Le premier résumé de cette semaine est une ventilation des dernières informations liées aux rançongiciels de 2022, recueillies par la société d’analyse de blockchain Chainalysis. Ensuite, CTI explore en profondeur une nouvelle porte dérobée qui emprunte des fonctionnalités au projet Hive de la Central Intelligence Agency (CIA). Enfin, nous concluons avec une récente vague d’attaques par l’acteur chinois de la menace BackdoorDiplomacy, et un rapport de Unit42, qui prétend avoir observé des systèmes appartenant aux domaines gouvernementaux iraniens tentant de se connecter à une infrastructure malveillante précédemment identifiée comme associée à l’acteur de la menace.
1. Les bénéfices des rançongiciels chutent de 40 % en 2022 , car les victimes refusent de payer
Les rapports de fin d’année de la société d’analyse de la blockchain Chainalysis révèlent que les gangs de ransomware ont extorqué avec succès environ 456,8 millions USD aux victimes en 2022 , soit une baisse d’environ 40 % par rapport aux 756 millions USD record volés aux victimes de ransomware au cours des deux dernières années.
Avant de décomposer la campagne, Chainalysis nous rappelle que les vrais totaux sont susceptibles d’être beaucoup plus élevés, car il y aura toujours des adresses de cryptomonnaie contrôlées par des gangs de ransomwares qui n’ont pas encore été identifiés et intégrés aux données de l’entreprise.
Selon Chainalysis, la tendance à la baisse des bénéfices n’est pas due à une diminution de la fréquence des attaques par ransomware, mais plutôt à une augmentation du nombre de victimes refusant de se soumettre aux demandes de leurs extorseurs.
Tendances générales en matière de ransomware en 2022
Les rançongiciels restent très actifs
Malgré la baisse des bénéfices des rançongiciels, 2022 aurait été l’une des années les plus actives en termes d’activité globale des rançongiciels. Des milliers de programmes malveillants de chiffrement de fichiers différents s’attaquent à des organisations de toutes tailles dans presque tous les secteurs verticaux, et 2022 ont vu plusieurs syndicats d’extorsion de premier plan se retirer, se diviser en nouvelles opérations ou simplement changer de marque, faisant place à l’émergence d’un large éventail de nouvelles opérations de rançongiciel.
Explosion dans des souches de ransomware uniques
2022 a connu une augmentation considérable du nombre de variantes uniques de ransomware en fonctionnement. La société de cybersécurité Fortinet rapporte que plus de 10 000 unique souches ont été actives au cours du premier semestre de 2022 seulement. Chainalysis confirme cette évaluation, indiquant que le nombre de souches actives a considérablement augmenté ces dernières années.
Cependant, la majeure partie du chiffre d’affaires des ransomwares semble constamment être gorgée par un petit groupe d’opérations de ransomware hautement efficaces. Cependant, cela ne veut pas dire que ce groupe de « leaders du secteur » reste composé des mêmes opérations d’une année sur l’autre ; Chainalysis aurait observé un chiffre d’affaires significatif tout au long de l’année parmi les souches les plus rentables.
Peu de changements dans les tactiques de blanchiment d’argent
Les données de Chainalysis suggèrent que la plupart des acteurs de ransomware continuent d’envoyer leurs bénéfices illicites à des échanges centralisés courants, une tendance qui, en dehors de quelques valeurs aberrantes, semble avoir peu changé depuis au moins 2018. En ce qui concerne les méthodes de blanchiment d’argent de choix pour les acteurs de rançongiciels en 2022, les gangs d’extorsionnistes se sont appuyés sur les ressources et tactiques suivantes :
- Moins d’échanges à haut risque : les bénéfices des rançongiciels envoyés aux échanges à haut risque sont passés de 10,9 % à 6,7 % en 2022.
- Services moins illicites : les bénéfices blanchis par le biais de services illicites tels que les marchés darknet ont également diminué de quelques points de pourcentage en 2022.
- Échanges plus courants : 2022 ont vu les gangs de ransomwares augmenter leur dépendance aux échanges courants à des fins de blanchiment d’argent, passant de 39,3 % en 2021 à 48,3 % l’année dernière.
- Plus de diversification : l’année dernière a également vu une augmentation du nombre de bénéfices envoyés à une combinaison de services à nettoyer. Cela, ainsi que le fait que plus de bénéfices soient envoyés à des échanges fiables et courants, semble indiquer que les opérations de ransomware arrivent à maturité et gèrent les finances d’une manière qui rappelle les entités d’entreprise légitimes. Peu placent tous leurs œufs dans un seul panier, et moins d’entre eux s’appuient sur des services illicites (qui sont connus pour leur volatilité, sont gérés par des criminels et font l’objet de mesures d’application de la loi à tout moment).
Les victimes ne paient pas
Il a peut-être fallu de nombreuses leçons concrètes, des milliards de dollars de pertes et d’innombrables avertissements de la part des forces de l’ordre et des agences de cybersécurité dans le monde entier pour que les meilleures pratiques en matière de ransomware commencent à s’appliquer, mais il semble qu’en 2023, nous tournions peut-être un virage lorsqu’il s’agit de la manière dont les organisations empêchent, se préparent et répondent aux attaques de ransomware/d’extorsion.
Tactiques amateurs
Bien que les tactiques, techniques et procédures (TTP) employées par les principaux acteurs des ransomwares n’aient jamais été aussi avancées qu’elles ne le sont actuellement, un nombre croissant de victimes défiantes refusent de céder à leurs demandes. La société de renseignement sur les cybermenaces Coveware déclare que cela est apparu pour la première fois comme une tendance identifiable dans ses données statistiques en 2019, et que les taux de victimes payantes ont constamment chuté depuis.
Dans le cas de Coveware, l’entreprise attribue largement le nombre décroissant de paiements à l’utilisation de ce que Coveware caractérise comme des tactiques « amateurs » par les acteurs de ransomware. Ces tactiques comprennent l’une de nos attaques préférées : des attaques répétées contre une victime sur une période de plusieurs jours ou semaines par le même acteur, dont beaucoup tirent souvent parti de différentes souches de logiciels malveillants dans une tentative inutile de dissimuler leur méthodologie.
Une faible barrière à l’entrée entraîne l’explosion des gangs de ransomware amateurs
Coveware déclare que les victimes de ransomware qui ont choisi de payer une rançon observent de plus en plus une « baisse de qualité et de fiabilité » lorsqu’il s’agit de restaurer rapidement les systèmes affectés en suivant les instructions de leurs attaquants et en déployant leurs décrypteurs.
Cela est sans aucun doute lié à une augmentation du nombre de groupes de rançongiciels ; émergeant comme des mauvaises herbes avec peu ou pas d’expérience et tirant parti de tactiques amatrices et déloyales, une situation résultant de la combinaison de divers facteurs, tels que la fuite de code source provenant des principales opérations de rançongiciel en tant que service (RaaS), le fait de contracter des employés de rançongiciels laissant des opérations de RaaS plus professionnelles à la recherche de profits plus élevés, et enfin, surtout, la prolifération d’offres de rançongiciels extrêmement bon marché qui sont généralement accompagnées de décrypteurs non fonctionnels fournissant aux affiliés aucune assistance technique dont il ne faut parler. Hé, vous obtenez ce que vous payez, n’est-ce pas ?
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Comme CTI l’a mentionné précédemment, 2023 semble être un tournant pour l’écosystème des ransomwares pour diverses raisons. D’abord et avant tout, 2022 a été la première année où le nombre de victimes de ransomwares qui ont décidé de ne pas payer était plus élevé que ceux qui ont décidé de se soumettre aux demandes de leurs extorqueurs. Comme indiqué par BleepingComputer, ce changement de comportement « met en évidence un changement dans la perception et l’approche de la gestion des attaques par ransomware. »
« Ce changement semble devoir un peu de dette aux mêmes meilleures pratiques en matière de rançongiciel, CTI, et d’autres professionnels de la sécurité ont toujours échappé lorsqu’ils couvrent les problèmes liés aux rançongiciels. Les victimes ont finalement commencé à se rendre compte que payer une rançon ne garantit aucunement la récupération de leurs données, et cela ne signifie pas non plus que les attaquants supprimeront tous les fichiers volés. Dans certains cas, cela peut même entraîner des répercussions juridiques, en particulier dans le cas où un paiement est effectué à un groupe qui s’avère avoir été soumis à des sanctions par le gouvernement fédéral américain. »
« De plus, le public semble avoir modifié la façon dont il perçoit les attaques par ransomware. Ce changement de pensée est probablement le résultat de victimes de ransomware de plus en plus ouvertes et honnêtes dans leurs relations avec le public à la suite d’un incident de ransomware. En tant que tels, les clients, les partenaires et l’industrie dans son ensemble semblent avoir mûri dans la manière dont ils répondent aux actualités. Il y a moins de jugement, moins de jet de pierre, et tout cela a entraîné une réduction notable des impacts négatifs sur la réputation de la marque et l’érosion de la confiance des consommateurs qui était autrefois la conclusion antérieure des attaques de ransomware de haut niveau. »
« Cela aide également les organisations à tous les niveaux à mettre en œuvre de meilleures stratégies de sauvegarde (en partie en raison des exigences plus strictes mises en place par les assureurs cyber/rançongiciels), faisant de la récupération indépendante de l’infrastructure une option vraiment viable face à une attaque. »
« Bien sûr, bien que les statistiques et les évolutions culturelles évoquées ci-dessus soient certainement encourageantes, les attaques par rançongiciel restent une menace mondiale pour chaque secteur et les organisations qui les composent, quelle que soit leur taille. Les petites et moyennes entreprises restent plus exposées, tout comme les organisations en possession de données qui peuvent faciliter d’autres attaques, et les organisations qui produisent des produits qui constituent des parties populaires de la chaîne d’approvisionnement logicielle. »
2. Nouvelle porte dérobée créée à l’aide de logiciels malveillants Hive de la CIA découverts dans la nature
En novembre 2017, le code source et les journaux de développement appartenant à Hive , un outil majeur utilisé par la CIA pour contrôler ses logiciels malveillants, ont été publiés et rendus accessibles. Hive fournit « une plateforme de communication secrète pour toute une gamme de logiciels malveillants de la CIA afin d’envoyer des informations exfiltrées aux serveurs de la CIA et de recevoir de nouvelles instructions des opérateurs de la CIA. » Hive peut prendre en charge plusieurs opérations simultanément, en tirant des informations de plusieurs implants sur les ordinateurs cibles et en les envoyant à plusieurs implants.
Dans le dernier développement inquiétant de la saga, les chercheurs de la société de sécurité 360Netlab ont découvert une nouvelle porte dérobée qui emprunte des fonctionnalités au projet Hive de la CIA.
À propos du backdoor Hive
360Netlab a découvert un fichier ELF suspect vers la fin de 2022. Le fichier s’est propagé via une vulnérabilité F5 et communiqué via SSL avec des certificats Kaspersky falsifiés.
Des recherches plus approfondies sur l’échantillon ont confirmé que cet échantillon est adapté du code source du serveur de projet Hive ayant fui de la CIA. Les chercheurs ont nommé cette porte dérobée, ou variante, “xdr33. »
L’objectif principal de cette porte dérobée est de recueillir des informations et de fournir un pied-à-terre pour une exploitation future. Ses deux tâches principales sont la balise et le déclencheur.
- Beacon rapporte périodiquement des informations sur l’appareil à la commande et au contrôle de balise codée en dur (C2) et exécute des commandes à partir de celui-ci.
- Trigger surveille le trafic pour le déclencheur C2, établit la communication avec le déclencheur C2 et attend l’exécution des commandes émises par lui.
- 360Netlab chercheurs pensent que xdr33 may a déjà eu plusieurs séries de mises à jour itératives.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Pour toute personne intéressée, le rapport 360Netlab’s contient des détails techniques approfondis sur xdr33. Bien que les caractéristiques de xdr33 ne soient pas nécessairement nouvelles, 360Netlabs déclare que c’est la première fois qu’ils capturent une variante du kit d’attaque CIA Hive dans la nature. »
3. Entités gouvernementales iraniennes attaquées par une nouvelle vague d’attaques de diplomatie rétroactive
Un rapport récent de l’Unité 42 de Palo Alto détaille une nouvelle vague d’attaques attribuées à l’acteur chinois de menace appelé BackdoorDiplomacy.
L’unité 42 prétend avoir observé des domaines gouvernementaux iraniens tentant de se connecter à une infrastructure malveillante précédemment associée à l’acteur malveillant.
À propos de BackdoorDiplomacy
BackdoorDiplomacy (également connu sous le nom de APT15, Vixen Panda, KeChang, NICKEL et Playful Taurus) est un groupe chinois de menaces persistantes avancées (APT) soutenu par l’État qui est connu pour mener des campagnes de cyberespionnage. Le groupe est considéré comme actif depuis au moins 2010 ans, ciblant historiquement les entités gouvernementales et diplomatiques d’intérêt pour Pékin en Amérique du Nord et du Sud, en Afrique et au Moyen-Orient.
À la mi-2021, ESET a pénétré dans BackdoorDiplomacy et la boîte à outils mise à niveau d’APT, qui comprenait à l’époque une nouvelle backdoor, appelée Turian. Turian semble toujours en cours de développement actif et Unit 42 pense qu’il est utilisé exclusivement par les acteurs de menace BackdoorDiplomacy. De nouvelles variantes du backdoor ont depuis été observées en plus de la nouvelle infrastructure de commande et de contrôle (C2).
BackdoorInfrastructure diplomatique
Le domaine vpnkerio[.]com a été précédemment identifié dans le cadre d’une campagne BackdoorDiplomacy qui ciblait les entités diplomatiques et les entreprises de télécommunications en Afrique et au Moyen-Orient. Ce domaine et ses sous-domaines associés ont depuis changé l’hébergement, adoptant diverses nouvelles adresses IP avec de nombreux sous-domaines se résolvant en une seule adresse IP.
L’analyse d’une adresse IP a révélé un certificat X.509 expiré associé au ministère des Affaires étrangères du Sénégal. Même si le certificat a expiré dans avril 2021, il est toujours associé à une infrastructure associée récente.
L’unité 42 a exploré toutes les adresses IP associées au certificat et pense que le certificat était initialement associé à une infrastructure gouvernementale légitime du Sénégal. Après son expiration, le certificat a été associé à neuf adresses IP différentes (et certainement non gouvernementales sénégalaises), dont huit ont hébergé des domaines BackdoorDiplomacy à différents moments.
L’unité 42 a surveillé les connexions à cette infrastructure malveillante et a observé quatre organisations iraniennes tentant de se connecter à l’une des adresses IP malveillantes entre juillet et décembre 2022.
À l’intérieur du fil
L’enquête de l’Unité 42’s a également révélé une PI hébergée qui semble être un domaine légitime qui appartenait au ministère iranien des Affaires étrangères entre mai et novembre 2019. Ce domaine réside également sur un netblock qui héberge d’autres domaines associés au gouvernement iranien, ce qui suggère qu’il appartient effectivement au gouvernement iranien.
L’inconvénient ici est que depuis septembre 2021, cette adresse IP héberge également le domaine suspect mfaantivirus[.]xyz. Étant donné la nature légitime des autres sites gouvernementaux hébergés sur cet espace d’adresse particulier, xyz semble être un TLD étrange.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« BackdoorDiplomacy continue clairement à faire évoluer ses tactiques et ses outils, comme en témoigne la backdoor turienne mise à niveau et la nouvelle infrastructure C2 . »
« Comme l’a noté l’Unité 42, les outils et l’infrastructure mis à niveau peuvent suggérer que BackdoorDiplomacy continue de voir le succès pendant ses campagnes de cyberespionnage. L’Unité 42 a également mis en garde que, bien que cette campagne semble être ciblée contre des entités gouvernementales iraniennes, BackdoorDiplomacy a historiquement déployé les mêmes TTP contre des entités en Amérique du Nord et du Sud, en Afrique et au Moyen-Orient. »
Restez informé des dernières informations sur les cybermenaces en consultant notre bibliothèque de rapports récapitulatifs.
