Dans le résumé de cette semaine, la CTI met en évidence la récente hausse des prises de contrôle réussies des comptes cloud des cadres supérieurs. Ensuite, vous trouverez un aperçu du ransomware Rhysida qui menace désormais le secteur de la santé. Vous trouverez également un aperçu des nouvelles instances de LOLKEK qui ont été découvertes dans la nature et de certaines des dernières modifications apportées à la famille des ransomwares.
1. La campagne de rachat du cloud cible les cadres supérieurs avec EvilProxy
Une nouvelle recherche de Proofpoint avertit d’une récente hausse des incidents de prise de contrôle de compte cloud réussis ayant principalement un impact sur les cadres supérieurs. Les acteurs malveillants utilisent désormais l’outil d’hameçonnage EvilProxy pour voler des informations d’identification protégées par authentification multifacteur (MFA) et des cookies de session.
Qu’est-ce qu’EvilProxy ?
EvilProxy est une plateforme de phishing en tant que service à proxy inversé qui a émergé en 2022. Elle prétend pouvoir voler des jetons d’authentification pour contourner la MFA, permettant même aux acteurs malveillants peu qualifiés de voler des comptes en ligne.
L’adoption croissante de la MFA a entraîné une augmentation des kits et outils de phishing conçus spécifiquement pour contourner cette couche de sécurité. Les acteurs malveillants tirent de plus en plus parti des kits d’hameçonnage AitM (adversaires au milieu) comme EvilProxy pour voler des informations d’identification et des cookies de session en temps réel.
Principales conclusions du rapport de Proofpoint
Depuis début mars, Proofpoint surveille une campagne hybride en cours qui utilise EvilProxy pour cibler les utilisateurs de Microsoft 365 . La rapidité de la campagne est impressionnante, en envoyant environ 120 000 e-mails d’hameçonnage à des centaines d’organisations ciblées dans le monde entier entre mars et juin 2023.
Les acteurs malveillants ont utilisé plusieurs techniques remarquables, notamment :
- usurpation d’identité de la marque : les adresses e-mail de l’expéditeur dans cette campagne ont usurpé l’identité de services de confiance tels que Concur Solutions, DocuSign et Adobe.
- Blocage des analyses : les acteurs malveillants ont utilisé une protection contre les robots d’analyse de cybersécurité, ce qui rend plus difficile l’analyse des sites malveillants.
- Chaîne d’infection en plusieurs étapes : les acteurs malveillants ont redirigé le trafic via des redirecteurs légitimes ouverts, y compris YouTube. Cela a été suivi de plusieurs étapes supplémentaires telles que des cookies malveillants et des redirections 404 .
Phase 1 : EvilProxy en action
Les acteurs malveillants se sont initialement fait passer pour des services de confiance connus, utilisant des e-mails usurpés pour envoyer des e-mails d’hameçonnage contenant des liens vers des sites d’hameçonnage Microsoft 365 malveillants.
Les e-mails qui prétendaient provenir de DocuSign, Adobe Sign et Concur contenaient des URL malveillantes qui initiaient une chaîne d’infection en plusieurs étapes impliquant plusieurs redirections, des cookies malveillants et 404 redirigeaient l’utilisateur vers un cadre d’hameçonnage EvilProxy. La page d’accueil fonctionne comme un proxy inverse.
Lors de l’analyse de certaines pages de redirection dans cette campagne, Proofpoint a identifié un petit détail mais significatif qui le distingue dans les premiers jours de l’attaque. L’indice était une petite faute de frappe dans la chaîne de redirection. Au lieu de transférer l’utilisateur vers une page https, l’acteur malveillant a pointé par erreur vers une adresse « hhttps », ce qui a entraîné un échec du flux de redirection.
L’acteur malveillant a tiré parti d’un codage spécial pour masquer l’e-mail de l’utilisateur des outils d’analyse automatique. Elle a également tiré parti de sites légitimes qui avaient été précédemment piratés pour télécharger leur code PHP et décoder l’adresse e-mail de l’utilisateur. Une fois l’adresse e-mail décodée, l’utilisateur est transféré vers le site Web final, qui est une page d’hameçonnage spécialement conçue pour l’organisation cible.
Proofpoint a également remarqué une altération apparente du flux d’attaque lors de l’accès à plusieurs pages d’hameçonnage à partir de zones géographiques spécifiques. Le trafic utilisateur provenant d’adresses IP turques a été dirigé vers la page Web légitime. Si cela est intentionnel, cela pourrait suggérer que les acteurs malveillants derrière la campagne sont basés en Turquie ou évitent de cibler les utilisateurs turcs.
Phase 2 : Compromission de compte
La liste des utilisateurs comprenait de nombreuses cibles de grande valeur, telles que les cadres supérieurs et les vice-présidents des grandes entreprises.
Une fois qu’un utilisateur ciblé fournit ses informations d’identification via la page d’hameçonnage, les acteurs malveillants se connectent à leur compte Microsoft 365 en quelques secondes, indiquant un processus automatisé.
Tous les utilisateurs qui sont tombés pour l’attrait du phishing n’ont pas été consultés par les acteurs malveillants. Dans cette campagne, les attaquants ont donné la priorité uniquement aux cibles VIP et ignoré celles de moindre valeur.
Parmi les centaines d’utilisateurs compromis de la campagne, environ 39 % étaient des cadres dirigeants. Parmi eux, 17 % étaient des directeurs financiers et 9 % étaient des présidents et PDG. Les acteurs malveillants ont également manifesté un intérêt pour la gestion de niveau inférieur.
Phase 3 : exploitation post-compromission
Après avoir accédé aux comptes, les acteurs malveillants ont établi une persistance dans l’environnement cloud. Dans plusieurs cas, les acteurs malveillants ont exploité une application Microsoft 365 native pour exécuter la manipulation de l’AMF.
À l’aide de Mes connexions, les acteurs malveillants peuvent ajouter leur propre méthode MFA pour la persistance. La méthode d’authentification préférée pour ces acteurs malveillants était une application d’authentification avec notification et code.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne est très ciblée sur la direction, les cadres et d’autres rôles de type « VIP ». Les acteurs malveillants semblent faire tout leur possible pour éviter et ignorer toutes les informations d’identification collectées n’appartenant pas à ces cadres de haut niveau. »
« Bien sûr, les acteurs malveillants peuvent vendre ces autres informations d’identification ou s’engager dans des activités malveillantes. Mais pour cette campagne, ils semblent ne pas être intéressés. Ce ciblage varie par rapport à de nombreuses campagnes d’hameçonnage opportunistes qui cherchent à cibler toute personne dans une organisation et toute personne désireuse de saisir ses informations d’identification sur une page d’hameçonnage. »
2. Un aperçu du nouveau ransomware Rhysida ciblant le secteur de la santé
Le dernier rapport de Trend Micro se concentre sur Rhysida, un type de ransomware ciblant activement le secteur de la santé. La nouvelle arrive quelques jours seulement après que le Centre de coordination de la cybersécurité du secteur de la santé de HHS (HC3) a publié une alerte de sécurité concernant la nouvelle contrainte liée aux ransomwares.
Rhysida se présente comme une équipe de cybersécurité et propose d’aider les victimes à identifier les faiblesses du réseau. Il était auparavant connu pour cibler les secteurs de l’éducation, du gouvernement, de la fabrication et des technologies, mais il a depuis attaqué les organisations de santé et de santé publique.
Ce changement s’aligne sur le nombre croissant d’attaques de ransomware que le secteur de la santé a subies au cours des dernières années. L’opération cible des organisations du monde entier, y compris l’Indonésie, l’Allemagne et les États-Unis.
La chaîne d’attaque de Rhysida
Le rançongiciel Rhysida arrive généralement sur la machine de la victime via des appâts de phishing avant de tirer parti de Cobalt Strike pour les mouvements latéraux.
Trend Micro a observé les acteurs malveillants exécutant PsExec pour déployer les scripts PowerShell et la charge utile du ransomware Rhysida. Un script PowerShell met fin à tous les processus et services liés à l’AV, supprime les copies fantômes, modifie les configurations RDP et modifie le mot de passe AD.
Le ransomware utilise une clé RSA 4096 bits et AES-CTR pour le chiffrement des fichiers. Après un chiffrement réussi, il ajoute .rhysida aux fichiers et dépose la note de rançon intitulée CriticalBreachDetected.pdf.
La note de rançon est plutôt inhabituelle, se présentant comme une alerte de l’équipe de cybersécurité de Rhysida et informant les victimes de la violation.
La routine de chiffrement de Rhysida
Le ransomware Rhysida utilise la bibliothèque open source LibTomCrypt pour mettre en œuvre sa routine de chiffrement. Le générateur de nombres pseudo-aléatoires (PRNG) de LibTomCrypt est utilisé pour la génération de vecteurs de clé et d’initialisation.
Après avoir initialisé le PRNG, Rhysida importe la clé RSA intégrée et déclare l’algorithme qu’il utilisera pour le cryptage des fichiers. Il procédera ensuite à l’inscription et déclarera AES pour ses fonctionnalités de construction de hachage de chiffrement.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« À l’heure actuelle, les connaissances sur les utilisateurs du ransomware Rhysida sont limitées. Il est intéressant de noter que ce groupe de menaces se présente comme une équipe de cybersécurité et propose d’aider les victimes à identifier les faiblesses de sécurité. La première apparition du groupe disposait d’un portail de chat d’assistance pour les victimes, renforçant leur affinité pour se détacher comme si elles rendaient service à ces victimes. »
3. ransomware LOLKEK : nouveaux échantillons et tactiques en évolution
SentinelOne a récemment découvert de nouvelles instances de LOLKEK, ou GlobeImposter, dans la nature et a noté des changements au sein de la famille des rançongiciels. SentinelOne a partagé ses recherches sur les nouvelles charges utiles LOLKEK, détaillant les nouvelles fonctionnalités et les changements de stratégie.
LOLKEK a fait sa première apparition en 2016. Le nom GlobeImposter à l’époque était un moyen intelligent de décrire comment le rançongiciel imitait les méthodes du rançongiciel Globe.
LOLKEK peut être considéré comme un ransomware prêt à l’emploi dans une certaine mesure. Il est fréquemment modifié et utilisé par ceux qui ont des compétences et des ressources limitées. Dans les incidents récents, les rançons demandées étaient inférieures à 2 000 USD, ce qui est assez faible par rapport à celles généralement demandées par des groupes tels que Cl0P et LockBit.
LOLKEK cible principalement les petites et moyennes entreprises (PME) et les utilisateurs individuels. Cependant, il y a eu des cas où ce ransomware a joué un rôle dans des attaques financières plus complexes et calculées.
Détails techniques
- Les chercheurs de SentinelOne ont identifié deux nouveaux échantillons LOLKEK à l’état sauvage. Ces échantillons se sont identifiés comme W3CRYPTO LOCKER et ont dirigé les victimes vers un nouveau portail des victimes Tor.
- Les deux nouveaux échantillons ont été compilés dans mai 2023, mais un seul semble entièrement fonctionnel. Lorsque les nouvelles charges utiles LOLKEK se lancent, elles détectent et chiffrent tout lecteur disponible localement, y compris les partages réseau montés dans l’ordre.
- Les charges utiles contiennent également des exclusions des variantes précédentes de ce ransomware. Ils incluent les dossiers Windows, System Volume Information et ProgramData. Les charges utiles peuvent apparemment découvrir et supprimer des copies de Volume Shadow. Cependant, ce comportement n’a pas été observé lors de l’analyse dynamique de l’un des échantillons. Les appels au format WMIC pour supprimer VSS se trouvent dans l’exemple de code. Les fichiers chiffrés ont l’extension .MMM qui leur est ajoutée.
- En examinant plus en détail ces fichiers cryptés, les chercheurs ont identifié un autre marqueur les liant aux variantes LOLKEK/GlobeImposter précédentes. Les fichiers chiffrés contenaient la même chaîne CRYPTO LOCKER que celle observée dans les versions précédentes.
Portail et notes des victimes
Les notes de rançon LOLKEK sont nommées « ReadMe.txt » et sont déposées à tous les emplacements contenant des fichiers et des données cryptés. Les notes de rançon sont presque identiques aux variantes précédentes. Les URI .onion fournies contiennent une chaîne à la fin, unique à chaque exécution du ransomware.
Les victimes sont invitées à naviguer vers le portail des victimes Tor, où elles doivent créer un compte pour s’engager dans une discussion privée avec l’acteur malveillant. Le nouveau portail est fonctionnellement identique aux anciens portails des victimes hébergés par cette opération de rançongiciel.
L’acteur malveillant note que les petits fichiers peuvent être décryptés gratuitement comme preuve du décryptage fonctionnel. Lorsque la victime crée un ticket sur le portail, les détails de la rançon sont fournis directement via le chat de la victime.
Erreur LOLKEK OPSEC
Les opérateurs de cette campagne ont suivi des étapes, processus et modèles très similaires à ceux de leurs campagnes précédentes concernant la mauvaise configuration d’Apache. La page de statut du serveur est visible sur la page victime Tor. Les chercheurs ont déterminé que le serveur était mis en service 23 mai 2023 , quelques jours seulement après la compilation des échantillons connexes.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les rançongiciels LOLKEK sont assez fascinants, car ils ont survécu depuis 2016 dans ce paysage des menaces en rapide évolution. Ses opérateurs travaillent toujours dur pour explorer de nouvelles stratégies et ont prouvé leur capacité à rester pertinents. »
« LOLKEK est un bon rappel que, bien que LockBit, Cl0p et d’autres groupes de rançongiciels de grand nom dominent l’espace, nous ne devons pas négliger des opérations petites mais persistantes. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
