Un nouveau rapport de Cisco Talos révèle que les logiciels malveillants de base ont dépassé les ransomwares dans les engagements de réponse aux incidents (CTIR) de Cisco Talos pour la première fois depuis plus d’un an. Le rapport expose également les dernières tactiques, techniques et procédures (TTP) déployées par les cybercriminels. Ensuite, nous soulignons qu’un nouveau rootkit de firmware UEFI appelé « CosmicStrand » est activement utilisé par les acteurs malveillants de langue chinoise pour cibler des personnes dans différentes régions. Enfin, les informations de Censys révèlent l’existence d’une infrastructure de commande et de contrôle (C2) des ransomwares liée à la Russie, qui semble avoir pris pied dans au moins un réseau basé aux États-Unis.
1. Rapport trimestriel de Cisco Talos : tendances en matière de réponse aux incidents en Q2 2022
Le dernier rapport sur les tendances en matière de réponse aux incidents dans Q2 2022 de Cisco Talos contient une multitude d’informations importantes sur la cybersécurité.
Voici quelques-uns des principaux points à retenir :
Les logiciels malveillants de marchandises ont lieu en premier
La principale menace observée ce trimestre est un logiciel malveillant de base, ou logiciel malveillant qui est facilement disponible à l’achat. Cela est significatif lorsque l’on considère le déclin global des attaques tirant parti des chevaux de Troie de base dans les engagements CTIR remontant à 2020.
Selon Talos, ces développements coïncident avec la résurgence de divers chevaux de Troie par e-mail ces derniers mois après avoir subi des perturbations entre les mains des forces de l’ordre et des entreprises technologiques.
Ce trimestre a également vu une augmentation de l’activité impliquant des voleurs d’informations tels que Redline et QBot. Ces familles de logiciels malveillants ont toutes initié des infections précurseurs pour différentes charges utiles, principalement pour les rançongiciels, à différents moments.
Le nouveau rapport trimestriel sur les tendances de @TalosSecurity montre que les logiciels malveillants de base, et non les rançongiciels, étaient la principale menace en Q2.https://t.co/HRH2UWJi9h
— Decipher (@DecipherSec) 26 juillet 2022
Par rapport aux trimestres précédents, les rançongiciels étaient impliqués dans un pourcentage significativement plus faible d’engagements, représentant 15 % de toutes les menaces observées ce trimestre, par rapport à 25 % le trimestre dernier.
Principales familles de ransomwares/malwares :
- RAT Remcos
- Voleur InfoStealer Vidar
- Redline InfoStealer
- Cheval de Troie QBot
- ransomware BlackCat (ALPHV)
- ransomware Conti
Principaux secteurs d’activité ciblés
- Télécommunications : ce secteur vertical figurait également parmi les secteurs les plus ciblés en Q4 2021 et Q1 2022.
- Soins de santé/médicaux : les soins de santé sont toujours une cible privilégiée pour les extorsions, en raison du besoin primordial des organisations de soins de santé de fournir la continuité des soins et d’éviter les pannes à tout prix.
- Éducation : les écoles sont une autre cible populaire pour les cybercriminels en raison de la perception que les établissements d’enseignement disposent de ressources précieuses et de la capacité à payer des demandes de rançon importantes.
- D’autres secteurs verticaux à risque répertoriés dans le rapport comprennent les services financiers, le gouvernement local, les services alimentaires, la vente au détail/le commerce, l’automobile, l’informatique, l’équipement de production et la fabrication.
Principales menaces globales
- Malware pour les marchandises
- Ransomware
- Autre
- Phishing / compromission des e-mails professionnels (BEC)
- Menace persistante avancée (APT)
- Applications exposées/non configurées
Mentions honorables : menaces internes, Log4j, pré-ransomware et navigateur Wave (PUP).
Principaux vecteurs d’infection initiaux
- Phishing
- Exploiter les applications publiques
- Inconnu
- Comptes valides
Mentions honorables : services distants externes et compromission au volant.
Informations supplémentaires
Selon Talos, un manque d’ authentification multifacteur (AMF) reste l’un des plus grands obstacles à la sécurité des entreprises, ce qui suggère que les organisations doivent prendre des mesures avancées pour protéger les comptes d’utilisateurs.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il reste quelques questions liées aux données présentées ci-dessus. Tout d’abord, nous sommes curieux de connaître d’autres facteurs potentiels contribuant à ce que les logiciels malveillants de base surpassent les ransomwares pour la première fois depuis des âges.
Par exemple :
- L’augmentation des acteurs de menace d’extorsion sans chiffrement (tels que LAPSUS$) a-t-elle eu un impact sur les nombres de ransomwares inférieurs ?
- Les nombreux logiciels malveillants nouvellement apparus découverts dans le contexte du conflit Russie/Ukraine affecteront-ils les chiffres du prochain rapport trimestriel de Talos ?
- Qu’en est-il des logiciels malveillants destructeurs ? L’un de ces éléments fera-t-il une apparition ?
- Qu’est-ce qui a précipité l’augmentation de la popularité des programmes malveillants de vol d’informations ?
- Les courtiers d’accès initial ont-ils joué un rôle dans le succès dont bénéficient actuellement ces familles de logiciels malveillants de vol d’informations ?
Mis à part les questions, nous pensons que les informations fournies par certaines des données de ce rapport s’avéreront utiles à la communauté des renseignements sur les cybermenaces. »
2. Des experts découvrent le nouveau rootkit de firmware UEFI « CosmicStrand » utilisé par les pirates informatiques liés à la Chine
SecureList de Kaspersky a récemment découvert un nouveau rootkit sophistiqué de firmware UEFI appelé CosmicStrand qui est désormais utilisé par un acteur malveillant de langue chinoise inconnue.
Les victimes seraient des personnes privées situées en Chine, au Vietnam, en Iran et en Russie. À l’heure actuelle, il n’existe aucune preuve reliant ces victimes à des organisations ou des secteurs verticaux spécifiques.
Bien qu’il ait été récemment découvert, le rootkit du firmware #CosmicStrand UEFI semble avoir été déployé depuis très longtemps. Cela suggère que les acteurs malveillants disposaient de capacités très avancées qu’ils ont réussi à garder sous le radar depuis 2017 ⇒ https://t.co/A6WDduvt0l pic.twitter.com/8N40FGJzBH
— Kaspersky (@kaspersky) 28 juillet 2022
Qu’est-ce que CosmicStrand UEFI rootkit ?
Comme l’explique SecureList, les rootkits sont des implants malveillants conçus pour s’enfoncer dans les « coins les plus profonds du système d’exploitation ». Les rootkits sont souvent associés à des cybermenaces de premier plan, comme des groupes APT parrainés par l’État, en raison des défis techniques complexes qu’ils posent.
Malheureusement, les cybercriminels et les APT sont de plus en plus attirés par les rootkits, principalement parce que ce type de malware se niche à des niveaux si bas dans le système d’exploitation qu’il rend la détection extrêmement difficile. Les rootkits de firmware maintiennent également les appareils dans un état compromis, même après la réinstallation du système d’exploitation ou le remplacement du disque dur.
CosmicStrand est un rootkit de firmware UEFI qui utilise un petit fichier 96,84KB . Bien que le vecteur d’accès initial de CosmicStrand n’ait pas encore été déterminé, l’activité post-compromission comprend des modifications du pilote CSMCORE DXE, dont le point d’entrée a été corrigé pour rediriger vers le code ajouté dans la section .reloc. Ce code, exécuté pendant le démarrage du système, déclenche une longue chaîne d’exécution qui entraîne le téléchargement et le déploiement d’un composant malveillant dans Windows. En fin de compte, l’objectif de CosmicStrand est de déployer un implant au niveau du noyau dans un système Windows chaque fois qu’il démarre, provenant du composant UEFI infecté.
SecureList estime que ces modifications peuvent avoir été le travail d’un correcteur automatisé. Si cela s’avère exact, cela peut indiquer que les attaquants ont obtenu un accès préalable à l’ordinateur de la victime pour extraire, modifier et écraser le firmware de la carte mère. Cela peut être réalisé via un implant malveillant précurseur déjà déployé sur l’ordinateur, ou en obtenant un accès physique à l’appareil.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que l’émergence d’un nouveau rootkit de firmware soit notable en soi, son développement suspecté par, son utilisation par et ses liens potentiels avec les acteurs malveillants parlant chinois est également intéressant.
Bien qu’il reste certainement beaucoup à apprendre sur la chaîne d’attaque de CosmicStrand et les opérateurs derrière son déploiement, le défi technologique présenté aux développeurs cherchant à créer un tel logiciel malveillant suggère que les auteurs de CosmicStrand sont assez sophistiqués et qu’ils peuvent avoir accès à des ressources considérables. Cela s’alignerait sur l’historique cyberactivité liée à la Chine. L’incapacité à lier définitivement cette activité à un acteur malveillant/APT connu peut également suggérer que les opérateurs de CosmicStrand accordent une importance particulière à la sécurité opérationnelle (OPSEC), un attribut commun à de nombreux pirates informatiques liés à l’État chinois.
Un autre élément de preuve potentiel reliant l’activité de CosmicStrand à une entité alignée sur l’État est le fait que jusqu’à présent, toutes les attaques connues ont ciblé des personnes. Bien qu’il ne semble pas encore y avoir de lien commun entre ces personnes en ce qui concerne les organisations ou les industries, le gouvernement chinois est connu pour cibler des personnes d’intérêt national pour la surveillance et la collecte de renseignements, allant parfois même jusqu’à dissimuler des efforts tels que des activités non ciblées, telles que des attaques de chaîne d’approvisionnement qui, à première vue, semblent conçues pour avoir un impact sur des milliers, mais après une inspection plus approfondie, s’avèrent destinées à infecter uniquement quelques centaines de personnes d’intérêt pour le gouvernement chinois.
Encore une fois, au moment du signalement, tout cela est spéculatif. Le temps indiquera quel est le véritable motif. »
3. Le cabinet d’études Censys trouve un réseau de ransomwares basé en Russie, présent aux États-Unis.
Les chercheurs de la société de gestion de surface d’attaque Censys affirment avoir découvert un réseau de commande et de contrôle des ransomwares (C2) basé en Russie avec une présence dans au moins un réseau américain.
L’activité a été observée pour la première fois par des chercheurs de Censys autour de 24 juin 2022, lorsque, lors d’une analyse de plus de 4,7 millions d’hôtes basés en Russie, ils ont découvert deux hôtes russes contenant l’outil d’exploitation Metasploit ainsi que l’outil Deimos C2 .
Il convient d’expliquer que Censys effectuait les analyses pour révéler les 1 000 principaux produits logiciels actuellement observables parmi plus de 4,7 millions d’hôtes découverts en Russie par les chercheurs de la société. Une analyse historique plus approfondie a révélé que l’un de ces hôtes avait déjà utilisé l’outil PoshC2 . Ces outils contiennent tous des fonctionnalités qui permettent aux testeurs de pénétration et aux pirates informatiques d’accéder à distance aux hôtes cibles et de les gérer.
Les chercheurs de Censys ont tiré parti des détails du certificat PoshC2 pour localiser des hôtes russes supplémentaires dans divers emplacements mondiaux, y compris deux hôtes supplémentaires à l’aide du certificat PoshC2 , situé aux États-Unis. Censys identifie ces systèmes comme des hôtes russes, et déclare qu’ils contenaient également des packages de logiciels malveillants, y compris un kit de ransomware, ainsi qu’un fichier avec un lien vers deux hôtes Bitcoin russes.
Selon Censys, les chercheurs ont localisé un hôte dans l’Ohio qui contenait également l’outil Deimos C2 , qui est le même outil découvert sur l’hôte russe initial. Une analyse historique plus approfondie révèle que l’hôte de l’Ohio possédait également un package de logiciels malveillants cohérent avec le ransomware découvert sur les hôtes russes contenant l’outil PoshC2 mentionné ci-dessus.
Remarque de l’éditeur : pour éviter toute confusion, nous ferons référence aux hôtes russes initialement découverts possédant Metasploit et Deimos C2 en tant qu’hôtes A et B, et aux hôtes découverts ultérieurement possédant des kits de logiciels malveillants et de rançongiciels en tant qu’hôtes F et G (la convention de dénomination aura plus de sens si vous examinez le rapport technique extrêmement approfondi de Censys).
Après avoir approfondi davantage, Matt Lembright, qui est directeur des applications fédérales chez Censys et l’homme responsable de l’activité d’analyse initiale, a découvert avec son équipe que les hôtes décrits ci-dessus présentaient des connexions avec le ransomware MedusaLocker, ainsi que le ransomware Karma.
Comme l’ont déclaré Lembreight et co., la découverte des connexions de ransomware de ces hôtes était particulièrement nouvelle, car la plupart des incidents de ransomware sont découverts après une attaque, et il s’agissait d’une rare instance de chercheurs trouvant des preuves de groupes qui préparent le terrain pour une attaque.
Censys évalue que les hôtes russes A et B initialement découverts avec Metasploit et Deimos C2 sont peut-être des vecteurs d’attaque initiaux pour prendre le contrôle des hôtes victimes, tandis que les hôtes russes F et G possèdent des logiciels malveillants capables de désactiver les antivirus et d’effectuer une attaque de rançongiciel, avec des balises vers deux nœuds Bitcoin qui reçoivent probablement un paiement de rançongiciel de la part des victimes.
Censys a pu lier les hôtes à l’opération de ransomware MedusaLocker grâce au contenu d’un rapport de la Cybersecurity and Infrastructure Security Agency (CISA) publié il y a près d’un mois, qui a mis en évidence la méthodologie du groupe et fourni des indicateurs de compromission (IOC) associés à l’infrastructure exploitée par le groupe, tels que les adresses e-mail, les adresses IP et les adresses de nœud TOR.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Censys a partagé ses conclusions avec le FBI et travaille actuellement avec l’agence d’application de la loi pour confirmer si les hôtes ont été exploités dans le cadre d’attaques contre un hôpital et une bibliothèque l’année dernière. Le partage de ce type d’informations est particulièrement louable, car d’autres organisations peuvent être en mesure de reconnaître ces hôtes ou les modèles impliqués dans les rapports de Censys et potentiellement contrecarrer une attaque plus importante si cette découverte s’avère faire partie de l’activité précurseur soutenant une attaque future plus importante. »
Visitez notre communauté d’utilisateurs Tanium
Rendez-vous sur notre communauté d’utilisateurs pour accéder aux forums de discussion, aux annonces, aux mises à jour sur les problèmes émergents et aux meilleures pratiques de cybersécurité. Jetez-y un coup d’œil.
Découvrez nos récents récapitulatifs de sécurité
12 juillet : menace croissante de la Chine, attaque de la chaîne d’approvisionnement logicielle du Brute Ratel C4 et du NPM
