Un nouveau rapport de Cisco Talos révèle que, pour la première fois depuis plus d'un an, les logiciels malveillants courants ont dépassé les ransomwares dans le cadre des interventions menées par Cisco Talos Incident Response (CTIR). Ce rapport met également en lumière les dernières tactiques, techniques et procédures (TTP) utilisées par les cybercriminels. Nous mettons ensuite en avant un nouveau rootkit de micrologiciel UEFI, baptisé « CosmicStrand », qui est activement utilisé par des acteurs malveillants de langue chinoise pour cibler des personnes dans différentes régions. Enfin, des informations fournies par Censys révèlent l'existence d'une infrastructure de commande et de contrôle (C2) liée à la Russie et utilisée dans le cadre d'attaques par ransomware, qui semble avoir pris pied dans au moins un réseau situé aux États-Unis.
1. Cisco Talos’ Quarterly Report: Incident Response Trends in Q2 2022
Le dernier rapport de Cisco Talos, intitulé « : Incident Response Trends in Q2 2022 », contient une mine d'informations importantes sur la cybersécurité.
Voici quelques-uns des principaux points à retenir :
Les logiciels malveillants de type « commodity » occupent la première place
La principale menace observée ce trimestre est celle des logiciels malveillants « de série », c'est-à-dire des logiciels malveillants facilement accessibles à la vente. Ce constat revêt une importance particulière compte tenu de la baisse générale du nombre d'attaques utilisant des chevaux de Troie courants dans les interventions du CTIR, tendance qui remonte à 2020.
Selon Talos, ces évolutions coïncident avec la recrudescence, ces derniers mois, de divers chevaux de Troie diffusés par e-mail, après que ceux-ci ont subi des perturbations causées tant par les forces de l'ordre que par les entreprises technologiques.
Ce trimestre a également été marqué par une recrudescence des activités liées à des logiciels de vol d'informations tels que Redline et QBot. Ces familles de logiciels malveillants ont toutes déclenché, à différents moments, des infections préliminaires destinées à installer diverses charges utiles, principalement des ransomwares.
Le nouveau rapport trimestriel sur les tendances publié par @TalosSecurity montre que ce sont les logiciels malveillants courants, et non les ransomwares, qui ont constitué la principale menace en Q2. blog.talosintelligence.com/2022/07/quarte…
Par rapport aux trimestres précédents, les ransomwares ont représenté une part nettement plus faible des incidents, soit 15 % de l'ensemble des menaces observées ce trimestre, contre 25 % au trimestre dernier.
Principales familles de ransomwares et de logiciels malveillants :
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- Le cheval de Troie QBot
- Ransomware BlackCat (ALPHV)
- Ransomware Conti
Secteurs d'activité prioritaires
- des télécommunications : ce secteur d'activité figurait également parmi les plus visés en Q4 2021 et Q1 2022.
- dans le secteur de la santé : Le secteur de la santé est toujours une cible de prédilection pour les maîtres chanteurs, en raison de la nécessité absolue pour les établissements de santé d’assurer la continuité des soins et d’éviter à tout prix toute interruption de service.
- dans le secteur de l'éducation : les établissements scolaires constituent une autre cible privilégiée des cybercriminels, car ceux-ci considèrent que les établissements d'enseignement disposent de ressources précieuses et ont les moyens de s'acquitter de rançons importantes.
- Parmi les autres secteurs à risque cités dans le rapport figurent les services financiers, les collectivités locales, la restauration, le commerce de détail, l'automobile, les technologies de l'information, les équipements de production et l'industrie manufacturière.
Principales menaces globales
- Malware de type « commodity »
- Ransomware
- Autres
- Hameçonnage / Compromission des e-mails professionnels (BEC)
- Menace persistante avancée (APT)
- Applications exposées ou mal configurées
Mentions spéciales : menaces internes, « Log4j », pré-ransomware et navigateur Wave (PUP).
Principaux vecteurs d'infection initiale
- Hameçonnage
- Exploiter des applications accessibles au public
- Inconnu
- Comptes valides
Mentions honorables : services à distance externes et compromission de type « drive-by ».
Informations complémentaires
Selon Talos, l'absence d' s de sécurité en matière d'authentification multifactorielle (MFA) reste l'un des principaux obstacles à la sécurité des entreprises, ce qui suggère que celles-ci doivent mettre en place des mesures avancées pour protéger les comptes des utilisateurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il subsiste quelques questions concernant les données présentées ci-dessus. » Avant tout, nous souhaitons savoir quels sont les autres facteurs susceptibles d'expliquer pourquoi les logiciels malveillants de type « commodity » ont dépassé les ransomwares pour la première fois depuis très longtemps.
Par exemple :
- La montée en puissance des acteurs malveillants pratiquant l'extorsion sans chiffrement (tels que LAPSUS$) a-t-elle eu une incidence sur la baisse du nombre d'attaques par ransomware ?
- Les différents logiciels malveillants récemment apparus, découverts dans le contexte du conflit entre la Russie et l'Ukraine, auront-ils une incidence sur les chiffres du prochain rapport trimestriel de Talos ?
- Qu'en est-il des logiciels malveillants destructeurs ? Est-ce que l'un de ces éléments fera son apparition ?
- Qu'est-ce qui a favorisé la montée en puissance des logiciels malveillants destinés au vol d'informations ?
- Les courtiers en accès initial ont-ils joué un rôle dans le succès que connaissent actuellement ces familles de logiciels malveillants destinés au vol d'informations ?
« Mises à part ces questions, nous pensons que les informations fournies par certaines des données contenues dans ce rapport s’avéreront utiles à la communauté chargée du renseignement sur les cybermenaces. »
2. Des experts ont mis au jour un nouveau rootkit UEFI baptisé « CosmicStrand », utilisé par des pirates informatiques liés à la Chine
SecureList by Kaspersky a récemment mis au jour un nouveau rootkit sophistiqué ciblant le micrologiciel UEFI, baptisé « CosmicStrand », qui est désormais utilisé par un acteur malveillant inconnu de langue chinoise.
Les victimes seraient des particuliers résidant en Chine, au Vietnam, en Iran et en Russie. À l'heure actuelle, aucun élément ne permet d'établir un lien entre ces victimes et des organisations ou des secteurs d'activité spécifiques.
Bien qu'il ait été découvert récemment, #CosmicStrand ce rootkit du micrologiciel UEFI semble être déployé depuis déjà un certain temps. Cela laisse supposer que les auteurs de ces attaques disposaient de capacités très sophistiquées qu’ils ont réussi à dissimuler depuis 2017 ⇒ kas.pr/1pho
Qu'est-ce que le rootkit CosmicStrand UEFI ?
Comme l'explique SecureList, les rootkits sont des logiciels malveillants conçus pour s'infiltrer dans les « recoins les plus profonds du système d'exploitation ». Les rootkits sont souvent associés à des acteurs de premier plan dans le domaine des cybermenaces, tels que les groupes APT soutenus par des États, en raison des défis techniques complexes qu’ils posent.
Malheureusement, les cybercriminels comme les groupes APT s'intéressent de plus en plus aux rootkits, principalement parce que ce type de logiciel malveillant s'infiltre à des niveaux si profonds du système d'exploitation qu'il est extrêmement difficile à détecter. Les rootkits intégrés au micrologiciel maintiennent également les appareils dans un état compromis, même après la réinstallation du système d'exploitation ou le remplacement du disque dur.
CosmicStrand est un rootkit de micrologiciel UEFI qui utilise un petit fichier de 96,84KB . Bien que le vecteur d'accès initial de CosmicStrand n'ait pas encore été déterminé, les activités observées après la compromission comprennent des modifications apportées au pilote CSMCORE DXE, dont le point d'entrée a été modifié afin de rediriger vers du code ajouté dans la section .reloc. Ce code, exécuté lors du démarrage du système, déclenche une longue chaîne d’opérations qui aboutit au téléchargement et au déploiement d’un composant malveillant au sein de Windows. À terme, l’objectif de CosmicStrand est de déployer un implant au niveau du noyau dans un système Windows à chaque démarrage, à partir du composant UEFI infecté.
SecureList estime que ces modifications pourraient être le fait d'un outil de correction automatisé. Si cette hypothèse s'avère exacte, cela pourrait indiquer que les pirates ont préalablement accédé à l'ordinateur de la victime afin d'extraire, de modifier et de réécrire le micrologiciel de la carte mère. Cela pourrait se faire par le biais d'un logiciel malveillant précurseur déjà installé sur l'ordinateur – ou en obtenant un accès physique à l'appareil.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Si l’apparition d’un nouveau rootkit de micrologiciel est en soi remarquable, le fait qu’il ait vraisemblablement été développé et utilisé par des acteurs malveillants de langue chinoise – ainsi que ses liens potentiels avec ceux-ci – présente également un intérêt. »
Même s’il reste certainement encore beaucoup à découvrir concernant la chaîne d’attaque de CosmicStrand et les opérateurs à l’origine de son déploiement, le défi technologique que cela représente pour les développeurs cherchant à créer un tel logiciel malveillant laisse supposer que les auteurs de CosmicStrand sont assez chevronnés et qu’ils disposent peut-être de ressources considérables. Cela correspondrait aux activités cybernétiques historiques liées à la Chine. L'impossibilité d'établir un lien définitif entre cette activité et un acteur malveillant ou un groupe APT connu pourrait également indiquer que les opérateurs de CosmicStrand accordent une grande importance à la sécurité opérationnelle (OPSEC), une caractéristique commune à bon nombre de pirates informatiques chinois de haut niveau liés à l'État.
Un autre élément susceptible de prouver un lien entre les activités de CosmicStrand et une entité liée à l'État réside dans le fait que, jusqu'à présent, toutes les attaques connues ont visé des particuliers. Bien qu’il ne semble pas encore y avoir de lien commun entre ces personnes en termes d’organisations ou de secteurs d’activité, on sait que le gouvernement chinois cible des personnes présentant un intérêt national à des fins de surveillance et de collecte de renseignements – allant parfois même jusqu’à déguiser ces efforts en activités non ciblées – telles que des attaques par la chaîne d’approvisionnement qui, à première vue, semblent conçues pour toucher des milliers de personnes, mais qui, après un examen plus approfondi, s’avèrent n’avoir pour but que d’infecter quelques centaines de personnes présentant un intérêt pour le gouvernement chinois.
Une fois encore, au moment de la rédaction de cet article, tout cela n'est que pure spéculation. « Seul le temps nous dira quel en est le véritable motif. »
3. Le cabinet d'études Censys a mis au jour un réseau de ransomware basé en Russie et présent aux États-Unis.
Des chercheurs de la société Censys, spécialisée dans la gestion des surfaces d'attaque, affirment avoir découvert un réseau de commande et de contrôle (C2) lié au rançongiciel « », basé en Russie et associé à « », qui aurait pris pied dans au moins un réseau américain.
Cette activité a été observée pour la première fois par les chercheurs de Censys vers le 24 juin 2022, lorsqu'ils ont découvert, lors d'une analyse portant sur plus de 4,7 millions d'hôtes situés en Russie, que deux de ces hôtes contenaient l'outil d'exploitation Metasploit ainsi que l'outil Deimos C2 .
Il convient de préciser que Censys a mené ces analyses afin de recenser les 1 000 principaux logiciels actuellement détectés parmi plus de 4,7 millions d'hôtes identifiés en Russie par les chercheurs de l'entreprise. Une analyse historique plus approfondie a révélé que l'un de ces hôtes avait déjà utilisé l'outil PoshC2 . Ces outils intègrent tous des fonctionnalités qui permettent aux testeurs d'intrusion et aux pirates informatiques d'accéder à distance aux hôtes cibles et de les gérer.
Les chercheurs de Censys se sont appuyés sur les informations contenues dans le certificat n° PoshC2 pour localiser d’autres serveurs russes dans divers endroits du monde, dont deux serveurs supplémentaires utilisant le certificat n° PoshC2 , situés aux États-Unis. Censys identifie ces systèmes comme étant des serveurs russes et précise qu’ils contenaient également des paquets de logiciels malveillants — notamment un kit de rançongiciel — ainsi qu’un fichier comportant un lien vers deux serveurs russes dédiés au Bitcoin.
Selon Censys, des chercheurs ont identifié un hôte situé dans l'Ohio qui contenait également l'outil « Deimos C2 », soit le même outil que celui découvert sur l'hôte russe initial. Une analyse historique plus approfondie révèle que l'hôte de l'Ohio possédait également un ensemble de logiciels malveillants correspondant au rançongiciel découvert sur les hôtes russes contenant l'outil PoshC2 mentionné ci-dessus.
Note de la rédaction : Afin d’éviter toute confusion, nous désignerons les hôtes russes initialement identifiés, qui possédaient Metasploit et Deimos C2 , par les noms « hôtes A » et « hôtes B », et les hôtes découverts par la suite, qui possédaient des kits de logiciels malveillants et de rançongiciels, par les noms « hôtes F » et « hôtes G » (cette convention de nommage vous paraîtra plus claire si vous consultez le rapport technique extrêmement complet de Censys intitulé « »).
Après avoir approfondi ses recherches, Matt Lembright, directeur des applications fédérales chez Censys et responsable de l'analyse initiale, a découvert avec son équipe que les serveurs décrits ci-dessus présentaient des liens avec le ransomware MedusaLocker, ainsi qu'avec le ransomware Karma.
Comme l’ont indiqué Lembreight et ses collaborateurs, la découverte des liens entre ces hôtes et les ransomwares constituait une véritable nouveauté, car la plupart des incidents liés aux ransomwares sont détectés après une attaque ; il s’agissait ici d’un cas rare où des chercheurs ont mis au jour des preuves indiquant que des groupes préparaient le terrain en vue d’une attaque.
Selon Censys, les hôtes russes A et B, initialement identifiés à l'aide de Metasploit et de Deimos C2 , constituent probablement les vecteurs d'attaque initiaux visant à prendre le contrôle des hôtes des victimes, tandis que les hôtes russes F et G contiennent des logiciels malveillants capables de désactiver les antivirus et de mener une attaque par rançongiciel, avec des balises vers deux nœuds Bitcoin qui reçoivent vraisemblablement les paiements de rançon versés par les victimes.
Censys a pu établir un lien entre ces hôtes et l’opération de ransomware MedusaLocker grâce au contenu d’un rapport de la Cybersecurity and Infrastructure Security Agency (CISA) intitulé « » (), publié il y a près d’un mois, qui mettait en évidence la méthodologie du groupe et fournissait des indicateurs de compromission (IOC) associés à l’infrastructure exploitée par celui-ci, tels que des adresses e-mail, des adresses IP et des adresses de nœuds TOR.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Censys a communiqué ses conclusions au FBI et collabore actuellement avec les forces de l'ordre afin de déterminer si ces serveurs ont été utilisés dans le cadre d'attaques menées l'année dernière contre un hôpital et une bibliothèque. » Le partage de ce type d’informations est particulièrement louable, car d’autres organisations pourraient être en mesure d’identifier ces serveurs hôtes ou les schémas mis en évidence dans le rapport de Censys, et ainsi potentiellement déjouer une attaque de plus grande ampleur si cette découverte s’avérait faire partie d’activités préliminaires en vue d’une attaque future de plus grande envergure. »
Rejoignez notre communauté d'utilisateurs Tanium
Rendez-vous sur notre communauté d'utilisateurs pour accéder aux forums de discussion, aux annonces, aux dernières informations sur les problèmes émergents et aux bonnes pratiques en matière de cybersécurité. Découvrez-le sur.
Découvrez nos derniers bilans en matière de sécurité
Juillet 12 : La menace chinoise grandissante, Brute Ratel C4 et l'attaque visant la chaîne d'approvisionnement du logiciel NPM
