Cette semaine, CTI enquête sur le retour des logiciels malveillants Bumblebee dans le paysage des menaces après une interruption de quatre mois. Ensuite, la CTI examine les logiciels malveillants PikaBot qui sont réapparus avec des modifications significatives de sa base et de sa structure de code. Vous trouverez également une répartition de la manière dont les acteurs malveillants utilisent AWS Simple Notification Service (SNS) et un script de spam personnalisé appelé SNS Sender dans une campagne de smishing en cours.
1. Bumblebee revient de hiatus
Selon Proofpoint, les logiciels malveillants Bumblebee sont revenus au paysage des menaces après une brève pause. Avant cette campagne, qui a été observée le 8 février, le logiciel malveillant Bumblebee était absent des données de Proofpoint pendant quatre mois.
La dernière campagne
Dans la dernière campagne de Bumblebee, les acteurs malveillants ont envoyé plusieurs milliers d’e-mails à diverses organisations à travers les États-Unis avec pour objet « Message vocal de février ».
Ces e-mails ont tous été envoyés à partir de la même adresse e-mail et contenaient des URL OneDrive. Si la victime a cliqué sur une URL OneDrive, elle a été conduite à un document Word qui a usurpé une société d’électronique grand public appelée Humane.
Le document Word s’est appuyé sur des macros qui créent un script dans le répertoire temporaire Windows. Les macros exécuteraient ensuite le script via wscript.
Exécution de programmes malveillants
Le fichier temporaire abandonné contenait une commande PowerShell qui est responsable du téléchargement et de l’exécution de l’étape suivante de l’attaque.
La prochaine étape était une autre commande PowerShell qui était responsable du téléchargement et de l’exécution de la DLL Bumblebee. La configuration Bumblebee dans cette campagne comprenait un ID de campagne de “dcc3” et une clé de RC4 de « NEW_BLACK ».
Fonctionnalités de campagne remarquables
Ce qui est intéressant dans cette campagne, c’est l’utilisation de documents compatibles avec les macros VBA, que nous voyons de moins en moins depuis que Microsoft a commencé à bloquer les macros par défaut.
Sur environ 230 campagnes Bumblebee identifiées par Proofpoint depuis mars 2022, seules cinq campagnes utilisaient du contenu chargé de macros, tandis que quatre utilisaient XL4 macros et une seule utilisait des macros VBA.
Globalement, la chaîne d’attaque pour cette campagne est sensiblement différente de celle des campagnes Bumblebee précédentes, même celles qui ont utilisé la configuration « NEW_BLACK ».
Attribution
Proofpoint n’a pas encore été en mesure d’attribuer cette dernière activité malveillante Bumblebee à un acteur malveillant particulier. Les chercheurs ont remarqué que le thème de l’attrait entourant les messages vocaux, l’utilisation des URL OneDrive et l’adresse e-mail de l’expéditeur étaient alignés sur l’activité précédente de TA579. Cependant, Proofpoint n’a pas pu conclure de manière définitive. Proofpoint mentionne que les logiciels malveillants Bumblebee peuvent être utilisés pour fournir différentes charges utiles de suivi comme les ransomwares, ce qui rend plus difficile l’attribution à un seul acteur.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
C’est la première fois que nous rapportons sur les logiciels malveillants Bumblebee depuis qu’ils sont apparus l’année dernière. Lorsque les logiciels malveillants reviennent de hiatus, ils disposent généralement de fonctionnalités et de TTP nouveaux et améliorés. Mais cette fois, Bumblebee est revenu en utilisant une technique que de nombreux acteurs malveillants s’éloignent.
L’intention derrière l’utilisation de cette technique n’est pas claire, mais indique néanmoins que nous pouvons commencer à voir plus d’activité Bumblebee.
2. PikaBot réapparaît avec un code optimisé
Des chercheurs ont observé des logiciels malveillants PikaBot dans de nouvelles campagnes avec des modifications significatives de sa base de code et de sa structure.
Les développeurs de PikaBot ont réduit la complexité du code, ce qui a entraîné la suppression des techniques d’obscurcissement avancées et des modifications des communications réseau.
Qu’est-ce que PikaBot ?
- Les logiciels malveillants PikaBot sont apparus pour la première fois début 2023. Il se compose de deux composants principaux, dont un chargeur et un module principal.
- Le module principal exécute des commandes et injecte des charges utiles reçues d’un serveur C2 . Le logiciel malveillant utilise des méthodes de distribution et des comportements similaires à ceux du logiciel malveillant QBot.
- Après que le FBI a supprimé l’opération de logiciel malveillant QBot, il y a eu un pic d’activité de PikaBot, probablement parce qu’une filiale de ransomware BlackBasta a commencé à remplacer son utilisation de QBot par PikaBot. PikaBot semblait alors cesser son activité à la fin de décembre 2023.
- Des campagnes récentes ont été observées, indiquant le retour de PikaBot au paysage des menaces. La dernière variante a des modifications significatives qui réduisent la complexité du code. Zscaler pense que cette version est actuellement dans un nouveau cycle de développement et une nouvelle phase de test.
Technique anti-analyse
Le changement le plus notable apporté aux techniques anti-analyse de PikaBot est son obscurcissement de chaîne. Les versions plus anciennes de PikaBot avaient chaque chaîne masquée en combinant l’algorithme RC4 avec AES-CBC, ce qui était une méthode très efficace. Dans la dernière version, la plupart des chaînes sont construites en obtenant un caractère et en le poussant sur la pile. Comme les variantes précédentes, cette variante insère également le code de courrier indésirable entre les instructions légitimes.
En plus de ces techniques, PikaBot utilise deux méthodes pour détecter une session de débogage. Il lira l’indicateur BeingDebugged du bloc d’environnement de processus et appellera également la fonction API Windows CheckRemoteDebuggerPresent.
Il continuera à effectuer ces vérifications dans diverses parties de son code. De même, le logiciel malveillant tirera parti de différentes méthodes pour s’assurer qu’il n’est pas exécuté dans un environnement sandbox. Enfin, le logiciel malveillant arrêtera son exécution s’il détecte la langue russe ou ukrainienne.
Phase d’initialisation du robot
La dernière version de PikaBot stocke tous les paramètres et informations dans une seule structure. Cette configuration est stockée en texte brut et à une adresse et est beaucoup plus simple que les versions précédentes qui nécessitaient le décryptage de chaque élément lors de l’exécution.
Lorsque PikaBot analyse les informations en texte brut, il les efface, définissant tous les octets sur zéro. Le logiciel malveillant charge ensuite les fonctions d’API Windows requises restantes et génère un identifiant de robot pour l’hôte.
Communications réseau
La dernière phase du logiciel malveillant implique de contacter le serveur C2 pour obtenir diverses commandes réseau. Le protocole réseau pour cela a considérablement changé dans cette dernière version de PikaBot. Le logiciel malveillant commencera par enregistrer l’hôte compromis sur son serveur et collecter des informations sur l’hôte compromis, telles que les paramètres d’affichage du moniteur, les paramètres de balise et de délai, et le nom du contrôleur de domaine.
Il ajoutera ensuite la clé réseau RC4 de 32 octets, un nom de clé de registre inconnu et le nombre de cycles d’échange utilisés pour coder les données au paquet d’inscription. Il chiffre les données collectées et les envoie avec une demande POST au serveur C2 .
Si l’inscription du robot est réussie, PikaBot lancera une boucle infinie pour demander et exécuter des commandes réseau. Une liste complète des commandes réseau prises en charge est détaillée dans le rapport de Zscaler.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La dernière version du logiciel malveillant PikaBot adopte une approche bien différente en réduisant la complexité du code. Cela est inhabituel, car les nouvelles variantes de logiciels malveillants sont généralement plus avancées et complexes.
PikaBot représente toujours une menace importante et a déjà été exploité par des acteurs malveillants connus pour distribuer des logiciels malveillants QBot.
3. Les acteurs malveillants distribuent le spam via AWS SNS
Les acteurs malveillants utilisent désormais AWS Simple Notification Service (SNS) avec un script de spam personnalisé appelé SNS Sender dans une campagne de smishing en cours. L’auteur derrière le script malveillant a été lié à de nombreux kits de phishing sur le marché.
Aperçu de la campagne
SNS Sender est un script Python personnalisé qui utilise AWS SNS pour envoyer des messages SMS en masse contenant des liens d’hameçonnage. SentinelOne note que SNS Sender est le premier script qui exploite AWS SNS dans les attaques de spamming. Les messages se font souvent passer pour l’USPS. De plus, les chercheurs ont identifié des liens entre le créateur de cet outil et plusieurs autres kits de phishing, mais pensent que cet outil peut toujours être en phase de test.
À propos du script
Le script de l’expéditeur SNS a besoin d’une liste de liens d’hameçonnage, des liens[.]txt, dans son répertoire de travail pour pouvoir être lancé. Il accepte plusieurs arguments comme entrée, y compris un fichier texte des clés d’accès AWS, des secrets et des régions, un fichier texte des numéros de téléphone à cibler, un ID d’expéditeur et le contenu du message lui-même.
Le script a une fonction appelée « send_sns_message » qui configurera une interface entre le script et le backend AWS SNS pour envoyer les messages SMS. L’inclusion d’une variable d’ID d’expéditeur est un choix intéressant selon SentinelOne, car cette variable est facultative et n’est pas prise en charge dans tous les pays. Par exemple, aux États-Unis, les transporteurs ne prennent pas en charge les identifiants d’expéditeur, mais ils sont obligatoires en Inde. Cela est intéressant étant donné que les messages de cette campagne sont souvent sur le thème de l’USPS, ce qui est en conflit avec l’inclusion d’un ID d’expéditeur. Cela peut indiquer que l’acteur malveillant derrière l’activité se trouve dans un pays où les identifiants de l’expéditeur sont obligatoires.
Le script établira une boucle de temps pour itérer dans la liste des informations d’identification AWS et des régions qui ont été précédemment saisies. Il remplacera toutes les instances de la chaîne « liens » par une URL provenant du fichier link[.]txt précédemment saisi. Le lien est sélectionné de manière aléatoire et armera le message en tant que véritable SMS d’hameçonnage.
Kits d’hameçonnage
L’auteur derrière le script utilise l’alias d’ARDUINO_DAS. Les chercheurs ont identifié plus de 150 fichiers de kit d’hameçonnage faisant référence à cet acteur, dont plus de la moitié sont sur le thème de l’USPS.
Les chercheurs se plongent dans des campagnes actives à partir de janvier 2024 celles qui ont utilisé le phishing sur le thème de l’USPS et ont découvert un flux de base. Les pages de destination diraient à la victime que son colis n’a pas pu être livré et lui demanderaient de cliquer sur un bouton pour obtenir de l’aide. Ce bouton dirige la victime vers une page de suivi qui prétend suivre les détails du package, mais demande également que la victime saisisse des informations personnelles telles que son nom, son numéro de téléphone et son adresse e-mail.
Ensuite, la victime est dirigée vers une autre page qui lui demande de saisir un numéro de carte de crédit pour payer des frais de relivraison. Le numéro de carte de crédit est transmis à un vérificateur de carte qui est censé être exécuté via un service Telegram.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme l’explique SentinelOne, les acteurs malveillants n’utilisent généralement pas AWS SNS, même s’ils tirent de plus en plus parti du cloud dans leurs attaques.
L’émetteur SNS est une nouvelle approche exigeant que l’acteur accède à un locataire AWS SNS correctement configuré. De plus, son inclusion d’un ID d’expéditeur dans une campagne sur le thème de l’USPS est discutable et rend probable que cet outil est toujours en cours de développement.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
