucune hiérarchie réglementaire dont parler. Variston n’est que la dernière d’une longue liste de fournisseurs qui s’efforcent de maintenir un placage de légitimité pendant qu’ils vendent des articles moins salés juste en dessous de la surface aux plus grands soumissionnaires, la galerie de clients d’un pirate qui inclut souvent des entités soutenues par l’État engagées dans des conflits physiques les uns avec les autres. La liste des fournisseurs impliqués dans cette activité ombragée est composée de noms familiers tels que NSO Group, Hacking Team, Accuvant et Candiru.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« ArsTechnica a vraiment frappé l’ongle sur la tête :
« Les recherches de TAG soulignent que l’industrie de la surveillance commerciale est florissante et s’est considérablement développée ces dernières années, créant un risque pour les internautes du monde entier. Les logiciels espions commerciaux mettent des capacités de surveillance avancées entre les mains des gouvernements qui les utilisent pour espionner les journalistes, les activistes des droits de l’homme, l’opposition politique et les dissidents. »
« Non seulement ce type de produit finit entre les mains de certains des régimes les moins salés du monde, mais les fournisseurs commerciaux de logiciels espions ont également transformé la technologie, qui était autrefois principalement le domaine des gouvernements disposant de ressources suffisantes, en une marchandise à laquelle les acteurs de menaces encore moins sophistiqués (et moins discrets) peuvent accéder et brandir à volonté. Il va sans dire qu’une telle circonstance présente un risque grave pour la sécurité en ligne. »
Pour plus de renseignements sur les menaces, consultez notre bibliothèque de résumés de renseignements sur les cybermenaces ici.
