Dans le tour d'horizon de cette semaine, CTI se penche sur les deux dernières failles répertoriées dans le catalogue des vulnérabilités exploitées de l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA). Par la suite, CTI présente une vue d'ensemble de l'acteur malveillant UAC-0050, qui diffuse désormais le RAT Remcos à l'aide de techniques de phishing de type « » :. Enfin, CTI se penche sur la dernière version du logiciel de vol de mots de passe « Meduza », qui circule actuellement sur le dark web.
1. La CISA ajoute deux failles au catalogue des vulnérabilités connues faisant l'objet d'exploits (KEV)
Parmi les ajouts récents de la CISA au catalogue « Known Exploited Vulnerabilities » ( KEV) (s'ouvre dans un nouvel onglet) figurent une faille corrigée dans Google Chrome et un bug affectant Spreadsheet::ParseExcel, une bibliothèque Perl open source.
L'agence a fixé au 23 janvier 2024 la date limite à laquelle les agences fédérales doivent remédier à ces deux problèmes ou cesser d'utiliser les produits vulnérables.
Bug I : CVE-2023-7024
Le premier bug est CVE-2023-7024 (s'ouvre dans un nouvel onglet) ; il s'agit d'un débordement de tampon de la mémoire dynamique dans WebRTC pour Google Chrome avant la version 120,0,6099,129. Cette vulnérabilité pourrait permettre à un attaquant distant de provoquer une corruption de la mémoire dynamique via une page HTML spécialement conçue. Elle affiche un score de base élevé de 8,8 dans la base de données nationale des vulnérabilités.
- C'est le groupe d'analyse des menaces « » de Google (s'ouvre dans un nouvel onglet) qui a signalé cette vulnérabilité pour la première fois sur 19 décembre 2023. Selon leurs chercheurs, cette vulnérabilité a été exploitée dans la nature avant que des correctifs ne soient mis à disposition.
- Google a depuis publié une mise à jour de sécurité qui corrige un débordement potentiel de la mémoire tampon du tas dans WebRTC. Des versions corrigées ont été mises à disposition des utilisateurs de Windows (120,0,6099,129/130) ainsi que des utilisateurs de Mac et de Linux (120,0,6099,129) un jour après que la faille eut été signalée à Google.
- Cette faille constituait la huitième faille de type « zero-day » affectant les navigateurs Web basés sur Chromium en 2023. Google n'a pas encore fourni de détails concernant d'éventuelles attaques spécifiques ayant exploité cette vulnérabilité, précisant que les informations relatives à ce bug pourraient rester confidentielles jusqu'à ce qu'un plus grand nombre d'utilisateurs aient installé le correctif.
Bug II : CVE-2023-7101
La deuxième vulnérabilité, CVE-2023-7101 (s'ouvre dans un nouvel onglet), a été découverte dans la version .65 de Spreadsheet::ParseExcel, un module Perl permettant d'analyser des fichiers Excel.
- Il a été constaté que la bibliothèque Spreadsheet::ParseExcel présentait un risque lié à une vulnérabilité permettant l'exécution de code arbitraire, car elle transmettait des données non validées provenant d'un fichier à une fonction « eval » de type chaîne de caractères. Le problème trouvait son origine dans l'évaluation des chaînes de format numérique au sein de la logique d'analyse d'Excel.
- Ce bug est toujours en attente d'analyse et ne dispose pas encore d'un score de vulnérabilité.
- Barracuda a révélé une vulnérabilité légèrement différente sur 24 décembre 2023, référencée sous le numéro CVE-2023-7102. Cette vulnérabilité « zero-day » était due à une faille dans la bibliothèque tierce « Spreadsheet::ParseExcel » utilisée par le scanner antivirus Amavis fonctionnant sur les appliances Barracuda ESG.
- Cette faille pourrait être exploitée pour exécuter du code arbitraire sur des appareils ESG non mis à jour, par le biais d'une injection de paramètres. L'entreprise a ensuite ouvert le ticket n° CVE-2023-7101 afin de suivre ce bug séparément dans la bibliothèque open source.
- Barracuda a établi un lien entre l'exploitation des vulnérabilités CVE-2023-7102 et UNC4841, qui avait déjà été associée à l'exploitation d'autres failles « zero-day » de Barracuda. L'acteur a poursuivi ses activités d'exploitation en déployant de nouvelles variantes d'implants connus, appelés SEASPY et SALTWATER, qui sont tous deux conçus pour assurer la persistance et l'exécution de commandes.
- Mandiant mène depuis lors une enquête sur les activités liées à l'exploitation de ces vulnérabilités « Spreadsheet::ParseExcel » et a constaté que, selon les estimations, des organismes publics et privés situés dans 16 pays auraient été touchés depuis le octobre 2022.
- Google Cloud a indiqué avoir constaté, au plus tôt en 30 novembre 2023, des attaques visant CVE-2023-7102 cibles, parmi lesquelles figuraient des entreprises de haute technologie, des prestataires de services informatiques et des organismes publics, principalement aux États-Unis et dans la région Asie-Pacifique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que l'annonce de la CISA soit importante et utile, il est essentiel de comprendre qu'il ne faut pas nécessairement attendre que les vulnérabilités soient ajoutées au KEV pour déterminer s'il convient ou non d'appliquer un correctif.
Comme leur nom l'indique, ces vulnérabilités sont connues pour avoir été exploitées dans la nature. Si vous attendez, il sera peut-être déjà trop tard. Ce n'est pas parce qu'une vulnérabilité ne figure pas sur la liste de la CISA qu'elle n'est pas exploitée.
Cela dit, il convient sans aucun doute de corriger ces nouvelles vulnérabilités, si ce n'est déjà fait.
2. UAC-0050 diffuse le RAT Remcos à l'aide de nouvelles techniques d'hameçonnage
Un acteur malveillant identifié sous les noms d' , UAC-0050, (s'ouvre dans un nouvel onglet),et mène actuellement des attaques de hameçonnage visant à diffuser le RAT Remcos. L'acteur a adopté de nouvelles stratégies pour échapper à la détection, notamment l'intégration d'une méthode de communication inter-processus par « pipe » afin de créer un canal caché pour le transfert de données.
Contexte de l'UAC-0050
, de la société Uptycs, a reçu une alerte (s'ouvre dans un nouvel onglet) concernant un fichier LNK suspect sur 21 décembre 2023, ce qui l'a conduit à mener une enquête plus approfondie. Leur analyse a révélé que le groupe UAC-0050 déployait le RAT Remcos dans le cadre d'une opération ciblée contre des entités gouvernementales ukrainiennes.
On pense que l'accès initial s'effectue par le biais d'e-mails de hameçonnage ou de spam se présentant sous la forme d'offres d'emploi et ciblant le personnel militaire ukrainien. Le fichier LNK sert à lancer le téléchargement d'un fichier HTA contenant un script VBS. Ce script déclenche un script PowerShell qui, à son tour, téléchargera une charge utile malveillante. L'exécution de la charge utile aboutit finalement au lancement d'explorer.exe, avec le RAT Remcos présent dans la mémoire d'explorer.exe.
Détails techniques
Comme indiqué, la chaîne d'attaque commence par un fichier LNK. Le fichier utilisé dans cette attaque a recueilli des informations sur le logiciel antivirus installé sur l'appareil ciblé. Le fichier contient également une chaîne d'URL obscurcie, qui est exécutée via MSHTA.
Uptycs a pu se procurer le fichier « “6.hta » afin de procéder à une analyse plus approfondie, ce qui a permis de découvrir le script VBS qu'il contenait. Le script PowerShell exécuté via le script VBS effectue plusieurs tâches, telles que l'initialisation d'une chaîne de caractères, la création d'objets de déchiffrement, la création de flux mémoire, etc.
Le processus désobfuscé ainsi obtenu a conduit à un autre script PowerShell qui créait des chemins d'accès dans le répertoire AppData, vérifiait l'existence de fichiers spécifiques et appelait la fonction DcO pour effectuer diverses actions.
Uptycs a pu recenser toutes les activités PowerShell qui semblaient malveillantes et a finalement découvert que les charges utiles (word_update.exe et ofer.docx) avaient été téléchargées depuis le domaine new-tech-savvy[.]com.
Informations sur la charge utile
En exécutant la charge utile « word_update.exe », les chercheurs ont constaté que celle-ci créait une copie d'elle-même dans un dossier nouvellement créé, tout en modifiant le nom du fichier.
Le logiciel malveillant s'assurera ensuite de sa persistance en créant une entrée dans le dossier de démarrage via la création d'un fichier LNK, ce qui forcera l'exécution du fichier malveillant copié au démarrage de l'ordinateur. Ce fichier contenait des données de ressources inhabituelles qui ont été transférées en mémoire et ont fait l'objet d'un déchiffrement.
Le logiciel malveillant a ensuite appelé la fonction API WriteFile et a utilisé des « pipes » pour contourner diverses solutions de sécurité. Le processus utilise un descripteur pointant vers un canal anonyme et, une fois l'opération terminée, les données sont transmises depuis word_update.exe vers cmd.exe. Les données présentes en mémoire ont été déchiffrées au cours de l'exécution avant le lancement du RAT Remcos.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'utilisation d'une méthode de « pipe » pour établir un canal caché destiné au transfert de données n'est pas une technique entièrement nouvelle, mais elle semble l'être pour cet acteur malveillant — ce qui indique un changement dans ses TTP et pourrait signaler un niveau de sophistication croissant.
Ce qui est intéressant, c'est l'utilisation du RAT Remcos. L'acteur malveillant semble diffuser de plus en plus ce RAT et a même été mis en cause dans une alerte émise par le CERT-UA l'année dernière. Même si cette attaque semble pour l'instant plutôt ciblée, elle recourt à des TTP couramment utilisées ; il convient donc de continuer à la surveiller de près.
3. Une nouvelle version de Meduza Stealer fait son apparition sur le dark web
Resecurity a récemment constaté que l'auteur du voleur de mots de passe « Meduza » ( ) (s'ouvre dans un nouvel onglet) avait publié une nouvelle version, la 2,2, sur le dark web. Cette divulgation a été annoncée sur le dark web, à l'adresse 24 décembre 2023.
Cette dernière version, qui intervient quelques mois seulement après la sortie initiale du logiciel malveillant en juin, suscite d'ores et déjà un vif intérêt. Les principales améliorations apportées à la version 2,2 sont la prise en charge de nouveaux clients logiciels, une version améliorée de l'outil d'extraction de données de cartes bancaires, ainsi que l'ajout de mécanismes avancés permettant de récupérer les données de stockage des mots de passe sur différentes plateformes afin d'extraire les identifiants et les jetons.
Qu'est-ce que Meduza Stealer ?
Meduza a fait son apparition pour la première fois sur le forum clandestin XSS. Il a ensuite reçu des retours positifs sur d'autres communautés, comme Exploit.
Ce logiciel malveillant prend actuellement en charge Windows Server 2012, 2016, 2019, 2022 et Windows 11/10. Meduza est capable de voler des données provenant d'un large éventail de logiciels et d'applications, notamment plus de 100 navigateurs, plus de 100 portefeuilles de cryptomonnaies, l'application de messagerie Telegram, Steam, Discord, 27 gestionnaires de mots de passe, Outlook, les jetons Google, et bien d'autres encore.
Les dernières mises à jour de Meduza Stealer
L'auteur de Meduza met en œuvre plusieurs améliorations pour la version 2024. L'une des principales améliorations réside dans l'optimisation et la réécriture du module de récupération des mots de passe, qui passe de la bibliothèque STL à l'interface WinAPI. Cela s'accompagne de nombreuses améliorations apportées aux communications « C2 » du voleur.
La version 2024 apportera également une amélioration du stub de cryptage et de la capacité à contourner les antivirus ; moyennant un supplément, l'auteur pourra ainsi proposer une obfuscation renforcée du logiciel de vol de données, avec une meilleure capacité à échapper à la détection des antivirus. Meduza prend désormais également en charge de nouveaux portefeuilles de cryptomonnaies accessibles via un navigateur.
L'auteur à l'origine de Meduza s'est associé à un service de chiffrement clandestin réputé, connu sous le nom de TrueCrypt Service. De nombreux auteurs de logiciels malveillants et de rançongiciels utilisent ce service pour dissimuler leurs charges utiles et contourner les solutions antivirus. Resecurity a constaté que la dernière version du code crypté fonctionnait dans une certaine mesure, puisqu'au moment de sa découverte, elle n'avait été détectée que par un seul fournisseur sur VirusTotal.
Combien coûte Meduza Stealer ?
Meduza Stealer 2,2 est proposé au prix de 199 dollars par mois, tandis que l'abonnement à vie coûte 1199 dollars.
L'équipe propose également des services de cryptage avec des clés publiques et privées, ainsi que des serveurs permettant d'héberger des panneaux C2 — moyennant paiement. Dès qu'un acteur malveillant aura effectué le paiement pour Meduza, l'auteur l'invitera à rejoindre un canal Telegram privé où il recevra le nouvel outil. Selon Resecurity, la dernière version disponible sur la chaîne Telegram privée est Meduza 2,2,7, ce qui indique que ce logiciel malveillant a encore été amélioré.
Pour installer Meduza, l'auteur de la menace doit d'abord lancer le fichier partagé MedusaServer.exe, installer la version 3,10,2 de Python, installer le package de redistribuables Microsoft Visual Studio, puis exécuter plusieurs commandes dans la console. La dernière variante de Meduza prend en charge la communication via l'application de messagerie instantanée Telegram afin de transmettre les journaux de la victime infectée.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'auteur de Meduza met tout en œuvre pour améliorer sans cesse ce logiciel malveillant et le rendre plus attractif aux yeux des cybercriminels. La version 2,2 a été publiée sur 24 décembre, et la version 2,2,7 est d'ores et déjà disponible. Cela montre à quel point ce logiciel malveillant évolue rapidement.
Compte tenu du soutien constant dont bénéficie Meduza et de sa croissance continue, Resecurity estime que Meduza commence à concurrencer Azorult et Redline Stealer. Seul le temps nous dira dans quelle mesure le « Meduza Stealer » connaîtra le succès.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
