Pour commencer ce tour d'horizon hebdomadaire, voici une analyse des dernières informations relatives aux ransomwares issues du rapport 2022, compilées par la société d'analyse de la blockchain Chainalysis. Par la suite, CTI analyse en détail une nouvelle porte dérobée qui s'inspire de certaines fonctionnalités du projet « Hive » de la Central Intelligence Agency (CIA). Pour finir, nous conclurons par un aperçu de la récente vague d’attaques menées par l’acteur malveillant chinois BackdoorDiplomacy, ainsi que par un rapport de Unit42, qui affirme avoir observé des systèmes appartenant à des domaines du gouvernement iranien tenter de se connecter à une infrastructure de logiciels malveillants précédemment identifiée comme étant associée à cet acteur malveillant.
1. Les bénéfices générés par les ransomwares ont chuté de 40 % en 2022 , les victimes refusant de payer
Les « » de fin d'année publiées par la société d'analyse de la blockchain Chainalysis révèlent que les groupes de ransomware ont réussi à extorquer environ 456,8 millions de dollars à leurs victimes en 2022 — soit une baisse d'environ 40 % par rapport au montant record de 756 millions de dollars dérobés aux victimes de ransomware au cours des deux années précédentes.
Avant de sabrer le champagne, Chainalysis nous rappelle que les chiffres réels sont probablement bien plus élevés, car il y aura toujours des adresses de cryptomonnaies contrôlées par des groupes de ransomware qui n’ont pas encore été identifiées ni intégrées dans les données de la société.
Selon Chainalysis, la tendance à la baisse des bénéfices n’est pas due à une diminution de la fréquence des attaques par rançongiciel, mais plutôt à une augmentation du nombre de victimes refusant de céder aux exigences de leurs maîtres chanteurs.
Tendances générales en matière de ransomware : l'essentiel en 2022
Les ransomwares restent très actifs
Malgré la baisse des bénéfices générés par les ransomwares, l'année 2022 aurait été l'une des plus actives en termes d'activité globale liée aux ransomwares. Thousands of different file-encrypting malware strains targeted organizations of all sizes across nearly all verticals, and 2022 saw several top-tier extortion syndicates retire, splinter into new operations, or simply rebrand, making way for the emergence of a wide range of new ransomware operations.
Explosion du nombre de souches de ransomware inédites
2022 saw a huge increase in the number of unique ransomware variants in operation. La société de cybersécurité Fortinet indique que , soit plus de 10 000 unique souches , étaient actives rien qu’au premier semestre de 2022 . Chainalysis confirme cette analyse, en indiquant que le nombre de souches actives a considérablement augmenté ces dernières années.
Cependant, la majeure partie des revenus générés par les ransomwares semble être systématiquement accaparée par un petit groupe d'opérations de ransomware particulièrement efficaces. Cela ne signifie toutefois pas que ce groupe de « leaders du secteur » soit composé des mêmes entités année après année ; Chainalysis aurait constaté un renouvellement important tout au long de l'année parmi les variétés les plus rentables.
Peu de changements dans les méthodes de blanchiment d'argent
Les données de Chainalysis indiquent que la plupart des auteurs de ransomware continuent d'envoyer leurs profits illicites vers des plateformes d'échange centralisées grand public – une tendance qui, à l'exception de quelques cas isolés, semble avoir peu évolué depuis au moins 2018. En ce qui concerne les méthodes de blanchiment d'argent privilégiées par les auteurs de ransomware en 2022, les groupes d'extorsion ont eu recours aux ressources et tactiques suivantes :
- Échanges moins à risque : Les gains générés par les ransomwares et transférés vers des échanges à haut risque ont baissé de 10,9 % à 6,7 % en 2022.
- Baisse des services illicites : Les profits blanchis par le biais de services illicites, tels que les marchés du darknet, ont également diminué de quelques points de pourcentage en 2022.
- Plateformes d'échange grand public : selon le rapport « 2022 », les groupes de ransomware ont de plus en plus recouru aux plateformes d'échange grand public à des fins de blanchiment d'argent, passant de 39,3 % en 2021 à 48,3 % l'année dernière.
- Une diversification accrue : L'année dernière a également vu une augmentation du nombre de pièces envoyées à plusieurs services à la fois pour être nettoyées. Ce constat, associé au fait qu’une part croissante des bénéfices est transférée vers des plateformes d’échange fiables et grand public, semble indiquer que les opérations de ransomware gagnent en maturité et gèrent leurs finances d’une manière qui rappelle celle d’entités commerciales légitimes. Rares sont ceux qui misent tout sur une seule carte, et encore plus rares ceux qui ont recours à des services illicites (réputés pour leur instabilité, gérés par des criminels et susceptibles de faire l'objet de mesures répressives à tout moment).
Ce ne sont pas les victimes qui paient
Il a peut-être fallu de nombreuses leçons douloureuses, des milliards de dollars de pertes et d’innombrables avertissements de la part des forces de l’ordre et des agences de cybersécurité du monde entier pour que les bonnes pratiques en matière de rançongiciels commencent à s’imposer, mais il semble qu’en 2023, nous soyons peut-être en train de franchir un cap quant à la manière dont les organisations préviennent, se préparent et réagissent aux attaques par rançongiciel ou à des fins d’extorsion.
Tactiques d'amateurs
Alors que les tactiques, techniques et procédures (TTP) utilisées par les principaux auteurs de ransomware n’ont jamais été aussi sophistiquées qu’aujourd’hui, un nombre croissant de victimes, faisant preuve de détermination, refusent de céder à leurs exigences. La société Coveware, spécialisée dans le renseignement sur les cybermenaces, indique que cette tendance est apparue pour la première fois de manière identifiable dans ses données statistiques en 2019 et que, depuis lors, le taux de victimes ayant cédé au chantage a cessé de baisser.
Dans le cas de Coveware, l’entreprise attribue en grande partie la baisse du nombre de paiements au recours à ce qu’elle qualifie de tactiques « d’amateurs » de la part des auteurs de ransomware. Parmi ces tactiques figure l’une de nos préférées : les attaques répétées menées contre une victime pendant plusieurs jours, voire plusieurs semaines, par un même acteur, dont bon nombre exploitent souvent différentes souches de logiciels malveillants dans une vaine tentative de dissimuler leur méthodologie.
La facilité d'accès à ce secteur entraîne une prolifération des groupes amateurs spécialisés dans les ransomwares
Coveware indique que les victimes de ransomware qui ont choisi de payer une rançon constatent de plus en plus souvent une « baisse de la qualité et de la fiabilité » lorsqu’il s’agit de restaurer rapidement les systèmes affectés en suivant les instructions de leurs attaquants et en déployant leurs outils de déchiffrement.
Ce phénomène est sans aucun doute lié à une explosion du nombre de groupes de ransomware ; ceux-ci surgissent comme des mauvaises herbes, avec peu ou pas d’expérience, et recourent à des tactiques bâclées et amateurs — une situation résultant de la combinaison de divers facteurs, tels que la fuite de code source provenant des principales opérations de « ransomware-as-a-service » (RaaS), le départ massif d’employés spécialisés dans les ransomwares, engagés par des opérations RaaS plus professionnelles, pour se lancer à leur compte à la recherche de profits plus élevés, et enfin, mais ce n’est pas le moindre, la prolifération d’offres de ransomware extrêmement bon marché, généralement accompagnées de décrypteurs qui ne fonctionnent pas et ne fournissant aux affiliés pratiquement aucune assistance technique. Hé, on en a pour son argent, n'est-ce pas ?
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Comme CTI l’a déjà mentionné, l’affaire 2023 semble marquer un tournant pour l’écosystème des ransomwares, et ce pour diverses raisons. » Avant tout, l'année 2022 a été la première où le nombre de victimes de ransomware ayant décidé de ne pas payer a dépassé celui des victimes ayant choisi de céder aux exigences de leurs maîtres chanteurs. Comme l'indique BleepingComputer, ce changement de comportement « met en évidence une évolution de la perception et de l'approche en matière de gestion des attaques par rançongiciel ».
« Ce changement semble s'inspirer quelque peu des bonnes pratiques en matière de ransomware que le CTI et d'autres professionnels de la sécurité ont toujours mises en avant lorsqu'ils abordaient les questions liées aux ransomwares. » Les victimes commencent enfin à se rendre compte que le paiement d'une rançon ne garantit en aucun cas la récupération de leurs données — et ne signifie pas non plus que les pirates supprimeront les fichiers volés. Dans certains cas, cela peut même entraîner des conséquences juridiques – notamment lorsqu’un paiement est versé à un groupe qui se trouve être soumis à des sanctions de la part du gouvernement fédéral américain. »
« De plus, le grand public semble avoir changé de regard sur les attaques par ransomware. » Ce changement de mentalité résulte probablement du fait que les victimes de rançongiciels se montrent de plus en plus ouvertes et honnêtes dans leurs relations avec le public à la suite d'un incident de ce type. À ce titre, les clients, les partenaires et le secteur dans son ensemble semblent avoir gagné en maturité dans leur manière de réagir à l'actualité. « On observe moins de jugements de valeur, moins de critiques virulentes, ce qui s’est traduit par une réduction notable des répercussions négatives sur la réputation de la marque et de l’érosion de la confiance des consommateurs, qui constituaient auparavant une conséquence inévitable des attaques de ransomware très médiatisées. »
« Le fait que les organisations, tous secteurs confondus, aient mis en place de meilleures stratégies de sauvegarde (en partie en raison des exigences plus strictes imposées par les assureurs spécialisés dans la cybercriminalité et les ransomwares) contribue également à faire de la reprise autonome de l’infrastructure une option véritablement viable en cas d’attaque. »
« Bien sûr, même si les statistiques et les évolutions culturelles évoquées ci-dessus sont certes encourageantes, les attaques par ransomware restent une menace mondiale pour tous les secteurs d’activité et les organisations qui les composent, quelle que soit leur taille. » Les petites et moyennes entreprises restent particulièrement exposées, tout comme les organisations détenant des données susceptibles de faciliter de nouvelles attaques, ainsi que celles qui fabriquent des produits constituant des maillons clés de la chaîne d'approvisionnement logicielle de l' . »
2. Une nouvelle porte dérobée, créée à partir du logiciel malveillant « Hive » de la CIA qui a fait l'objet d'une fuite, a été découverte dans la nature
Dans « novembre 2017 », le code source et les journaux de développement relatifs à Hive — un outil majeur utilisé par la CIA pour contrôler ses logiciels malveillants — ont été publiés et rendus accessibles. Hive fournit « une plateforme de communication clandestine permettant à toute une gamme de logiciels malveillants de la CIA d'envoyer les informations exfiltrées vers les serveurs de la CIA et de recevoir de nouvelles instructions de la part des opérateurs de la CIA ». Hive est capable de prendre en charge plusieurs opérations simultanément, en récupérant des informations auprès de plusieurs implants installés sur les ordinateurs cibles et en leur en envoyant.
Dans le dernier rebondissement inquiétant de cette affaire, des chercheurs de la société de sécurité 360Netlab ont découvert une nouvelle porte dérobée qui reprend certaines fonctionnalités du projet « Hive » de la CIA.
À propos de la porte dérobée « Hive »
En 360Netlab , un fichier ELF suspect a été découvert vers la fin de l'année 2022. Le fichier s'est propagé via une vulnérabilité F5 et a communiqué via SSL à l'aide de certificats Kaspersky falsifiés.
Une analyse plus approfondie de cet échantillon a confirmé qu'il s'agissait d'une adaptation du code source du serveur du projet Hive de la CIA, qui avait fait l'objet d'une fuite. Les chercheurs ont baptisé cette porte dérobée — ou variante — « “xdr33 ».
L'objectif principal de cette porte dérobée est de collecter des informations et de servir de point d'ancrage pour de futures exploitations. Ses deux fonctions principales sont la balise et le déclencheur.
- Beacon transmet périodiquement des informations concernant l'appareil au système de commande et de contrôle de Beacon (C2), dont l'adresse est codée en dur, et exécute les commandes émanant de ce dernier.
- Trigger surveille le trafic du déclencheur C2, établit une communication avec le déclencheur C2 et attend l'exécution des commandes émises par ce dernier.
- 360Netlab chercheurs estiment que les « xdr »33 may ont déjà fait l'objet de plusieurs séries de mises à jour itératives.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Pour ceux que cela intéresse, le rapport 360Netlab’s contient des détails techniques approfondis sur le xdr33. » « Bien que les fonctionnalités du xdr33 ne soient pas nécessairement nouvelles, le 360Netlabs précise qu'il s'agit de la première fois qu'ils ont détecté une variante du kit d'attaque « CIA Hive » en environnement réel. »
3. Des entités gouvernementales iraniennes sont la cible d'une nouvelle vague d'attaques « BackdoorDiplomacy »
Un rapport récent intitulé « », publié par l'Unit 42 de Palo Alto, décrit en détail une nouvelle vague d'attaques attribuées à l'acteur malveillant chinois connu sous le nom de BackdoorDiplomacy.
L'unité 42 affirme avoir observé des domaines appartenant au gouvernement iranien tenter de se connecter à une infrastructure de logiciels malveillants précédemment associée à cet acteur malveillant.
À propos de BackdoorDiplomacy
BackdoorDiplomacy (également connu sous les noms de APT15, Vixen Panda, KeChang, NICKEL et Playful Taurus) est un groupe chinois soutenu par l'État, spécialisé dans les menaces persistantes avancées (APT), connu pour mener des campagnes de cyberespionnage. On estime que ce groupe est actif depuis au moins 2010 et qu'il a, par le passé, pris pour cible des entités gouvernementales et diplomatiques présentant un intérêt pour Pékin en Amérique du Nord et du Sud, en Afrique et au Moyen-Orient.
Au milieu de l’année 2021, ESET s’est penché sur BackdoorDiplomacy et sur la boîte à outils améliorée de ce groupe APT, qui comprenait alors une nouvelle porte dérobée, baptisée Turian. Turian semble toujours faire l'objet d'un développement actif et l'Unité 42 estime qu'il est utilisé exclusivement par les acteurs malveillants de BackdoorDiplomacy. Depuis, de nouvelles variantes de cette porte dérobée ont été observées, ainsi qu'une nouvelle infrastructure de commande et de contrôle (C2).
Infrastructure de BackdoorDiplomacy
Le domaine vpnkerio[.]com, anciennement , a été identifié comme faisant partie de la campagne « » de BackdoorDiplomacy, qui visait des entités diplomatiques et des entreprises de télécommunications en Afrique et au Moyen-Orient. Ce domaine et ses sous-domaines associés ont depuis changé d'hébergeur, adoptant diverses nouvelles adresses IP, bon nombre de ces sous-domaines pointant désormais vers une seule et même adresse IP.
L'analyse d'une adresse IP a révélé l'existence d'un certificat X.509 périmé associé au ministère des Affaires étrangères du Sénégal. Même si le certificat a expiré sur avril 2021, il est toujours associé à une infrastructure récente et connexe.
L'unité 42 a examiné en détail toutes les adresses IP associées à ce certificat et estime que celui-ci était à l'origine lié à une infrastructure légitime du gouvernement sénégalais. Après son expiration, le certificat a été associé à neuf adresses IP différentes (qui n'appartiennent manifestement pas au gouvernement sénégalais), dont huit ont hébergé des domaines BackdoorDiplomacy à différents moments.
L'Unité 42 a surveillé les connexions vers cette infrastructure malveillante et a constaté que quatre organisations iraniennes avaient tenté de se connecter à l'une des adresses IP malveillantes entre juillet et décembre 2022.
À l'intérieur du périmètre de sécurité
L'enquête menée par l'Unité 42’s a également révélé l'existence d'une adresse IP hébergée qui semble correspondre à un domaine légitime ayant appartenu au ministère des Affaires étrangères iranien entre mai et novembre de l'année 2019. Ce domaine se trouve également sur un bloc d'adresses IP qui héberge d'autres domaines liés au gouvernement iranien, ce qui laisse supposer qu'il appartient bel et bien au gouvernement iranien.
Ce qui est particulier ici, c'est que depuis le septembre 2021, cette adresse IP héberge également le domaine suspect mfaantivirus[.]xyz. Compte tenu du caractère légitime des autres sites gouvernementaux hébergés sur cet espace d'adressage particulier, « xyz » semble être un TLD étrange.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« BackdoorDiplomacy continue manifestement à faire évoluer ses tactiques et ses outils, comme en témoignent la version améliorée de la porte dérobée Turian et la nouvelle infrastructure C2 . »
« Comme l’a souligné l’Unité 42, la modernisation des outils et de l’infrastructure pourrait indiquer que BackdoorDiplomacy continue de remporter des succès dans le cadre de ses campagnes de cyberespionnage. » L'Unité 42 a également souligné que, bien que cette campagne semble viser des entités gouvernementales iraniennes, BackdoorDiplomacy a, par le passé, utilisé les mêmes techniques, tactiques et procédures (TTP) contre des entités situées en Amérique du Nord et du Sud, en Afrique et au Moyen-Orient. »
Restez informé des dernières actualités en matière de renseignements sur les cybermenaces grâce à en consultant notre bibliothèque de rapports de synthèse.
