Dans le tour d'horizon de cette semaine, CTI met en lumière Octo Tempest, un acteur malveillant motivé par l'appât du gain qui recourt à l'ingénierie sociale pour compromettre des organisations internationales. Next CTI examine un rapport indiquant que l'activité des ransomwares a atteint en septembre son plus haut niveau depuis 2023. Vous trouverez également un aperçu de la manière dont le RAT open source Quasar exploite le chargement latéral de DLL pour voler des données sur des hôtes Windows compromis.
1. Octo Tempest menace les organisations internationales
Microsoft surveille les activités liées à l'acteur malveillant à motivation financière Octo Tempest (s'ouvre dans un nouvel onglet), connu pour mener des attaques recourant à des techniques de type « adversary-in-the-middle » (AiTM), à l'ingénierie sociale et à des techniques de substitution de carte SIM.
Selon Microsoft, ce groupe évolue rapidement et exploite un large éventail de menaces, de tactiques et de procédures (TTP) pour se faufiler dans des environnements hybrides complexes. Octo Tempest présente également des recoupements avec d'autres groupes malveillants, notamment 0ktapus, Scattered Spider et UNC3944.
Chronologie d'Octo Tempest
2022 : À l'origine, ce groupe avait été repéré alors qu'il ciblait des opérateurs de téléphonie mobile et des entreprises d'externalisation des processus métier afin de procéder à des substitutions de carte SIM. Il a commencé à tirer profit de ses attaques en vendant des « SIM swaps » à d'autres cybercriminels et en prenant le contrôle de comptes afin de voler des cryptomonnaies.
Fin de l'année 2022 et début de l'année 2023 : Octo Tempest a commencé à élargir son champ d'action pour cibler les entreprises spécialisées dans les télécommunications par câble, la messagerie électronique et les technologies. Le groupe a commencé à tirer profit de ses intrusions en faisant chanter ses victimes pour récupérer les données volées et, dans certains cas, en recourant à des menaces physiques.
Mi-2023 : Octo Tempest est devenu une filiale du groupe BlackCat RaaS de l' . Cela est d'autant plus remarquable qu'Octo Tempest est un groupe anglophone avec lequel de nombreux groupes de ransomware refusent de traiter.
Juin 2023 : Octo Tempest a commencé à déployer des charges utiles du ransomware BlackCat, en ciblant principalement les serveurs ESXi. Le groupe a une nouvelle fois élargi son champ d'action aux secteurs des ressources naturelles, des jeux d'argent, de l'hôtellerie, des produits de grande consommation, de la distribution, des prestataires de services gérés (MSP), de l'industrie manufacturière, du droit, des technologies et des services financiers.
Accès initial
Octo Tempest recourt généralement à des attaques d'ingénierie sociale pour cibler les administrateurs techniques disposant de droits d'accès élevés. L'auteur de la menace mène des recherches pour identifier des personnes, puis se fait passer pour elles afin de passer des appels téléphoniques et de recueillir les informations nécessaires pour les inciter à réinitialiser leurs mots de passe et à utiliser des méthodes d'authentification multifactorielle.
Ce groupe utilise généralement l'une des méthodes suivantes pour obtenir un premier accès :
- Appeler un employé et le piéger pour qu'il installe des outils de gestion à distance (RMM) ou qu'il se rende sur un site à l'aide d'une boîte à outils AiTM.
- Appeler le service d'assistance d'une organisation pour réinitialiser un mot de passe.
- Acheter les identifiants d'un salarié sur le dark web.
- Pratique de l' par SMS et du phishing.
- Lancer une procédure de remplacement de carte SIM.
Dans un cas précis, Octo Tempest a eu recours à des menaces physiques pour contraindre ses victimes à lui communiquer leurs identifiants d'accès à leur entreprise.
Reconnaissance et découverte
Octo Tempest mène des opérations de recensement et de collecte d'informations afin d'obtenir un accès privilégié. L'acteur procédera dans un premier temps à une exportation en masse des utilisateurs, des groupes et des informations relatives aux appareils, avant de répertorier les données et les ressources accessibles à ce profil d'utilisateur.
L'acteur effectue régulièrement des recherches afin d'identifier des documents relatifs à l'architecture réseau, à l'intégration des nouveaux utilisateurs, aux méthodes d'accès à distance, aux politiques en matière de mots de passe et aux coffres-forts de credentials. Ils se pencheront ensuite sur les environnements multicloud, l'énumération des bases de données et les conteneurs de stockage.
Élévation des privilèges et accès aux identifiants
Octo Tempest étendra les privilèges en procédant à un échange de carte SIM ou en configurant un renvoi d'appel sur le numéro de téléphone d'un employé, afin que celui-ci puisse réinitialiser lui-même le mot de passe de son compte. On a également constaté qu’ils appelaient directement le service d’assistance d’une organisation, en recourant à des techniques d’ingénierie sociale pour amener ce service à réinitialiser un mot de passe d’administrateur ou à modifier/ajouter un jeton d’authentification à deux facteurs.
Ces techniques d'escalade des privilèges reposent sur l'instauration d'un climat de confiance. Dans certains cas, le cybercriminel utilise le compte d'un responsable dont il a pris le contrôle pour valider les demandes de réinitialisation de mot de passe. Ils utilisent des outils open source pour automatiser l'identification des clés, des secrets et des identifiants en clair dans les dépôts de code, en vue d'une utilisation ultérieure.
Évitement de la défense
L'acteur malveillant piratera les comptes du personnel de sécurité afin de désactiver les produits et fonctionnalités de sécurité, dans le but d'échapper à la détection. Ces comptes compromis exploitent ensuite les technologies EDR et de gestion des appareils pour permettre l'utilisation d'outils malveillants, le déploiement de logiciels RMM, la modification des produits de sécurité, le vol de fichiers sensibles et le déploiement de charges utiles. Pour aller encore plus loin, Octo Tempest modifiera les règles de la boîte mail des membres du personnel de sécurité compromis afin de supprimer automatiquement les e-mails provenant de fournisseurs susceptibles d'éveiller des soupçons.
Persévérance
Les attaques d'Octo Tempest utilisent des outils accessibles au public pour s'assurer une présence durable. Par exemple, ils utilisent parfois des outils tels que AADInternals pour fédérer des domaines existants, ou bien ils usurpent l'identité de domaines légitimes afin d'ajouter ou de fédérer un nouveau domaine. L'acteur installera plusieurs outils de gestion à distance (RMM) et apportera des modifications au réseau afin de permettre l'accès. L'utilisation de « reverse shell » est observée dans de nombreuses intrusions d'Octo Tempest, tant sur les terminaux Windows que Linux.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Octo Tempest est un acteur sophistiqué qui s'est constitué, en très peu de temps, un arsenal assez important de TTP. Le fait qu'elle vise un large éventail de secteurs semble plutôt opportuniste, mais n'en reste pas moins déterminé. L'acteur malveillant recourt à un large éventail de techniques sophistiquées d'ingénierie sociale pour obtenir un accès initial, ce qui en fait, comme le souligne Microsoft, « l'un des groupes criminels financiers les plus dangereux ». Leurs tactiques complexes d'ingénierie sociale, associées au fait qu'ils soient affiliés à BlackCat, font d'Octo Tempest un acteur malveillant qu'il convient de surveiller de près.
Le rapport très complet de Microsoft aborde de nombreuses autres TTP d'Octo Tempest, ce qui en fait une lecture incontournable.
2. L'activité des ransomwares a connu un pic en septembre
NCC Group a publié son rapport d'analyse intitulé « septembre 2023 », qui détaille certaines des dernières évolutions du paysage des menaces liées au « » (s'ouvre dans un nouvel onglet) — en particulier dans le domaine des ransomwares. Leurs données indiquent que l'activité des ransomwares a atteint en septembre son plus haut niveau depuis 2023 , après une accalmie relative en août.
Le groupe NCC suit de près les groupes de ransomware recourant à la tactique de la double extorsion en surveillant les sites de divulgation utilisés par chaque groupe et en collectant les informations relatives aux victimes au fur et à mesure de leur publication. D'après les données qu'ils ont recueillies, 514 attaques ont été recensées sur septembre 2023 , soit une hausse de 32 % par rapport au mois précédent.
Même si août 2023 a enregistré une baisse de 22 % des attaques par ransomware, l'activité liée aux ransomwares en septembre a retrouvé le niveau atteint en juillet. Selon le NCC Group et les données qu'il a recueillies, cela représente le nombre le plus élevé d'attaques de double chantage. On a également constaté une hausse de 153 % du trafic provenant de septembre 2022 vers septembre 2023, ce qui met en évidence une augmentation significative d'une année sur l'autre.
Principaux secteurs touchés par les ransomwares
Les secteurs ciblés dans « septembre 2023 » ne s'écartaient pas de la norme. Le groupe NCC a constaté que le secteur industriel était le plus visé, avec 169 attaques, soit 33 % du total. Il ne s'agit toutefois que d'une hausse de 2 % par rapport au mois précédent. Le secteur des technologies a été la cible d'environ 10 % des attaques par rançongiciel au cours du mois dernier, ce qui représente une légère augmentation par rapport au mois précédent.
Nouveaux auteurs de menaces de type ransomware
Au mois de septembre, les 10 principaux auteurs de menaces ont représenté à eux tous 70 % de l'ensemble des attaques par ransomware enregistrées ce mois-là. Comme tous les deux mois, le mois de septembre a également vu apparaître plusieurs nouveaux auteurs de ransomware.
Le nouveau venu LostTrust était à l'origine de 10 % des attaques, tandis que RansomedVC en représentait 9 %. Le groupe NCC a également constaté une certaine intensification de l'activité de la part de deux autres groupes relativement récents : Cactus et Trigona. Le nombre de cas de Cactus s'élève à 51 pour le mois de septembre, contre 13 en juillet.
Les régions les plus touchées par les ransomwares
Les principales régions ciblées sont restées inchangées en septembre, l'Amérique du Nord, l'Europe et l'Asie ayant généré le plus d'activité. L'Amérique du Nord arrive en tête du classement, avec 50 % des attaques, soit une hausse de 3 % par rapport au mois précédent.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est intéressant de noter que le groupe Cl0p n'a pratiquement pas été actif en septembre, et qu'il n'a pas non plus été très actif dans l'ensemble depuis les attaques MOVEit. Cette opération de rançongiciel passe plutôt inaperçue.
Le groupe NCC considère que cela est caractéristique du modèle Cl0p. C'est pourquoi NCC Group s'attend à ce qu'une campagne plus ciblée soit imminente. Seul le temps nous dira si le groupe Cl0p décidera ou non de faire son retour sur la scène des ransomwares, mais compte tenu de son succès avéré et de ses antécédents, cela ne serait pas surprenant.
3. Quasar RAT échappe à la détection grâce au chargement parallèle de DLL
Le RAT open source « Quasar » ( ) (s'ouvre dans un nouvel onglet) a récemment été observé utilisant le chargement latéral de DLL pour voler des données sur des hôtes Windows compromis. Il utilise deux fichiers Microsoft généralement considérés comme fiables — ctfmon.exe et calc.exe — pour effectuer un chargement latéral de deux DLL et introduire, déployer et exécuter discrètement des charges utiles malveillantes.
Exécution du sideloading de Quasar RAT
Uptycs propose une analyse détaillée, étape par étape, de la technique de « sideloading » de la DLL du RAT Quasar d' . (s'ouvre dans un nouvel onglet)
- L'attaque commence lorsque l'auteur de la menace utilise le fichier ctfmon.exe — un fichier Microsoft authentique — pour charger une DLL malveillante. L'acteur malveillant exécute ensuite le fichier binaire ctfmon.exe et récupère une charge utile de niveau 1 chargée d'injecter dans le système le fichier légitime calc.exe ainsi qu'une DLL malveillante.
- Au cours de la deuxième phase de l'attaque, l'auteur de la menace exécute le fichier « calc.exe », ce qui déclenche la DLL malveillante. À ce stade, le Quasar RAT réside dans la mémoire de l'ordinateur. La charge utile utilise la technique dite de « process hollowing » pour s'intégrer dans un processus système légitime, ce qui rend sa détection plus difficile.
Analyse technique
Uptycs a obtenu plusieurs fichiers issus du flux d'exécution du RAT Quasar à des fins d'analyse.
Lorsque le fichier binaire « ebill-997358806.exe » s'exécute, il déclenche le chargement d'un fichier nommé « MsCtfMonitor.dll », qui dissimule un code malveillant. Ce fichier comporte une section « ressources » contenant des données chiffrées auxquelles on accède via une série d'API. Une fois le déchiffrement effectué, ces données sont déchiffrées et donnent lieu à un fichier PE correspondant à la première étape, FileDownloader.exe. Le fichier PE est ensuite injecté dans Regasm.exe via une séquence d'API.
- Étape 1 – FileDownloader.exe : Cette charge utile de l'étape 1 est un fichier binaire MSIL 64 bits et comprend une section de ressources contenant trois fichiers binaires au sein d'une archive. Cette charge utile peut décompresser cette archive et placer les fichiers dans le dossier « Public Pictures ». Trois fichiers sont placés dans ce dossier : Calc.exe (un fichier Windows légitime), Secure32.dll (une DLL malveillante) et Winsecu32.dll (un autre fichier Windows légitime).
- Étape 2 – calc.exe : Le fichier calc.exe s'exécute ensuite et charge une DLL malveillante nommée Secure32.dll. Cette DLL contient une section de ressources chiffrée. Les données de ressources sont à nouveau accessibles via une série d'API, puis déchiffrées, ce qui donne un fichier PE. Ce fichier PE est injecté dans l'espace mémoire de Regasm.exe via une technique de « process hollowing ».
- Charge utile finale : Le fichier PE est un exécutable MSIL obscurci à l'aide de Smart Assembly. Il semble s'inspirer du logiciel malveillant open source Quasar RAT, puisqu'il porte la mention « Copyright © MaxXor 2020 ». La désobfuscation a permis de révéler des commandes exécutées dans les noms de fonctions, notamment l'enregistrement des frappes clavier, le transfert de fichiers, l'exécution de commandes shell, etc. Il créera également un script .bat afin de générer le fichier batch de redémarrage. Le RAT établit une connexion socket avec son serveur C2 , vers lequel il enverra les informations de la victime.
Le RAT interroge les classes WMI « AntiVirusProduct » et « Firewall » et recherche également l'infrastructure du BIOS, les informations relatives au GPU, le nom d'hôte, etc.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Quasar RAT semble suivre la tendance du chargement latéral de DLL, qui ne cesse de gagner en popularité depuis plusieurs mois.
L'auteur de cette activité est pour l'instant inconnu et le restera probablement, étant donné que Quasar RAT est un outil open source, ce qui permet à des acteurs moins expérimentés de mener des attaques.
Les chercheurs n'ont pas pu confirmer le vecteur d'accès initial de cette attaque. Mais comme le processus d'exécution commence par un fichier ISO, il est très probable que cela provienne d'un e-mail de hameçonnage.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
