Dans le tour d’horizon « Cyber Threat Intelligence » (CTI) de cette semaine (le 2022e et dernier article de la série !), nous analysons en détail un rapport récent de Cisco Talos décrivant une méthode de distribution du logiciel malveillant QakBot (QBot), récemment documentée par , qui exploite les fichiers SVG (Scalable Vector Graphics) et la technique de « smuggling » HTML pour assembler localement une charge utile malveillante. Nous allons maintenant nous intéresser à trois nouvelles familles de ransomwares, que Fortinet accuse d'être à l'origine d'une vague d'attaques en cours visant les systèmes Windows. Enfin, nous concluons par un aperçu du rapport « 2022 Adversary Infrastructure Report » de Recorded Future, qui met l’accent sur l’évolution des tendances relatives à l’infrastructure de commandement et de contrôle (C2) utilisée par les acteurs malveillants — notamment une augmentation de 30 % du nombre de serveurs uniques ( C2 ) détectés en 2022 par rapport à l’année dernière.
1. Les pirates utilisent des fichiers SVG pour introduire clandestinement le logiciel malveillant QBot sur des systèmes Windows
Un récent article publié sur le blog de Cisco Talos (s'ouvre dans un nouvel onglet) décrit en détail une nouvelle méthode de diffusion du logiciel malveillant QBot, qui utilise des fichiers SVG pour dissimuler du code HTML et, au final, assemble une charge utile malveillante localement sur les appareils des victimes.
Pour faire simple, lorsque la victime de cette attaque reçoit et ouvre la pièce jointe malveillante, son navigateur décode et exécute un script intégré, ce qui entraîne l'exécution d'une charge utile malveillante directement sur l'appareil de la victime.
Qu'est-ce que la « contrebande HTML » ?
« HTML smuggling » (s'ouvre dans un nouvel onglet)est une technique de diffusion de logiciels malveillants qui permet aux pirates de dissimuler un script malveillant encodé dans une pièce jointe d'e-mail au format HTML ou dans une page Web. Quel que soit le format dans lequel le code HTML est transmis, son ouverture entraîne le décodage du code malveillant qu’il contient et l’exécution de la charge utile sur l’appareil du destinataire. Cette technique permet à un pirate de créer le logiciel malveillant derrière un pare-feu, au lieu de devoir tenter de faire passer des fichiers exécutables malveillants à travers les défenses périmétriques.
Injection de code HTML via SVG
L'injection de code HTML peut s'effectuer de plusieurs manières différentes. Cependant, Cisco Talos a récemment constaté qu'un pirate avait mis en œuvre une technique de « smuggling » HTML relativement récente, impliquant l'utilisation d'images SVG.
Contrairement aux fichiers image JPEG, les images SVG sont vectorielles, ce qui signifie que leur taille peut être augmentée sans que la qualité de l'image n'en pâtisse. Ces images sont créées à l'aide du langage XML, ce qui permet de les intégrer facilement dans du code HTML.
Cisco Talos a identifié des e-mails malveillants comportant des pièces jointes HTML contenant des images SVG encodées qui comportent des balises de script HTML. L'intégration de balises <script> dans les images SVG est une fonctionnalité légitime du format SVG dont les pirates abusent pour introduire clandestinement du code malveillant sur l'appareil d'une victime. Avec cette technique, les pirates exploitent le fait que la plupart des navigateurs Web décodent et exécutent ce code comme s'il s'agissait d'une partie légitime du code HTML du document.
Le code malveillant dissimulé dans l'image SVG contient l'archive ZIP malveillante, de plus grande taille. Le logiciel malveillant est ensuite extrait et assemblé directement sur l'ordinateur de la victime. Étant donné que la charge utile du logiciel malveillant est créée directement sur l'ordinateur de la victime, cette technique permet aux attaquants de contourner les systèmes de détection de sécurité de base destinés à filtrer tout contenu malveillant entrant dans le réseau.
L'instance QBot
L'une des méthodes de diffusion connues de QBot consiste à pirater la messagerie électronique d'une victime et à répondre à un fil de discussion existant en joignant son logiciel malveillant en pièce jointe. Cette technique tire parti du fait que l'e-mail malveillant semble provenir d'une source légitime et fiable, ce qui augmente d'autant les chances que le destinataire interagisse avec le contenu de la manière souhaitée par le pirate. Dans le cas observé par Cisco Talos, les pirates ont répondu à un fil de discussion très ancien.
Lorsque la victime ouvre la pièce jointe, le code dissimulé dans l'image SVG se met en action et crée une archive ZIP malveillante. Une boîte de dialogue s'affiche alors pour vous proposer d'enregistrer le fichier. La pièce jointe au format HTML affiche un mot de passe dont les victimes auront besoin pour ouvrir l'archive ZIP chiffrée qui vient d'être créée sur leur ordinateur.
Dans la pièce jointe HTML, Cisco Talos a pu identifier le code utilisé par les pirates pour introduire clandestinement le code JavaScript sur l'appareil. Outre certaines techniques de dissimulation connues, les chercheurs ont également repéré une balise <embed> contenant l'image SVG base64-encoded . Une fois cette image décodée et le code JavaScript désobfusqué, Cisco Talos a identifié la technique de dissimulation dans le code HTML SVG utilisée dans cette campagne QBot.
- La fonction charCodeAt() sert à convertir le texte d'une variable JavaScript en un blob binaire. À l'aide de la fonction createObjectURL(), le blob binaire est ensuite converti en une archive ZIP que l'utilisateur est invité à enregistrer sur son système de fichiers local.
- Si la victime saisit le mot de passe fourni par l'attaquant et ouvre l'archive ZIP, elle peut extraire un fichier ISO. Ce fichier ISO est censé infecter la victime avec QBot.
Statistiques sur la contrebande de code HTML
Trustwave a récemment publié un article de blog indiquant que les pièces jointes au format HTML constituent toujours une menace, et l'activité susmentionnée observée par Cisco Talos le confirme sans aucun doute.
Trustwave a constaté que les pièces jointes au format HTML sont de plus en plus fréquentes dans ses pièges à spam. Sur une période de 30 jours, Trustwave a constaté que les fichiers HTML (11,39 %) et HTM (2,7 %), pris ensemble, constituaient le deuxième type de pièce jointe le plus souvent utilisé dans les spams, avec un total de 14,09 %.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La technique dite de « HTML smuggling » peut contourner les outils de sécurité traditionnels qui surveillent le trafic entrant, car elle permet d’assembler le code malveillant depuis l’intérieur même du réseau. » Cela met en évidence le besoin sans cesse croissant d'une protection des terminaux capable d'empêcher l'exécution de logiciels malveillants. »
« Bien que la technique de « HTML smuggling » ne soit pas nouvelle, elle gagne en popularité auprès des acteurs malveillants en raison de sa capacité, mentionnée plus haut, à contourner certains dispositifs de sécurité, tels que les filtres d'analyse de contenu. » « L'utilisation d'images SVG à des fins de « smuggling » HTML constitue un nouvel exemple illustrant la manière dont les acteurs malveillants font sans cesse évoluer leurs techniques pour rester dans la course et continuer à mener à bien leurs actions. »
2. Une nouvelle vague de familles de ransomwares est à l'origine d'attaques visant les systèmes Windows
Trois nouvelles familles de ransomwares (s'ouvre dans un nouvel onglet) sont à l'origine d'une vague d'attaques visant de plus en plus les systèmes Windows : Vohuk, ScareCrow et AESRT (également appelé AERST).
Comme indiqué dans le dernier rapport bimensuel « Ransomware Roundup » de Fortinet, les ransomwares Vohuk, ScareCrow et AERST présentent les caractéristiques communes suivantes :
- Plateformes concernées : Microsoft Windows
- des personnes concernées : les utilisateurs de Microsoft Windows
- de l'attaque : crypte les fichiers présents sur la machine infectée et exige une rançon pour leur décryptage
- du niveau de gravité : Élevé
Voici un aperçu détaillé de chaque famille de ransomware.
Ransomware Vohuk
Source : Fortinet :
« À l’instar de la plupart des ransomwares, cette nouvelle variante de Vohuk chiffre les fichiers des ordinateurs infectés et tente d’extorquer de l’argent aux victimes. » La note de rançon qu'il a laissée, intitulée « README.txt », demande aux victimes de contacter le pirate par e-mail en utilisant un identifiant unique attribué à chacune d'entre elles. Comme le montre la note de rançon, cette variante du ransomware Vohuk est la version 1,3, ce qui pourrait indiquer que le pirate a mis à jour le ransomware à plusieurs reprises. »
- Vorhuk crypte les fichiers et leur ajoute l'extension « .Vohuk ».
- Il remplace également les icônes des fichiers ciblés par une icône représentant un cadenas rouge (voir ci-dessous) et remplace le fond d'écran par son propre thème.
Source : Fortinet :
« Le rançongiciel laisse un mutex caractéristique, « Global\\VohukMutex », qui empêche différentes instances du rançongiciel Vohuk de s'exécuter sur le même système... » « D'après les lieux d'origine des fichiers envoyés à VirusTotal, le ransomware Vohuk a principalement touché l'Allemagne et l'Inde. »
Ransomware ScareCrow
Source : Fortinet :
« Le ransomware ScareCrow semble présenter certaines similitudes avec le tristement célèbre ransomware Conti : tous deux utilisent l'algorithme CHACHA pour chiffrer les fichiers et suppriment les clichés instantanés à l'aide de la commande wmic, en se basant sur les identifiants de ces clichés. » Ce n'est pas vraiment surprenant, car le code source du ransomware Conti aurait été divulgué plus tôt dans l'année. Cependant, l'acteur malveillant ScareCrow a consacré des efforts au développement de cette variante de ransomware, puisque notre analyse a mis en évidence certaines différences notables. « Par exemple, Conti chiffre toutes les chaînes de commande à l’aide d’une seule routine de déchiffrement, tandis que ScareCrow chiffre chaque chaîne, y compris le nom des DLL qu’il charge (à savoir « kernel32 »), le nom des API qu’il utilise, et même les chaînes de commande à l’aide de sa propre routine de déchiffrement. »
À bien des égards, ScareCrow est un ransomware classique. Il crypte les fichiers présents sur les ordinateurs des victimes et laisse une demande de rançon sous la forme d'un fichier nommé « readme.txt ». La note mentionne trois chaînes Telegram différentes que les victimes peuvent utiliser pour communiquer avec leurs attaquants, lesquels omettent généralement de préciser une demande financière dans leurs notes de rançon (ce qui pourrait indiquer que les attaquants souhaitent se réserver le droit de fixer un montant sur-le-champ, le cas échéant, lorsqu’ils sont contactés par le négociateur habilité de l’organisation victime).
Fortinet indique qu'au moment de la rédaction de cet article, aucune des trois chaînes Telegram n'était accessible.
Le ransomware ScareCrow ajoute également l'extension « .CROW » aux fichiers chiffrés.
Ransomware AERST
Source : Fortinet :
« AESRT est une nouvelle souche de ransomware que FortiGuard Labs a récemment détectée. » Il chiffre les fichiers présents sur les machines infectées et ajoute l'extension « .AESRT » aux fichiers qu'il chiffre. Au lieu de laisser une note de rançon, le ransomware affiche une fenêtre contextuelle contenant l'adresse e-mail du pirate. Il permet également de saisir la clé achetée, nécessaire au déchiffrement des fichiers victimes d'un rançongiciel. « Le ransomware supprime également les clichés d'ombre, ce qui empêche la victime de récupérer ses fichiers. »
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il est extrêmement imprudent (nous parlons ici de manière générale – il existe toujours des circonstances atténuantes, quelle que soit la situation) de verser une rançon aux groupes auteurs de ransomware. » Non seulement rien ne garantit que vos fichiers seront récupérés, mais rien ne garantit non plus que les criminels ne reviendront pas pour en réclamer davantage. Par ailleurs, divers organismes gouvernementaux américains, de nature et de compétence variées, ont déconseillé le paiement de rançons, soulignant que, dans de nombreux cas, cette pratique pourrait être considérée comme illégale. »
« Il est essentiel de rester vigilant face aux comportements et aux TTP (techniques, tactiques et procédures) auxquels recourent des groupes de ransomware tels que ceux décrits ci-dessus, tant avant que pendant leurs opérations, et de veiller tout particulièrement à rester attentif aux vecteurs d’accès initiaux privilégiés par ces groupes (tels que le déploiement de logiciels malveillants « précurseurs » – pensez à QBot et à son rôle dans la propagation du ransomware Black Basta –, souvent diffusés par le biais de campagnes de phishing sophistiquées). »
3. Recorded Future : le nombre de serveurs de commande et de contrôle a connu un pic en 2022
Le nouveau rapport de Recorded Future intitulé « 2022 Adversary Infrastructure Report » (s'ouvre dans un nouvel onglet) présente une analyse des infrastructures de commande et de contrôle (C2) identifiées à l'aide de méthodes proactives de balayage et de collecte tout au long de l'année 2022.
L'élément le plus marquant parmi les principales conclusions du rapport est sans doute l'augmentation du nombre de serveurs C2 distincts recensés en 2022 — soit une hausse de 30 % par rapport à l'année précédente. Cela montre clairement que les cybercriminels, tout comme les groupes d'attaques persistantes avancées (APT) soutenus par des États, recourent de plus en plus à ces appareils pour mener leurs attaques.
Un serveur « C2 » (s'ouvre dans un nouvel onglet) est, en substance, un ordinateur qui envoie des ordres aux appareils infectés. Les serveurs permettent aux acteurs malveillants de mettre en place des réseaux destinés à crypter des données, à lancer des attaques et à mener d'autres activités nuisibles.
Les auteurs du rapport affirment avoir recensé plus de 17 000 C2 serveurs en 2022, contre 13 629 serveurs identifiés l'année précédente.
En examinant les cinq principaux logiciels malveillants et frameworks d'exploitation associés à ces C2 serveurs au cours des trois dernières années, l'étude révèle une augmentation constante du nombre de C2 serveurs liés à Cobalt Strike, Meterpreter et PlugX (un cheval de Troie d'accès à distance très répandu, privilégié par les pirates informatiques soutenus par l'État chinois). Et ce, malgré l'âge avancé de ces outils-là.
Other significant contributing families include botnet families such as IcedID and QakBot (the latter of which seems to have experienced quite a successful year), as well as a fully re-emerged Emotet, which – along with QakBot, continued to expand C2 infrastructure throughout 2022.
Autres points à retenir de ce rapport
- Les chercheurs ont constaté un délai moyen de 33 jours entre la détection d'un serveur C2 grâce à leurs propres opérations de scan et sa mention dans d'autres sources.
- PlugX continue d'être largement utilisé, bien que ShadowPad soit présenté comme son « successeur ».
- Les changements intervenant au sein de l'infrastructure « C2 » financée par l'État russe peuvent rendre le suivi d'opérations spécifiques plus difficile que dans le cas d'autres entités attribuées à l'État.
- Comme on pouvait s'y attendre, ce sont les plus grands hébergeurs qui continuent d'enregistrer le plus grand nombre d'observations de serveurs C2 . Toutefois, on observe des changements dans le choix des fournisseurs utilisés pour les serveurs C2 , notamment une augmentation de plus de 300 % de l'hébergement chez Shenzhen Tencent Computer Systems, ce qui en a fait le fournisseur le plus populaire pour les serveurs C2s selon l'enquête de Recorded Future.
- La Chine a dépassé les États-Unis et est désormais le premier pays en termes de volume pour l'hébergement de C2 serveurs. Alors que la part des États-Unis sur les C2 serveurs est passée de 34 % à 22 %, celle de la Chine a augmenté de 14 % à 24 %, principalement en raison d'une hausse substantielle du nombre de détections ( C2 ) chez l'hébergeur chinois Shenzhen Tencent Computer Systems.
- En 2021, Recorded Future avait prédit un environnement C2 plus diversifié, dans lequel ses chercheurs constateraient une augmentation du nombre de détections grâce à de nouveaux outils. Cependant, la diversité qu'ils ont finalement observée résultait d'une diffusion plus large des outils déjà en usage plutôt que de l'utilisation de nouveaux outils.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« En ce qui concerne les prévisions relatives aux infrastructures d’attaques adversaires, de la version C2 à la version 2023, il semblerait raisonnable d’imaginer que des frameworks bien établis tels que Cobalt Strike et , ainsi que des botnets comme Emotet et QakBot, continueront d’occuper les premières places dans les classements issus d’études telles que celle décrite ci-dessus, bien que certains experts désignent Brute Ratel comme le successeur probable de Cobalt Strike en raison de son taux de détection plus faible parmi les solutions de détection et de réponse aux incidents sur les terminaux (EDR) . » « En fin de compte, ce sont les familles de logiciels malveillants, d’outils de post-exploitation et de botnets qui accordent une importance particulière à l’OPSEC, s’engagent dans un cycle continu de modifications de leur infrastructure et recourent à des TTP innovantes qui connaîtront le plus grand succès. »
Découvrez ici d'autres résumés de notre série « » consacrés aux menaces informatiques.
