Cette semaine, nous explorons si une baisse largement signalée du nombre d’attaques de rançongiciel au cours du premier semestre 2022 est légitime ou simplement le résultat de divers facteurs combinés contribuant à un jeu de données biaisé et trompeur.
Ensuite, nous fournissons un résumé des derniers rapports de Symantec sur les activités de l’APT Shuckworm, un groupe de menaces censé être associé au célèbre service de sécurité fédérale (FSB) russe. Nous examinons également l’activité d’un acteur suspecté d’être lié à l’Iran, qui a jusqu’à présent concentré ses efforts sur le ciblage des entités israéliennes d’expédition, de soins de santé et gouvernementales.
1. La chute largement signalée des nombres de rançongiciels est-elle une illusion ?
Tim Starks au Washington Post a récemment posé une question intéressante : la baisse supposée du nombre d’attaques de ransomware observées jusqu’à présent au cours du premier semestre 2022 est-elle le reflet de la réalité ? Ou les chiffres en déclin sont-ils le résultat d’une tempête parfaite de facteurs contributifs et de lacunes en matière d’informations ?
La réponse la plus courte semble être que le problème n’est pas tant de savoir si le nombre d’attaques par ransomware a chuté (les recherches quotidiennes de CTI semblent soutenir l’inverse), mais plutôt de savoir si les sources signalant les chiffres ont accès à moins d’informations que jamais auparavant. La réponse plus longue semble être une combinaison des deux.
Alors, qu’est-ce qui contribue à la diminution du nombre d’attaques signalées aux personnes responsables du suivi de ces choses ? Tout d’abord, examinons les chiffres signalés par des sources réputées afin de nous assurer qu’il ne s’agit pas uniquement d’une conjecture.
D’après l’histoire du Washington Post : « L’un des premiers décomptes indiquant une baisse est venu le mois dernier du groupe de travail sur les rançongiciels, composé d’experts du gouvernement, de l’industrie, du monde universitaire et des organismes à but non lucratif. Il a documenté 64 attaques contre les gouvernements locaux, les hôpitaux et les écoles en 2022 à ce moment-là, contre 150 incidents de la même période l’année dernière. »
L’article mentionne également comment, en juillet, SonicWall, NCC Group et GuidePoint Security ont tous indiqué des baisses à tous les niveaux. Cependant, les entreprises ont couvert diverses périodes.
Bien sûr, tous les chercheurs n’ ont pas obtenu des conclusions identiques, une occurrence courante dans notre secteur. Après tout, les entreprises ont accès à différentes télémétries et sources. De plus, les chercheurs adhèrent à différentes définitions de ce qui constitue un véritable incident de ransomware.
Par exemple, Avast a déclaré la semaine dernière que les incidents de rançongiciels avaient augmenté de Q1 à Q2 sur 2022 , bien qu’Avast ait dû admettre que leurs chercheurs ont observé une diminution du nombre d’attaques de fin 2021 et de début 2022. SecureWorks est parvenu à une conclusion similaire.
Donc, si le ransomware est vraiment vivant et bien, quels sont certains des facteurs qui ont contribué à cet ensemble de données potentiellement biaisé ?
Starks indique les développements suivants comme circonstances possibles qui peuvent fausser les chiffres :
- Changement dans les TTP des acteurs malveillants : de nombreux gangs de ransomwares ont commencé à utiliser des tactiques similaires à celles des ransomwares, moins les logiciels malveillants (extorsion sans chiffrement) et se concentrent désormais sur le vol de données et menacent de les libérer sans nécessairement verrouiller les systèmes d’entreprise.
- Changement de ciblage : pour éviter d’attirer l’engouement des décideurs politiques et des forces de l’ordre, les gangs de ransomwares ont également commencé à cibler les petites organisations. Cela fait suite à une vague d’attaques de rançongiciels de premier plan contre des victimes de puces bleues telles que JBS, Kaseya et Colonial Pipeline l’année dernière.
- Cibles plus petites = ressources plus petites : les victimes plus petites sont moins susceptibles de signaler leurs incidents de ransomware à l’une des entités chargées d’en assurer le suivi.
Comme l’a déclaré Don Smith, vice-président de l’intelligence de l’Unité contre les menaces de SecureWorks, « Ce [changement de ciblage] vous donne alors une situation où, si vous êtes une moyenne à grande entreprise, vous n’avez peut-être pas de relation avec un CERT national » ou une équipe gouvernementale d’intervention d’urgence informatique. « Vous n’êtes peut-être pas prêt à payer pour des entreprises de premier plan de réponse aux incidents pour vous aider à résoudre votre problème. Et donc, à partir de ce type d’observation de sommet de colline, beaucoup de personnes peuvent avoir des préjugés de signalement, ce qui peut expliquer cette disparité. »
Mais que se passe-t-il si les attaques sont tombées ?
Bien sûr, à ce stade précoce, de nombreux facteurs décrits ci-dessus sont toujours considérés comme des hypothèses. Il reste la possibilité, malgré la légère disparité occasionnelle des chiffres entre les organisations déclarantes, que les attaques par rançongiciel aient réellement diminué depuis tard.
Si tel est le cas, les facteurs suivants peuvent être des facteurs contributifs :
- Sanctions contre la Russie : la Russie, longtemps considérée comme un havre de protection pour les légions de gangs de ransomwares opérant à l’intérieur de ses frontières, peut avoir entravé les opérateurs de ransomwares.
- Les principales opérations de ransomware se sont dissoutes ou ont été perturbées : après une période particulièrement productive, le groupe prolifique de ransomware Conti s’est apparemment dissout en mai, suite à des fuites internes qui ont révélé le fonctionnement interne du gang et le message public (et très impopulaire) d’alliance du gang avec la Russie dans le conflit Russie/Ukraine.
Quelle que soit la raison du dépôt apparent dans les incidents de ransomware, CTI continuera à surveiller la situation. Nous continuerons à traiter les rançongiciels comme une menace majeure et aurons une meilleure image des forces motrices derrière le nombre d’attaques signalé au fur et à mesure que l’année progresse.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Tim Starks a fait un excellent travail pour éclairer la manière dont les statistiques signalées par diverses sources de renseignement et agences gouvernementales peuvent parfois varier, et parfois varier énormément. Il est souvent trop facile de tomber dans un modèle de foi aveugle dans les données présentées devant nous, en particulier lorsque ces données proviennent d’une entité qui s’est historiquement avérée être une source d’information fiable.
CTI continuera de surveiller une variété de sources de statistiques sur les rançongiciels, en gardant un œil sur tout développement significatif qui pourrait potentiellement avoir un impact sur le niveau de risque posé à Tanium et à ses fournisseurs, partenaires et clients par des gangs d’extorsion. »
2. Infostealer est une charge utile de choix pour l’APT Shuckworm russe dans l’activité ciblant l’Ukraine
Un récent article de blog de Symantec détaille la nouvelle activité Shuckworm observée par la société de sécurité, qui a jusqu’à présent été destinée à l’Ukraine et semble fournir des logiciels malveillants de vol d’informations aux réseaux ciblés.
Selon Symantec, l’activité était en cours depuis 8 août 2022, et une grande partie de l’activité observée dans cette campagne est cohérente avec l’activité qui a été mise en évidence par CERT-UA le 26 juillet 2022.
Shuckworm : le groupe lié à la Russie maintient #Ukraine Focus - #Gamaredon, l’activité malveillante #Armageddon continue, #infostealer est une charge utile dans la dernière activité. Lire le blog pour les derniers IoC : https://t.co/r12KxfM8Hj #Russia #cyberattacks #Shuckworm pic.twitter.com/jY89dctrg8
— Threat Intelligence (@threatintel) 15 août 2022
Qu’est-ce que Shuckworm ?
Shuckworm (ou Gamaredon ou Armageddon) est un groupe lié à la Russie qui a presque exclusivement concentré ses opérations sur l’Ukraine depuis sa première apparition en 2014. Il est généralement considéré comme une opération d’espionnage parrainée par l’État, liée par le Service secret ukrainien (SSU) au FSB.
Les renseignements ukrainiens ont attribué au groupe des cyberopérations ciblant des milliers d’entités publiques, privées et gouvernementales dans le pays dans ses tentatives de collecte des renseignements, de perturbation des opérations et de prise de contrôle des cibles d’infrastructure critiques.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il existe deux thèmes notables qui méritent d’être abordés dans ce récit. La première est l’utilisation croissante de logiciels malveillants de vol d’informations (communément appelés voleurs d’informations) parmi les acteurs malveillants de toutes les bandes. Intel 471 affirme que depuis le début de l’année 2022, l’entreprise de renseignement sur les cybermenaces a observé une augmentation de 150 % du nombre d’infovoleurs disponibles sur le dark web, par rapport à la même période en 2021. Il s’agit d’une indication claire d’une forte demande parmi les acteurs de cybermenaces pour ces produits, ainsi que d’une indication du haut degré de réussite des attaques que ces logiciels peuvent aider à précipiter.
Le deuxième thème notable est le fait que le rapport de Symantec indique que Shuckworm a jusqu’à présent limité son attention au ciblage des entités ukrainiennes. Malgré divers rapports accessibles au public sur les activités du groupe, Shuckworm ne semble pas découragé par la publicité et ses opérations se poursuivent sans relâche. Shuckworm n’est peut-être pas l’actif le plus sophistiqué au sein de la hiérarchie russe des acteurs de menaces soutenus par l’État, mais, comme le souligne Symantec, il compense plus que ses lacunes techniques avec sa ténacité, sa persistance et l’insatisfaction avec laquelle il engage ses victimes.
Comme pour la plupart des logiciels malveillants et des TTP employés par les participants au conflit Russie/Ukraine, le risque principal est le « déversement » vers les organisations, les réseaux et les infrastructures critiques occidentaux, dont la menace a été détaillée en continu par la CISA et son initiative Shields Up. »
3. UNC3890 Activité de pirate informatique iranien soupçonnée de cibler les secteurs israéliens de l’expédition, de la santé, du gouvernement et de l’énergie
Un récent rapport Mandiant détaille le suivi des entreprises de UNC3890, un cluster d’activités ciblant les organisations israéliennes du secteur de l’expédition, du gouvernement, de l’énergie et des soins de santé via des appâts d’ingénierie sociale et un trou d’eau potentiel. Mandiant pense que l’acteur est lié à l’Iran et mène probablement des activités d’espionnage pour soutenir les intérêts iraniens.
Qu’est-ce que UNC3890 ?
- UNC est l’abréviation de non catégorisé, fait référence à un cluster d’activité. L’opération exploite plusieurs outils disponibles publiquement, tels que Metasploit, Unicorn et NorthStar C2, en plus d’au moins deux outils uniques, une porte dérobée appelée SUGARUSH et un voleur d’informations d’identification de navigateur nommé SUGARDUMP.
- Mandiant a commencé à suivre le UNC3890 fin 2021, où il a été observé cibler des entités israéliennes et montrer de l’intérêt pour des secteurs tels que le gouvernement, le transport maritime, l’énergie, l’aviation et la santé. Bien que la plupart du ciblage semble se concentrer sur Israël, certaines des entités ciblées par le groupe dans le secteur de l’expédition étaient des entreprises mondiales, entraînant un impact potentiel s’étendant au-delà d’Israël.
- Mandiant a été principalement en mesure de découvrir les implants post-exploitation utilisés par UNC3890 , mais a également pu identifier quelques résultats qui pourraient éclairer les méthodologies d’accès initiales du groupe.
- Un trou d’ arrosage potentiel a été identifié hébergé sur la page de connexion d’une compagnie maritime israélienne légitime, qui, selon les chercheurs, a probablement été compromis par UNC3890. En entrant sur la page de connexion légitime, l’utilisateur envoie une demande POST, avec des données préliminaires sur l’utilisateur connecté, à un pirate informatique. Le trou d’arrosage aurait été utilisé pour cibler les clients et les utilisateurs de la compagnie maritime. Mandiant a observé une tentative supplémentaire de ciblage d’une autre grande compagnie maritime israélienne par le groupe, ce qui est cohérent avec le trou d’arrosage.
- Plusieurs domaines se résolvant à UNC3890’s C2 serveurs masqués comme des services et entités légitimes, notamment LinkedIn, Pfizer, Facebook et Office 365. Les domaines ont probablement été utilisés pour collecter des informations d’identification au service légitime, pour envoyer des appâts de phishing ou pour tenter de se fondre dans le trafic réseau attendu. Mandiant a également identifié un serveur UNC3890 hébergeant plusieurs fichiers ZIP contenant du contenu raclé de comptes Facebook et Instagram de personnes légitimes.
- L’opération est observée en tirant parti d’un fichier XLS conçu pour attirer la victime avec une fausse offre d’emploi. Le fichier installe SUGARDUMP, un outil de collecte d’informations d’identification. La fausse offre d’emploi concerne un poste de développeur de logiciels chez LexisNexis.
- Après avoir obtenu l’accès initial, le groupe exploite un vaste ensemble d’outils pour accéder à l’environnement et le contrôler.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La fausse offre d’emploi semble gagner en popularité auprès des acteurs malveillants récemment (sans parler du fait qu’il s’agit d’une technique historiquement populaire parmi les acteurs malveillants liés à l’Iran, en particulier) et UNC3890 n’est que le dernier groupe à rejoindre la tendance.
Ce qui est un peu différent dans UNC3890 , c’est son ciblage des compagnies maritimes. Étant donné qu’on ne sait pas exactement à quelles données l’acteur malveillant a eu accès lorsqu’il aurait déployé un trou d’eau contre une compagnie maritime israélienne, on ne sait pas exactement quel était l’objectif final. Néanmoins, l’utilisation par les opérations d’outils de collecte d’informations d’identification personnalisés et de backdoors indique un degré plus élevé de sophistication contradictoire.
Visitez notre bibliothèque de contenus sur la cybersécurité
Vous souhaitez en savoir plus sur les derniers développements en matière de cybersécurité ? Nous proposons un large éventail d’articles, de blogs et de vidéos sur la cybersécurité. Jetez un coup d’œil à nos histoires.
