Cette semaine, CTI se penche sur le retour du logiciel malveillant Bumblebee sur la scène des menaces, après une absence de quatre mois. CTI se penche ensuite sur le logiciel malveillant PikaBot, qui a refait surface avec des modifications importantes apportées à son code source et à sa structure. Vous trouverez également une analyse détaillée de la manière dont les cybercriminels exploitent le service AWS Simple Notification Service (SNS) et un script de spam personnalisé appelé « SNS Sender » dans le cadre d'une campagne de smishing actuellement en cours.
1. Bumblebee fait son retour après une pause
Selon Proofpoint, le logiciel malveillant « Bumblebee » ( ) a refait son apparition dans le paysage des menaces après une brève accalmie. Avant cette campagne, qui a été observée le 8 février, le malware Bumblebee était absent des données de Proofpoint depuis quatre mois.
La dernière campagne
Dans le cadre de la dernière campagne de Bumblebee, des cybercriminels ont envoyé plusieurs milliers d'e-mails à diverses organisations à travers les États-Unis, avec pour objet « Voicemail February ».
Ces e-mails ont tous été envoyés depuis la même adresse e-mail et contenaient des liens vers OneDrive. Si la victime cliquait sur une URL OneDrive, elle était redirigée vers un document Word qui usurpait l'identité d'une entreprise d'électronique grand public appelée Humane.
Le document Word utilisait des macros qui créaient un script dans le répertoire temporaire de Windows. Les macros exécuteraient alors le script via wscript.
Exécution de logiciels malveillants
Le fichier temporaire déposé contenait une commande PowerShell chargée de télécharger et d'exécuter la phase suivante de l'attaque.
Cette étape suivante consistait en une autre commande PowerShell chargée de télécharger et d'exécuter la DLL Bumblebee. La configuration de Bumblebee pour cette campagne comprenait un identifiant de campagne « “dcc3” » et une clé « RC4 » nommée « NEW_BLACK ».
Caractéristiques notables de la campagne
Ce qui est intéressant dans cette campagne, c'est l'utilisation de documents VBA contenant des macros, ce qui est de plus en plus rare depuis que Microsoft a commencé à bloquer les macros par défaut.
Sur les quelque 230 campagnes « Bumblebee » identifiées par Proofpoint depuis mars 2022, seules cinq ont utilisé du contenu contenant des macros, tandis que quatre ont utilisé XL4 macros et qu'une seule a utilisé des macros VBA.
Dans l'ensemble, la chaîne d'attaque de cette campagne diffère sensiblement de celle des campagnes Bumblebee précédentes, même de celles qui utilisaient la configuration « NEW_BLACK ».
Mention de source
Proofpoint n'a pas encore été en mesure d'attribuer cette dernière activité du logiciel malveillant Bumblebee à un acteur malveillant en particulier. Les chercheurs ont remarqué que le stratagème utilisé pour les messages vocaux, l'utilisation d'URL OneDrive et l'adresse e-mail de l'expéditeur correspondaient à l'activité antérieure de TA579. Cependant, Proofpoint n'a pas été en mesure de tirer cette conclusion de manière définitive. Proofpoint indique que le logiciel malveillant Bumblebee peut être utilisé pour diffuser différentes charges utiles secondaires, telles que des ransomwares, ce qui rend plus difficile son attribution à un seul acteur.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
C'est la première fois que nous traitons du sujet du logiciel malveillant « » Bumblebee depuis son apparition l'année dernière. Lorsqu'un logiciel malveillant refait surface après une période d'inactivité, il dispose généralement de nouvelles fonctionnalités et de méthodes, techniques et procédures (TTP) améliorées. Mais cette fois-ci, Bumblebee a fait son retour en utilisant une technique que de nombreux cybercriminels ont désormais délaissée.
L'objectif de cette technique n'est pas clair, mais cela laisse néanmoins penser que nous pourrions commencer à observer une activité accrue de Bumblebee.
2. PikaBot refait surface avec un code optimisé
Des chercheurs ont observé le logiciel malveillant PikaBot dans le cadre de nouvelles campagnes, présentant des modifications importantes au niveau de son code source et de sa structure.
Les développeurs de PikaBot ont simplifié le code, ce qui a entraîné la suppression de techniques d'obfuscation avancées et des modifications au niveau des communications réseau.
Qu'est-ce que PikaBot ?
- Le logiciel malveillant PikaBot est apparu pour la première fois au début de l'année 2023. Il se compose de deux éléments principaux : un chargeur et un module central.
- Le module central exécute les commandes et injecte les charges utiles reçues d'un serveur C2 . Ce logiciel malveillant utilise des méthodes de distribution et des comportements similaires à ceux du logiciel malveillant QBot.
- Après que le FBI a démantelé le réseau malveillant QBot, l'activité de PikaBot a connu un pic — très probablement parce qu'un affilié du ransomware BlackBasta a commencé à remplacer QBot par PikaBot. PikaBot a ensuite semblé cesser toute activité à la fin de l' décembre 2023e.
- Des campagnes récentes ont été observées, indiquant le retour de PikaBot dans le paysage des menaces. La dernière version comporte des modifications importantes qui réduisent la complexité du code. Zscaler estime que cette version se trouve actuellement dans un nouveau cycle de développement et en phase de test.
Technique anti-analyse
Le changement le plus notable apporté aux techniques anti-analyse de PikaBot concerne l'obfuscation des chaînes de caractères. Dans les anciennes versions de PikaBot, chaque chaîne était obscurcie en combinant l'algorithme RC4 avec le mode AES-CBC, ce qui constituait une méthode très efficace. Dans la dernière version, la plupart des chaînes de caractères sont construites en récupérant un caractère et en l'ajoutant à la pile. À l'instar des variantes précédentes, celle-ci insère également du code indésirable entre les instructions légitimes.
Outre ces techniques, PikaBot utilise deux méthodes pour détecter une session de débogage. Il lira l'indicateur « BeingDebugged » dans le bloc d'environnement du processus et appellera également la fonction de l'API Windows « CheckRemoteDebuggerPresent ».
Il continuera à effectuer ces vérifications à différents endroits de son code. De même, le logiciel malveillant aura recours à différentes méthodes pour s'assurer qu'il n'est pas exécuté dans un environnement de type « sandbox ». Enfin, le logiciel malveillant interrompra son exécution s'il détecte la langue russe ou ukrainienne.
Phase d'initialisation du bot
La dernière version de PikaBot stocke tous les paramètres et toutes les informations dans une seule et même structure. Cette configuration est stockée en clair à une seule adresse et s'avère bien plus simple que les versions précédentes, qui nécessitaient le déchiffrement de chaque élément lors de l'exécution.
Lorsque PikaBot analyse les informations en clair, il les efface en remplaçant tous les octets par des zéros. Le logiciel malveillant charge ensuite les fonctions API Windows restantes nécessaires et génère un identifiant de bot pour l'hôte.
Communications réseau
La dernière phase du logiciel malveillant consiste à contacter le serveur C2 afin d'obtenir diverses commandes réseau. Le protocole réseau correspondant a considérablement évolué dans cette dernière version de PikaBot. Le logiciel malveillant commencera par enregistrer l'hôte compromis sur son serveur et par collecter des informations le concernant, telles que les paramètres d'affichage de l'écran, les paramètres de balise et de délai, ainsi que le nom du contrôleur de domaine.
Il ajoutera ensuite au paquet d'enregistrement la clé réseau RC4 de 32 octets, une clé de registre dont le nom est inconnu, ainsi que le nombre de cycles de permutation utilisés pour encoder les données. Il crypte les données collectées et les envoie au serveur C2 via une requête POST.
Si l'enregistrement du bot aboutit, PikaBot lancera une boucle infinie pour demander et exécuter des commandes réseau. La liste complète des commandes réseau prises en charge figure sur , dans le rapport de Zscaler intitulé « ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La dernière version du logiciel malveillant PikaBot adopte une approche très différente en réduisant la complexité du code. Cela est inhabituel, car les nouvelles variantes de logiciels malveillants sont généralement plus sophistiquées et plus complexes.
PikaBot représente toujours une menace importante et a déjà été utilisé par des acteurs malveillants connus pour diffuser le logiciel malveillant QBot.
3. Des cybercriminels diffusent des spams via AWS SNS
Les cybercriminels utilisent désormais le service AWS Simple Notification Service (SNS) de ainsi qu'un script de spam personnalisé appelé « SNS Sender » dans le cadre d'une campagne de smishing en cours. L'auteur de ce script malveillant a été associé à , ainsi qu'à de nombreux kits de hameçonnage disponibles sur le marché.
Présentation de la campagne
SNS Sender est un script Python personnalisé qui utilise AWS SNS pour envoyer des SMS en masse contenant des liens de hameçonnage vers et. SentinelOne souligne que « SNS Sender » est le premier script à exploiter AWS SNS dans le cadre d'attaques de spam. Ces messages se font souvent passer pour l'USPS. De plus, les chercheurs ont mis en évidence des liens entre le créateur de cet outil et plusieurs autres kits de phishing, mais estiment que cet outil pourrait encore se trouver en phase de test.
À propos du scénario
Pour pouvoir s'exécuter, le script SNS Sender a besoin d'une liste de liens de hameçonnage, links[.]txt, dans son répertoire de travail. Elle accepte plusieurs arguments en entrée, notamment un fichier texte contenant les clés d'accès AWS, les secrets et les régions, un fichier texte contenant les numéros de téléphone cibles, un identifiant d'expéditeur et le contenu du message lui-même.
Le script comporte une fonction appelée « send_sns_message » qui établit une interface entre le script et le backend AWS SNS afin d'envoyer les SMS. Selon SentinelOne, l'intégration d'une variable d'identifiant d'expéditeur constitue un choix intéressant, car cette variable est facultative et n'est pas prise en charge dans tous les pays. Par exemple, aux États-Unis, les opérateurs ne prennent pas en charge les identifiants d'expéditeur, alors qu'ils sont obligatoires en Inde. C'est intéressant, étant donné que les messages de cette campagne ont souvent pour thème l'USPS, ce qui est en contradiction avec l'ajout d'un identifiant d'expéditeur. Cela pourrait indiquer que l'auteur de cette attaque se trouve dans un pays où l'identification de l'expéditeur est obligatoire.
Le script va créer une boucle « while » afin de parcourir la liste des identifiants AWS et des régions qui ont été saisis précédemment. Cela remplacera toutes les occurrences de la chaîne « linkas » par une URL issue du fichier links[.]txt saisi précédemment. Le lien est sélectionné au hasard et transformera le message en un véritable SMS de hameçonnage.
Kits de hameçonnage
L'auteur de ce script utilise le pseudonyme ARDUINO_DAS. Les chercheurs ont identifié plus de 150 fichiers de kits de hameçonnage faisant référence à cet acteur, dont plus de la moitié ont pour thème l'USPS.
Des chercheurs ont analysé en détail les campagnes en cours menées par janvier 2024 , qui recouraient à des techniques de hameçonnage sur le thème de l'USPS, et ont mis en évidence un schéma général. Les pages de destination indiquaient à la victime que son colis n'avait pas pu être livré et lui demandaient de cliquer sur un bouton pour obtenir de l'aide. Ce bouton redirige la victime vers une page de suivi qui prétend afficher les informations relatives au colis, mais qui lui demande également de saisir des données à caractère personnel, telles que son nom, son numéro de téléphone et son adresse e-mail.
La victime est ensuite redirigée vers une autre page où on lui demande de saisir un numéro de carte bancaire afin de régler des frais de réexpédition. Le numéro de carte bancaire est transmis à un outil de vérification de carte qui serait exploité via un service Telegram.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme l'explique SentinelOne, les cybercriminels n'utilisent généralement pas AWS SNS, même s'ils recourent de plus en plus au cloud dans le cadre de leurs attaques.
SNS Sender est une nouvelle approche qui nécessite que l'acteur ait accès à un tenant AWS SNS correctement configuré. De plus, l'intégration d'un identifiant d'expéditeur dans une campagne sur le thème de l'USPS est discutable et laisse penser que cet outil est encore en cours de développement.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.