Dans le tour d'horizon de cette semaine, CTI fait le point sur le ver Raspberry Robin, qui continue d'évoluer et d'exploiter des failles de sécurité. Dans la suite de cet article, CTI se penche sur un acteur malveillant à motivation financière, identifié sous le nom de code « UNC4990 », qui a été observé en train d'utiliser des clés USB pour obtenir un accès initial dans le cadre de diverses campagnes. Enfin, CTI se penche sur la dernière rétrospective de Palo Alto consacrée aux ransomwares pour le numéro 2023.
1. Le logiciel malveillant « Raspberry Robin » exploite des failles de sécurité
Check Point Research a observé que le ver « Raspberry Robin » de l' , (s'ouvre dans un nouvel onglet) , exploitait deux nouvelles failles de type « 1-day » permettant l'escalade des privilèges en local avant même leur divulgation publique.
Outre l'exploitation de vulnérabilités, Raspberry Robin a également modifié bon nombre de ses TTP afin d'échapper aux signatures comportementales basées sur sa version précédente.
Qu'est-ce que Raspberry Robin ?
- Raspberry Robin (s'ouvre dans un nouvel onglet) est un ver qui se propage généralement via des clés USB. Ce logiciel malveillant utilise le fichier msiexec.exe pour se connecter à son infrastructure et télécharger une DLL malveillante.
- Raspberry Robin a été découvert pour la première fois en 2021 et ses TTP n'ont cessé d'évoluer depuis lors. Il fait office d'IAB, c'est-à-dire d'intermédiaire d'accès initial, pour d'autres familles de logiciels malveillants au sein de l'écosystème. C'est pour cette raison que de nombreux groupes malveillants ont été associés à Raspberry Robin.
- Depuis octobre, Check Point Research constate de vastes vagues d'attaques « Raspberry Robin » visant ses clients. Le constat le plus marquant est que ce logiciel malveillant continue d'exploiter diverses failles de sécurité, soit avant leur divulgation publique, soit peu après celle-ci.
- Lors des précédentes attaques de type « Raspberry Robin », le logiciel malveillant a utilisé plusieurs vecteurs d'accès initiaux différents, le plus courant étant un fichier LNK déguisé en clé USB ou en partage réseau.
Comment Raspberry Robin exploite les vulnérabilités
Raspberry Robin dispose de nombreux moyens d'élever ses privilèges, dont l'un consiste à exploiter des failles permettant l'élévation de privilèges au niveau local du noyau. Ces failles sont cryptées et stockées, et ne sont exploitées que si l'appareil est vulnérable à ces failles. Dans des échantillons plus récents, le logiciel malveillant injecte les exploits du noyau dans le fichier cleanmgr.exe et y insère un chargeur unique qui réside en mémoire et charge un fichier PE externe qui constitue en réalité l'exploit.
Ce logiciel malveillant a récemment exploité la vulnérabilité CVE-2023-36802 , qui affecte le proxy du service de streaming Microsoft et permet d'élever les privilèges au niveau SYSTEM. L'exploit correspondant à cette vulnérabilité a été repéré à la vente sur des forums du Dark Web à l'adresse février 2023 , mais n'a été rendu public et corrigé qu'à partir du septembre 2023. Quelques semaines plus tard à peine, Raspberry Robin a commencé à utiliser cette faille dans ses attaques.
Dernières mises à jour de Raspberry Robin
Le déroulement général de « Raspberry Robin » est resté pratiquement inchangé. Plusieurs étapes du logiciel malveillant sont stockées en mémoire dans un format personnalisé et le code est fortement obscurci à toutes les étapes, y compris la charge utile elle-même. Ce logiciel malveillant a intégré de nouvelles méthodes anti-analyse qui lui permettent de déterminer, à différentes étapes, s'il doit ou non passer à la phase principale.
Ce logiciel malveillant s'est également doté de nouvelles capacités de contournement :
- La première technique est une technique de contournement de l'arrêt du système qui garantit que le logiciel malveillant ne soit pas interrompu lors de l'arrêt du système.
- L'étape suivante consiste en une vérification de la connexion à un bureau à distance, qui permettra simplement de déterminer si la victime est connectée à un bureau à distance ou non.
- Enfin, il y a la possibilité d'arrêter l'exécution en cas de pilote de filtre UWF.
Le logiciel malveillant a légèrement modifié sa logique de propagation latérale, en optant désormais pour PAExec.exe à la place de PsExec.exe.
Enfin, la manière de communiquer de Raspberry Robin a changé. Il va désormais commencer à contacter des domaines Tor légitimes et vérifier s'il obtient une réponse ou non. S'il n'obtient pas de réponse, il ne tentera pas de communiquer avec les véritables serveurs C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Nous avons présenté pour la première fois Raspberry Robin dans l'article « janvier 2023 ». Depuis lors, elle est restée une menace majeure au cours de la dernière année environ, en partie en raison de sa capacité à évoluer et à modifier rapidement ses TTP.
Raspberry Robin n'a pas tardé à diversifier ses activités et à se tourner vers différentes failles, en particulier celles qui n'ont pas encore été rendues publiques ou celles qui l'ont été récemment.
La question de savoir comment ils parviennent à se procurer régulièrement ces failles reste encore à élucider. Il se pourrait qu'ils aient développé eux-mêmes ces failles d'exploitation ou qu'ils aient simplement des liens avec ceux qui les développent. Quoi qu'il en soit, Raspberry Robin n'a cessé de prouver sa capacité d'adaptation.
2. Les pirates informatiques utilisent les sites d'actualités et d'hébergement multimédia pour diffuser des charges utiles de logiciels malveillants ciblant les clés USB
Un acteur malveillant motivé par l'appât du gain, identifié sous les noms d' , UNC4990, (s'ouvre dans un nouvel onglet),et , a été repéré dans le cadre de campagnes utilisant des clés USB pour obtenir un accès initial.
L'acteur malveillant exploite des plateformes légitimes telles que GitHub, Vimeo et Ars Technica pour héberger des charges utiles cryptées intégrées à du contenu inoffensif. L'auteur de la menace dissimule également ses charges utiles à la vue de tous en les plaçant dans les profils des utilisateurs de forums sur des sites d'actualités technologiques ou dans les descriptions de vidéos sur des plateformes d'hébergement de vidéos.
Qu'est-ce que le UNC4990 ?
UNC4990 (s'ouvre dans un nouvel onglet) a été identifié par Mandiant comme un acteur qui utilise principalement des périphériques USB pour obtenir un accès initial.
L'acteur malveillant s'est récemment lancé dans une campagne qui serait en cours depuis au moins 2020. Outre le recours à des périphériques USB pour l'accès initial, l'acteur fait évoluer en permanence ses TTP et s'oriente désormais vers l'hébergement de charges utiles sur des plateformes populaires et légitimes.
Accès initial
Comme indiqué, cet acteur malveillant utilise dans un premier temps des périphériques USB pour obtenir un accès initial. Mandiant a constaté que l'infection commençait dès qu'une victime double-cliquait sur un fichier de raccourci LNK malveillant présent sur un périphérique USB amovible.
Le nom de ce fichier LNK correspondait généralement au nom du fabricant du périphérique, suivi de la capacité de stockage entre parenthèses. Ce nom a été associé à l'icône par défaut de Microsoft Windows afin de paraître plus crédible. Lorsque vous cliquez sur le fichier, l'explorateur de script PowerShell ps1 s'ouvre.
À propos du script PowerShell
Des chercheurs ont identifié plusieurs versions de ce script PowerShell . Ce script est chargé de télécharger et de décoder une charge utile supplémentaire, qui était souvent le téléchargeur EMPTYSPACE.
Dans certaines variantes, le script a été mis à jour via une étape intermédiaire hébergée sur GitHub. Les variantes récentes du script PowerShell ont été chargées en mémoire sous la forme d'une chaîne codée selon le procédé « reverse Base64 ».
Une fois le programme de téléchargement EMPTYSPACE téléchargé, le script PowerShell vérifiera en boucle la présence du fichier python.exe et exécutera le logiciel malveillant nouvellement téléchargé toutes les secondes si python.exe n'est pas présent.
UNC4990 se tourne vers des plateformes légitimes
À un moment donné en 2023, l'acteur malveillant est passé de GitHub à Vimeo pour l'hébergement de sa charge utile. Sur Vimeo, la charge utile encodée figure dans la description d'une vidéo de Pink Floyd mise en ligne sur Vimeo en mars 2023. Le script récupère le blob JSON de Vimeo qui contient la charge utile entre certains caractères de délimitation. Cette charge utile est ensuite déchiffrée avant d'être exécutée.
Dans l'affaire « novembre 2023 », l'acteur malveillant a de nouveau changé de stratégie en lien avec son opération « C2 ». Une fois la vidéo Vimeo officiellement retirée, l'auteur de la menace a commencé à utiliser le site d'actualités technologiques connu sous le nom d'Ars Technica.
Le script « explorer.ps1 » a été mis à jour afin d'inclure une URL codée en dur pointant vers un site d'Ars Technica. La même technique a été utilisée avec Ars Technica que celle employée avec Vimeo, la principale différence étant que le blob encodé a été ajouté à l'URL de l'image dans la section « À propos » d'un profil d'utilisateur spécifique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne illustre une fois de plus la manière dont les auteurs de menaces recherchent de nouvelles méthodes pour échapper à la détection et agir dans l'ombre.
Cette campagne utilise spécifiquement des plateformes légitimes telles que GitHub, Vimeo et des sites d'actualités technologiques, qui ne susciteraient généralement pas de soupçons si un utilisateur les consultait. La technique consistant à intégrer des charges utiles au sein de sites et de contenus légitimes peut permettre à un acteur malveillant de se fondre dans le trafic légitime et de rendre sa détection difficile.
Étant donné que Mandiant a observé l'évolution de cette campagne sur plusieurs mois, il ne serait pas surprenant de voir cet acteur malveillant continuer à faire évoluer ses TTP dans un avenir proche.
3. Palo Alto fait état d'une augmentation de 49 % du nombre de victimes de rançongiciels
Palo Alto a publié sa rétrospective sur le ransomware « » : (s'ouvre dans un nouvel onglet) pour 2023. Le point essentiel à retenir est que le nombre de victimes de rançongiciels a augmenté de 49 % l'année dernière, selon les informations fournies par les sites de divulgation de données relatives aux rançongiciels.
Vulnérabilités critiques
Palo Alto a recensé 3 998 publications sur des sites de divulgation de rançons, contre seulement 2 679 sur 2022 (soit une augmentation de 49 %).
Ils attribuent cette forte augmentation aux nombreuses failles de type « zero-day » qui ont été découvertes tout au long de l'année. Parmi les principales contributions, on peut citer la vulnérabilité GoAnywhere et celle de MOVEit.
Les nouveaux venus dans le domaine des ransomwares
La ville de Palo Alto a recensé 25 nouveaux sites de fuites sur 2023 , parmi lesquels :
- 8Base
- Abîme
- Akira
- BlackSuit
- Cactus
- CiphBit
- Cape
- CrossLock
- CryptNet
- Cyclope
- DarkRace
- Hunters International
- INC
- Chevalier
- LostTrust
- NoEscape
- Miaou
- Message sur l'argent
- Groupe RA
- Rancoz
- Rasomed.Vc
- Rhysida
- ThreeAM
- Trigona
- Bombe U
Parmi ces 25 nouveaux arrivants, au moins cinq d'entre eux ne semblaient pas avoir publié de message au cours du second semestre de l'année 2023 et environ 12 d'entre eux ne sont apparus qu'au cours du second semestre de cette année-là. Ces nouveaux ransomwares ont représenté environ 25 % du nombre total de publications consacrées aux ransomwares sur 2023.
Activité cessée
Plusieurs opérations de ransomware semblent avoir cessé leurs activités au cours de l'année 2023. La cessation de ces activités était parfois due à des opérations menées par les forces de l'ordre, à la saisie d'infrastructures et à l'arrestation de personnalités clés.
Parmi les groupes qui semblent avoir cessé leurs activités à un moment donné au cours de l'année 2023 , on peut citer Hive, Ragnar Locker, Ransomed.Vc et Trigona.
Statistiques
- Il s'est avéré que LockBit était le groupe le plus actif en 2023, représentant environ 23 % du nombre total de publications sur les sites de divulgation.
- LockBit a été suivi par BlackCat, avec 9,7 %, puis par CL0P , avec 9,1 %.
- En moyenne, environ 77 articles ont été publiés chaque semaine tout au long de l'année, le mois le plus actif ayant été juillet en raison de la faille de sécurité de MOVEit.
- L'industrie manufacturière a été le secteur le plus visé en 2023 , avec 14 % du nombre total d'offres d'emploi. Venaient ensuite les secteurs des services professionnels et du droit, puis celui des technologies.
- Les États-Unis ont été la région géographique la plus ciblée, représentant environ 47 % des publications.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de Palo Alto offre de nombreux éléments à approfondir. Le thème principal est que les ransomwares continuent de connaître une tendance à la hausse, même si les groupes à l'origine de ces attaques vont et viennent.
Un aspect important de leurs recherches porte sur l'impact des exploits « zero-day » et du ciblage des vulnérabilités critiques sur le paysage des ransomwares. Cette donnée est intéressante car l'impact d'une vulnérabilité s'étend bien au-delà des seules attaques par ransomware, mais nous pouvons désormais mesurer l'ampleur de cet impact sur un aspect particulier du paysage des cybermenaces.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' sur les cybermenaces.
