Dans le résumé de la Cyber Threat Intelligence (CTI) de cette semaine (la dernière publication de la série de 2022 !), nous approfondissons un rapport Cisco Talos détaillant une méthode de distribution de logiciels malveillants récemment documentée QakBot (QBot) tirant parti des fichiers Scalable Vector Graphics (SVG) et de la contrebande HTML pour assembler localement une charge utile malveillante. Ensuite, nous allons examiner un lot de trois nouvelles familles de ransomwares, que Fortinet a chargées de mener une vague continue d’attaques sur les systèmes Windows. Enfin, nous concluons avec une vue d’ensemble du rapport 2022 sur l’infrastructure antagoniste d’Infrastructure d’Inscription Future, en nous concentrant sur les tendances changeantes de l’infrastructure de commande et de contrôle (C2) utilisée par les acteurs malveillants, y compris une augmentation de 30 % du nombre de C2 serveurs uniques détectés en 2022 par rapport à l’année dernière.
1. Les attaquants utilisent des fichiers SVG pour faire passer les logiciels malveillants QBot sur les systèmes Windows
Un blog d’ informations récent de Cisco Talos détaille une nouvelle méthode de distribution des logiciels malveillants QBot qui utilise des fichiers SVG pour effectuer la contrebande HTML et assemble finalement une charge utile malveillante localement sur les appareils des victimes.
En d’autres termes, lorsque la victime de cette attaque reçoit et ouvre la pièce jointe d’e-mail malveillant, son navigateur décodera et exécutera un script intégré, assemblant ainsi une charge utile malveillante directement sur l’appareil de la victime.
Qu’est-ce que la contrebande HTML ?
La contrebande HTML est une technique de livraison de logiciels malveillants qui permet aux attaquants de masquer un script malveillant codé dans une pièce jointe ou une page Web d’e-mail HTML. Quel que soit le format d’arrivée du code HTML, l’ouverture du code HTML décode le code malveillant contenu dans le code et assemble la charge utile sur l’appareil du destinataire. Cette technique permet à un pirate informatique de créer le logiciel malveillant derrière un pare-feu au lieu de devoir tenter de transmettre des exécutables malveillants via des défenses de périmètre.
Contrebande HTML à l’aide de SVG
La contrebande HTML peut être réalisée de plusieurs manières différentes. Cependant, Cisco Talos a récemment été témoin d’un attaquant déployant une technique de contrebande HTML relativement nouvelle impliquant l’utilisation d’images SVG.
Contrairement aux fichiers d’image JPEG, les images SVG sont basées sur des vecteurs, ce qui signifie que leur taille peut être augmentée sans souffrir de la qualité d’image. Ces images sont construites à l’aide de XML, ce qui permet de les placer facilement dans HTML.
Cisco Talos a identifié des e-mails malveillants avec des pièces jointes HTML comportant des images SVG codées qui contiennent des balises de script HTML. L’inclusion de balises <script> dans les images SVG est une fonctionnalité légitime de SVG qui est utilisée par des attaquants pour faire passer en contrebande du code malveillant sur l’appareil d’une victime. Grâce à cette technique, les attaquants profitent du fait que la plupart des navigateurs Web décodent et exécutent ce code comme s’il s’agissait d’une partie légitime du code HTML du document.
Le code malveillant passé en contrebande dans l’image SVG contient l’archive zip malveillante plus grande. Le logiciel malveillant est ensuite extrait et assemblé directement sur la machine de la victime. Étant donné que la charge utile du logiciel malveillant elle-même est créée sur la machine de la victime, cette technique permet aux attaquants de contourner les détections de sécurité de base conçues pour filtrer tout contenu malveillant entrant sur le réseau.
L’instance QBot
L’une des méthodes de livraison connues de QBot consiste à pirater l’e-mail d’une victime et à répondre à un fil de discussion existant avec son logiciel malveillant inclus en pièce jointe. Cette technique tire parti du fait que l’e-mail armé semble provenir d’une source légitime et fiable, augmentant ainsi la probabilité que le destinataire interagisse avec le contenu de la manière souhaitée par l’attaquant. Dans le cas observé par Cisco Talos, les pirates ont répondu à un très ancien fil de discussion par e-mail.
Lorsque la pièce jointe est ouverte par la victime, le code de contrebande dans l’image SVG commence son travail en créant une archive zip malveillante. Il présente ensuite à la victime une boîte de dialogue pour enregistrer le fichier. La pièce jointe HTML affiche un mot de passe que les victimes devront utiliser pour ouvrir l’archive zip cryptée qui vient d’être créée sur la machine de la victime.
Dans la pièce jointe HTML, Cisco Talos a pu observer le code exploité par les attaquants pour faire passer le code JavaScript en contrebande sur l’appareil. En plus de certaines techniques d’obscurcissement connues, les chercheurs ont également vu une <embed> étiquette contenant l’image base64-encoded SVG. Une fois cette image décodée et le JavaScript désobscurci, Cisco Talos a vu la technique de contrebande HTML SVG utilisée dans cette campagne QBot.
- La fonction charCodeAt() est utilisée pour convertir le texte d’une variable JavaScript en blob binaire. À l’aide de la fonction createObjectURL(), la blob binaire est ensuite convertie en une archive zip que l’utilisateur est invité à enregistrer sur son système de fichiers local.
- Si la victime saisit le mot de passe fourni par l’attaquant et ouvre l’archive zip, elle peut extraire un fichier ISO. Ce fichier ISO infectera prétendument la victime avec QBot.
Statistiques de contrebande HTML
Trustwave a récemment publié un blog concernant les pièces jointes de fichiers HTML qui constituent toujours une menace, et l’activité susmentionnée observée par Cisco Talos le confirme certainement.
Trustwave a constaté que les pièces jointes de fichiers HTML deviennent une occurrence courante dans leurs pièges à spam. Sur une période de 30 jours, Trustwave a constaté que la combinaison des fichiers HTML (11,39 %) et HTM (2,7 %) était la deuxième pièce jointe de fichier la plus spammée, totalisant 14,09 %.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La contrebande HTML peut contourner la surveillance traditionnelle des outils de sécurité pour l’activité entrante, car elle permet d’assembler le code malveillant à l’intérieur du réseau. Cela souligne le besoin croissant de protection des endpoints qui peut aider à empêcher l’exécution des logiciels malveillants. »
« Bien que la contrebande HTML ne soit pas une nouvelle technique, elle gagne en popularité parmi les acteurs malveillants en raison de la capacité susmentionnée à contourner certaines défenses de sécurité telles que les filtres d’analyse de contenu. L’utilisation d’images SVG pour la contrebande HTML est un autre exemple d’acteurs malveillants qui font continuellement évoluer leurs techniques pour rester pertinents et performants. »
2. Nouveau lot de familles de ransomwares menant des attaques sur les systèmes Windows
Trois nouvelles familles de rançongiciels ont pris la tête des attaques ciblant de plus en plus les systèmes Windows : Vohuk, ScareCrow et AESRT (alias AERST).
Comme indiqué dans le dernier Ransomware Roundup bihebdomadaire de Fortinet, Vohuk, ScareCrow et AERST partagent les fonctionnalités courantes suivantes :
- Plateformes affectées : Microsoft Windows
- Parties concernées : utilisateurs Microsoft Windows
- Impact : chiffre les fichiers sur la machine compromise et exige une rançon pour le décryptage des fichiers
- Niveau de gravité : élevé
Voici un aperçu plus approfondi de chaque famille de ransomwares.
ransomware Vohuk
Depuis Fortinet :
« Comme la plupart des ransomwares, la nouvelle variante Vohuk chiffre les fichiers sur les machines compromises et tente d’extorquer de l’argent aux victimes. Sa note de rançon abandonnée, « README.txt », demande aux victimes de contacter l’attaquant par e-mail avec un ID unique attribué à chaque victime. Comme vu dans la note de rançon, cette variante du ransomware Vohuk est la version 1,3, indiquant potentiellement que l’attaquant a mis à jour le ransomware plusieurs fois. »
- Vorhuk chiffre les fichiers et les ajoute avec une extension de fichier « .Vohuk ».
- Il remplace également les icônes des fichiers ciblés par une icône de verrouillage rouge (voir ci-dessous) et remplace le fond d’écran du bureau par son propre thème.
Depuis Fortinet :
« Le ransomware laisse un mutex distinctif, « Global\\VohukMutex », qui empêche différentes instances du ransomware Vohuk de s’exécuter sur le même système... Sur la base des emplacements de soumission des fichiers à VirusTotal, le ransomware Vohuk a principalement affecté l’Allemagne et l’Inde. »
ransomware ScareCrow
Depuis Fortinet :
« Le rançongicielcareCrow semble avoir des similitudes avec le fameux rançongiciel Conti : tous deux utilisent l’algorithme CHACHA pour crypter les fichiers et supprimer les copies fantômes à l’aide de wmic en fonction des ID de copie fantôme. Ce n’est pas si surprenant, car le code source du ransomware Conti aurait été divulgué plus tôt dans l’année. Cependant, l’acteur malveillant ScareCrow a déployé des efforts pour développer cette variante de ransomware, car notre analyse a identifié des différences significatives. Par exemple, Conti chiffre toutes les chaînes de commande avec une routine de décryptage, tandis que ScareCrow chiffre chaque chaîne, y compris le nom des DLL qu’elle charge (c.-à-d., kernel32), le nom des API qu’elle utilise, et même les chaînes de commande avec sa propre routine de décryptage. »
À tous les égards, ScareCrow est votre ransomware typique. Il chiffre les fichiers sur les machines des victimes et laisse une note de rançon sous la forme d’un fichier nommé « readme.txt ». La note contient trois canaux Telegram différents que les victimes peuvent utiliser pour communiquer avec leurs attaquants, qui négligent généralement de laisser une demande financière dans leurs notes de rançon (un fait qui peut indiquer le souhait des attaquants de se réserver le droit de trouver un prix sur place, quand et si elles sont contactées par le négociateur autorisé d’une organisation victime).
Fortinet note qu’au moment de la rédaction, aucun des trois canaux Telegram n’était disponible.
Le ransomware ScareCrow ajoute également des fichiers cryptés avec une extension de fichier « .CROW » aux fichiers affectés.
ransomware AERST
Depuis Fortinet :
« L’AESRT est une nouvelle souche de ransomware que FortiGuard Labs a récemment rencontrée. Il chiffre les fichiers sur les machines compromises et ajoute une extension de fichier « .AESRT » aux fichiers qu’il chiffre. Au lieu de laisser une note de rançon, le ransomware affiche une fenêtre contextuelle qui inclut l’adresse e-mail de l’attaquant. Il accepte également un champ pour saisir la clé achetée requise pour déchiffrer les fichiers rançonnés. Le ransomware supprime également les copies fantômes, ce qui entrave la capacité de la victime à récupérer des fichiers. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il est extrêmement imprudent (nous disons cela généralement, il existe toujours des circonstances atténuantes dans n’importe quelle situation) de soumettre un paiement à des gangs de rançongiciels. Non seulement il n’y a aucune garantie que vos fichiers seront récupérés, mais il n’y a pas non plus de garantie que les criminels ne reviendront pas pour plus. En outre, des organisations gouvernementales américaines de divers types et juridictions ont déconseillé de payer des rançons, et la réalité qui l’accompagne que cela pourrait, dans de nombreux cas, être considéré comme illégal. »
« La chose importante à faire est de rester vigilant quant au comportement et aux TTP que les opérations comme les groupes de ransomware décrits ci-dessus exploitent avant et pendant leurs opérations et de mettre l’accent sur le maintien de la sensibilisation aux vecteurs d’accès initiaux favorisés par ces groupes (comme le déploiement de logiciels malveillants « précurseurs » – pensez QBot et son rôle dans la propagation des ransomwares Black Basta – souvent fournis via des campagnes de phishing sophistiquées). »
3. Recorded Future : nombre de serveurs de commande et de contrôle ensemencés en 2022
Le nouveau rapport 2022 sur l’infrastructure antagoniste de Recorded Future contient une analyse de l’infrastructure de commande et de contrôle (C2) identifiée à l’aide de méthodes d’analyse et de collecte proactives tout au long de 2022.
L’élément le plus notable parmi les résultats clés du rapport est peut-être l’augmentation du nombre de C2 serveurs uniques découverts en 2022 , soit une augmentation de 30 % par rapport à l’année précédente. Il s’agit d’une indication claire que les cybercriminels et les groupes de menaces persistantes avancées (APT) soutenues par l’État tirent de plus en plus parti de ces appareils pour mener des attaques.
Un serveur C2 est essentiellement un ordinateur qui émet des commandes pour des appareils infectés. Les serveurs permettent aux acteurs malveillants d’établir des réseaux pour chiffrer les données, lancer des attaques et mener d’autres activités nuisibles.
Les auteurs du rapport affirment avoir détecté plus de 17 000 C2 serveurs en 2022, contre 13 629 serveurs identifiés l’année précédente.
Lors de l’examen des cinq principaux cadres d’exploitation/de logiciels malveillants associés à ces C2 serveurs au cours des trois dernières années, l’étude révèle une augmentation continue du nombre de C2 serveurs liés à Cobalt Strike, Meterpreter et PlugX (un cheval de Troie d’accès à distance populaire privilégié par les pirates informatiques soutenus par l’État chinois). Cela se produit malgré l’âge avancé de ces outils particuliers.
D’autres familles contributives importantes comprennent des familles de botnets telles qu’IcedID et QakBot (dont cette dernière semble avoir connu une année assez réussie), ainsi qu’un Emotet entièrement réémergé, qui, avec QakBot, a continué d’étendre C2 infrastructures tout au long de 2022.
Points à retenir supplémentaires du rapport
- Les chercheurs ont observé un délai moyen de 33 jours entre la détection d’un serveur C2 par leurs propres efforts d’analyse et le moment où il est signalé dans d’autres sources.
- PlugX reste très utilisé malgré le fait que ShadowPad soit considéré comme son « successeur ».
- Les changements dans l’infrastructure C2 parrainée par l’État russe peuvent rendre le suivi des opérations spécifiques plus difficile qu’avec d’autres entités attribuées par l’État.
- Les plus grands fournisseurs d’hébergement continuent d’avoir le plus de C2 observations de serveurs, comme prévu. Cependant, il y a eu des changements dans les fournisseurs utilisés pour C2 serveurs, y compris une augmentation de plus de 300 % de l’hébergement sur les systèmes informatiques Tencent de Shenzhen qui en ont fait le plus populaire pour C2s dans l’enquête Recorded Future.
- La Chine a dépassé les États-Unis en tant que premier pays en volume pour C2 serveurs hébergés. Alors que la part des États-Unis sur C2 serveurs a chuté de 34 % à 22 %, les actions chinoises ont augmenté de 14 % à 24 %, principalement en raison d’une augmentation substantielle de C2 détections chez le fournisseur d’hébergement chinois Shenzhen Tencent Computer Systems.
- En 2021, Recorded Future prédisait un environnement plus diversifié de C2 dans lequel ses chercheurs verraient une augmentation des détections provenant de nouveaux outils. Cependant, la variété qu’ils ont finalement observée provenait d’une propagation plus large des outils établis plutôt que de l’utilisation de nouveaux outils.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Lorsqu’il s’agit de prédire l’infrastructure antagoniste C2 vers 2023, il semblerait raisonnable que l’on imagine que des cadres infaillibles tels que Cobalt Strike et des botnets tels qu’Emotet et QakBot continueront d’occuper les places les plus élevées résultant d’études telles que celle décrite ci-dessus, bien que certains experts indiquent que Brute Ratel est probablement le successeur de Cobalt Strike en raison de son taux de détection plus faible parmi les solutions de détection et de réponse aux endpoints (EDR). En fin de compte, ce seront les familles de malwares/outils post-exploitation/botnets qui mettent l’accent sur l’OPSEC, s’engagent dans un cycle continu de modifications d’infrastructure et emploient des TTP prêts à l’emploi qui connaissent le plus de succès. »
Renseignez-vous sur nos synthèses de renseignements sur les cybermenaces ici.
