Dans son tour d'horizon de cette semaine, CTI met en avant la récente recrudescence des piratages réussis de comptes cloud appartenant à des cadres supérieurs. Nous allons maintenant vous présenter une vue d'ensemble du ransomware Rhysida, qui menace actuellement le secteur de la santé. Vous y trouverez également un aperçu des nouveaux exemplaires de LOLKEK qui ont été découverts en milieu réel, ainsi que certaines des dernières évolutions de cette famille de ransomwares.
1. Une campagne de piratage du cloud cible les cadres supérieurs à l'aide d'EvilProxy
Une nouvelle étude de Proofpoint met en garde contre une récente recrudescence des incidents d' s ayant abouti à la prise de contrôle de comptes cloud (s'ouvre dans un nouvel onglet) , qui touchent principalement des cadres supérieurs. Les cybercriminels utilisent désormais l'outil de hameçonnage EvilProxy pour voler les identifiants protégés par l'authentification multifactorielle (MFA) de ainsi que les cookies de session.
Qu'est-ce qu'EvilProxy ?
EvilProxy est une plateforme de phishing-as-a-service de type proxy inverse (s'ouvre dans un nouvel onglet) qui a fait son apparition en 2022. Il prétend être capable de voler des jetons d'authentification afin de contourner l'authentification multifactorielle (MFA), ce qui permet même aux cybercriminels peu expérimentés de pirater des comptes en ligne.
L'adoption croissante de l'authentification multifactorielle (MFA) a entraîné une multiplication des kits et outils de hameçonnage spécialement conçus pour contourner ce niveau de sécurité. Les cybercriminels ont de plus en plus souvent recours à des kits de phishing de type « adversary-in-the-middle » (AitM), tels qu’EvilProxy, pour voler des identifiants et des cookies de session en temps réel.
Principales conclusions du rapport de Proofpoint
Depuis début mars, Proofpoint surveille une campagne hybride en cours qui utilise EvilProxy pour cibler les utilisateurs de Microsoft 365 . Le rythme de cette campagne est impressionnant : entre mars et juin 2023, environ 120 000 e-mails de hameçonnage ont été envoyés à des centaines d'organisations ciblées à travers le monde.
Les auteurs de ces attaques ont eu recours à plusieurs techniques dignes d'intérêt, notamment :
- Usurpation d'identité de marque : Les adresses e-mail des expéditeurs de cette campagne se faisaient passer pour des services de confiance tels que Concur Solutions, DocuSign et Adobe.
- Blocage des analyses : Les auteurs de la menace ont mis en place une protection contre les robots d'analyse de cybersécurité, ce qui a compliqué l'analyse des sites malveillants.
- Chaîne d'infection en plusieurs étapes : Les auteurs de la menace ont redirigé le trafic via des serveurs de redirection légitimes et accessibles, notamment YouTube. This was followed by several additional steps like malicious cookies and 404 redirects.
Phase 1 : EvilProxy en action
Les auteurs de ces attaques se sont d'abord fait passer pour des services connus et fiables, en utilisant des e-mails falsifiés pour envoyer des e-mails de hameçonnage contenant des liens vers des sites de hameçonnage malveillants « Microsoft 365 ».
Les e-mails qui semblaient provenir de DocuSign, Adobe Sign et Concur contenaient des URL malveillantes qui déclenchaient une chaîne d'infection en plusieurs étapes, impliquant plusieurs redirections, des cookies malveillants et 404 redirections menant l'utilisateur vers une infrastructure de hameçonnage EvilProxy. La page d'accueil fait office de proxy inverse.
En analysant certaines des pages de redirection de cette campagne, Proofpoint a identifié un détail mineur mais significatif qui la distinguait dès les premiers jours de l'attaque. L'indice résidait dans une petite faute de frappe dans la chaîne de redirection. Au lieu de rediriger l'utilisateur vers une page https, l'auteur de la menace a indiqué par erreur une adresse « hhttps », ce qui a entraîné l'échec du processus de redirection.
L'auteur de la menace a utilisé un encodage spécifique pour dissimuler l'adresse e-mail de l'utilisateur aux outils d'analyse automatique. Il a également exploité des sites légitimes qui avaient déjà été piratés pour y télécharger son code PHP et décoder l'adresse e-mail de l'utilisateur. Une fois l'adresse e-mail décodée, l'utilisateur est redirigé vers le site Web final, qui est une page de hameçonnage spécialement conçue pour l'organisation ciblée.
Proofpoint a également constaté une modification apparente du déroulement de l'attaque lors de l'accès à plusieurs pages de hameçonnage depuis certaines zones géographiques. Le trafic provenant d'adresses IP turques a été redirigé vers la page Web légitime. Si cela est intentionnel, cela pourrait laisser penser que les auteurs de cette campagne sont basés en Turquie ou qu’ils évitent de cibler les utilisateurs turcs.
Phase 2 : Compromission d'un compte
La liste des utilisateurs comprenait de nombreuses cibles de grande importance, telles que des dirigeants de haut niveau et des vice-présidents au sein d'entreprises de premier plan.
Dès qu'un utilisateur ciblé fournit ses identifiants via la page de hameçonnage, les auteurs de la menace se connectent à son compte Microsoft 365 en quelques secondes, ce qui laisse supposer qu'il s'agit d'un processus automatisé.
Les acteurs malveillants n'ont pas eu accès à tous les utilisateurs qui ont mordu à l'hameçon de l'hameçonnage. Dans le cadre de cette campagne, les pirates ont ciblé exclusivement des cibles VIP, en ignorant celles présentant moins d'intérêt.
Sur les centaines d'utilisateurs victimes de cette campagne, environ 39 % étaient des cadres supérieurs. Parmi eux, 17 % étaient des directeurs financiers et 9 % étaient des présidents-directeurs généraux. Les auteurs de ces attaques ont également manifesté un intérêt pour les cadres de niveau inférieur.
Phase 3 : exploitation post-intrusion
Après avoir accédé aux comptes, les auteurs de la menace ont mis en place un mécanisme de persistance au sein de l'environnement cloud. À plusieurs reprises, les auteurs de ces attaques ont exploité une application native de Microsoft 365 pour manipuler l'authentification à plusieurs facteurs (MFA).
Grâce à la fonctionnalité « Mes identifiants », les cybercriminels pourraient ajouter leur propre méthode d'authentification à plusieurs facteurs (MFA) afin d'assurer leur persistance. La méthode d'authentification privilégiée par ces acteurs malveillants consistait à utiliser une application d'authentification avec notification et code.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne s'adresse tout particulièrement aux cadres, aux dirigeants et aux autres postes de type « VIP ». « Les auteurs de ces attaques semblent faire tout leur possible pour éviter et ignorer les identifiants recueillis qui n'appartiennent pas à ces cadres supérieurs. »
« Bien sûr, ces cybercriminels pourraient vendre ces autres identifiants ou se livrer à des activités malveillantes. » Mais cette campagne ne semble pas les intéresser. « Cette stratégie de ciblage diffère de celle de nombreuses campagnes de hameçonnage opportunistes qui cherchent à cibler n'importe quel membre d'une organisation et toute personne disposée à saisir ses identifiants sur une page de hameçonnage. »
2. Présentation du nouveau ransomware Rhysida ciblant le secteur de la santé
Le dernier rapport de Trend Micro porte sur le logiciel de rançon « » Rhysida (s'ouvre dans un nouvel onglet), un type de logiciel de rançon qui cible activement le secteur de la santé. Cette information intervient quelques jours seulement après que le Centre de coordination de la cybersécurité du secteur de la santé du HHS (HC3) a publié une alerte de sécurité (s'ouvre dans un nouvel onglet) concernant cette nouvelle souche de ransomware.
Rhysida se fait passer pour une équipe de cybersécurité et propose d'aider les victimes à identifier les failles de leur réseau. On savait auparavant qu’il ciblait les secteurs de l’éducation, de l’administration, de l’industrie et des technologies, mais il s’en est depuis pris à des organismes du secteur de la santé et de la santé publique.
Cette évolution s'inscrit dans le contexte de la multiplication des attaques par ransomware dont le secteur de la santé a été victime ces dernières années. Cette opération vise des organisations du monde entier, notamment en Indonésie, en Allemagne et aux États-Unis.
La chaîne d'attaques de Rhysida
Le ransomware Rhysida s'introduit généralement dans l'ordinateur de la victime par le biais d'appâts de hameçonnage, avant d'utiliser Cobalt Strike pour se déplacer latéralement.
Trend Micro a constaté que les auteurs de la menace utilisaient PsExec pour déployer des scripts PowerShell ainsi que la charge utile du ransomware Rhysida. Un script PowerShell met fin à tous les processus et services liés à l'antivirus, supprime les clichés instantanés, modifie les configurations RDP et change le mot de passe Active Directory.
Ce ransomware utilise une clé RSA de 4 096 bits et l'algorithme AES-CTR pour le chiffrement des fichiers. Une fois le chiffrement terminé, il ajoute l'extension .rhysida aux fichiers et dépose la note de rançon intitulée CriticalBreachDetected.pdf.
La demande de rançon est assez inhabituelle, puisqu'elle se présente sous la forme d'une alerte émanant de l'équipe de cybersécurité de Rhysida et informe les victimes de la violation de données.
La routine de chiffrement de Rhysida
Le ransomware Rhysida utilise la bibliothèque open source LibTomCrypt pour mettre en œuvre sa routine de chiffrement. Le générateur de nombres pseudo-aléatoires (PRNG) de LibTomCrypt est utilisé pour la génération des clés et des vecteurs d'initialisation.
Après avoir initialisé le générateur de nombres aléatoires pseudo-aléatoires (PRNG), Rhysida importe la clé RSA intégrée et définit l'algorithme qu'elle utilisera pour le chiffrement des fichiers. Elle procédera ensuite à l'enregistrement et à la déclaration de l'AES pour ses fonctionnalités de construction de hachage de chiffrement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« À l'heure actuelle, on dispose de peu d'informations sur les auteurs du ransomware Rhysida. » Il est intéressant de noter que ce groupe malveillant se fait passer pour une équipe de cybersécurité et propose d'aider les victimes à identifier leurs failles de sécurité. « Lors de sa première apparition, le groupe disposait d’un portail de discussion destiné à venir en aide aux victimes, ce qui renforçait l’impression qu’il leur rendait service. »
3. Ransomware LOLKEK : nouveaux échantillons et évolution des tactiques
SentinelOne a récemment découvert de nouveaux cas de LOLKEK — également appelé GlobeImposter — en circulation et a constaté des changements au sein de cette famille de ransomwares. SentinelOne a publié ses recherches sur les nouvelles charges utiles « » de LOLKEK : (s'ouvre dans un nouvel onglet), qui détaillent les nouvelles fonctionnalités et les changements de stratégie.
LOLKEK a fait sa première apparition en 2016. Le nom « GlobeImposter », à l'époque, était une façon astucieuse de décrire la manière dont ce ransomware imitait les méthodes du ransomware Globe.
On peut considérer que LOLKEK est, dans une certaine mesure, un ransomware « prêt à l'emploi ». Il est fréquemment modifié et utilisé par des personnes disposant de compétences et de ressources limitées. Lors d'incidents récents, les rançons exigées étaient inférieures à 2 000 dollars, ce qui est relativement faible par rapport à celles généralement réclamées par des groupes tels que Cl0P et LockBit.
LOLKEK s'adresse principalement aux petites et moyennes entreprises (PME) et aux particuliers. Cependant, on a observé des cas où ce ransomware a joué un rôle dans des attaques financières plus complexes et mieux orchestrées.
Détails techniques
- Les chercheurs de SentinelOne ont identifié deux nouveaux échantillons de LOLKEK en circulation. Ces échantillons se présentaient sous le nom de « W3CRYPTO LOCKER » et redirigeaient les victimes vers un nouveau portail de victimes sur Tor.
- Les deux nouveaux exemples ont été compilés dans « mai 2023 », mais un seul semble fonctionner correctement. Lors du lancement des nouvelles charges utiles LOLKEK, celles-ci détectent et chiffrent successivement tous les disques disponibles localement, y compris les partages réseau montés.
- Les charges utiles contiennent également des exclusions provenant de variantes antérieures de ce rançongiciel. Il s'agit notamment des dossiers « Windows », « System Volume Information » et « ProgramData ». Il semblerait que ces charges utiles soient capables de détecter et de supprimer les clichés instantanés de volume. Toutefois, ce comportement n'a pas été observé lors de l'analyse dynamique de l'un des échantillons. Le code d'exemple contient des commandes au format WMIC permettant de supprimer le VSS. Les fichiers chiffrés sont dotés de l'extension .MMM.
- En examinant de plus près ces fichiers chiffrés, les chercheurs ont identifié un autre indicateur les reliant à des variantes antérieures de LOLKEK/GlobeImposter. Les fichiers chiffrés contenaient la même chaîne « CRYPTO LOCKER » que celle observée dans les versions précédentes.
Portail dédié aux victimes et notes
Les notes de rançon de LOLKEK portent le nom « ReadMe.txt » et sont placées dans tous les emplacements contenant des fichiers et des données chiffrés. Les messages de rançon sont pratiquement identiques à ceux des variantes précédentes. Les URI .onion fournis comportent à la fin une chaîne de caractères unique à chaque exécution du rançongiciel.
Les victimes sont invitées à se rendre sur le portail Tor dédié aux victimes, où elles doivent créer un compte afin d'engager une conversation privée avec l'auteur de la menace. Le nouveau portail est, sur le plan fonctionnel, identique aux précédents portails destinés aux victimes hébergés par cette opération de rançongiciel.
L'auteur de la menace précise que les petits fichiers peuvent être déchiffrés gratuitement afin de démontrer que le déchiffrement fonctionne. Lorsque la victime crée un ticket sur le portail, les détails relatifs à la rançon lui sont communiqués directement via la messagerie instantanée.
Faute de sécurité opérationnelle de la part de LOLKEK
Les auteurs de cette campagne ont suivi des étapes, des procédures et des modèles très similaires à ceux de leurs campagnes précédentes concernant la mauvaise configuration d'Apache. La page d'état du serveur est accessible depuis la page des victimes de Tor. Les chercheurs ont établi que le serveur avait été mis en ligne sur 23 mai 2023 , quelques jours seulement après la compilation des échantillons correspondants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le ransomware LOLKEK est tout à fait fascinant, puisqu’il a réussi à survivre depuis 2016 dans ce paysage des menaces en constante évolution. » « Ses responsables continuent de travailler d'arrache-pied pour explorer de nouvelles stratégies et ont démontré leur capacité à rester dans la course. »
« LOLKEK nous rappelle à juste titre que, même si LockBit, Cl0p et d’autres groupes de ransomware de renom dominent le secteur, nous ne devons pas pour autant négliger les opérations de moindre envergure, mais néanmoins persistantes. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
