En tête de notre tour d’horizon de cette semaine figure l’article de CTI consacré à un rapport de Proofpoint qui révèle que des pirates informatiques soutenus par des États ciblent de plus en plus les petites et moyennes entreprises (PME) à l’échelle mondiale et utilisent des infrastructures compromises pour lancer de nouvelles campagnes visant d’autres petites entreprises, des administrations publiques, des forces armées et de grandes entreprises. CTI analyse ensuite un rapport de Fortinet concernant un nouveau logiciel malveillant basé sur PowerShell, baptisé « PowerExchange », qui est utilisé dans le cadre d'attaques visant à implanter des portes dérobées dans des serveurs Microsoft Exchange sur site. Pour finir, CTI conclut en présentant un cas intéressant mêlant à la fois une attaque par ransomware et une menace interne.
1. Des acteurs malveillants liés à des États ciblent les PME
Selon Proofpoint, des pirates informatiques soutenus par les gouvernements de l' , de la Russie, de l'Iran et de la Corée du Nord (s'ouvre dans un nouvel onglet) ciblent de plus en plus les PME à l'échelle mondiale. Ces attaques visent à utiliser l'infrastructure compromise comme point de départ pour de nouvelles campagnes dans lesquelles les attaquants ciblent d'autres PME ainsi que des administrations publiques, des forces armées et de grandes entreprises.
Les chercheurs de Proofpoint ont mené une analyse rétrospective portant sur les PME ciblées par des acteurs d'attaques persistantes avancées (APT) tout au long du premier trimestre de 2022 et jusqu'au premier trimestre de 2023. Grâce à sa perspective unique sur ce qu’elle appelle la télémétrie « Proofpoint Essentials », cette entreprise spécialisée dans la sécurité offre aux chercheurs un aperçu de plus de 200 000 PME afin qu’ils puissent identifier les principales tendances du paysage des cybermenaces, en mettant l’accent sur l’observation des acteurs qui représentent des menaces spécifiques pour les PME du monde entier.
Grâce à ces précieuses données, Proofpoint a identifié divers acteurs d'attaques APT ciblant les PME. Les chercheurs estiment que ces acteurs sont liés aux gouvernements russe, iranien et nord-coréen, et qu’ils mèneraient des opérations visant à servir les intérêts nationaux de ces pays.
Les principales tendances en matière d'attaques visant les PME
Les chercheurs de Proofpoint ont identifié trois grandes tendances dans les attaques visant les PME comptant entre 2022 et 2023 employés. Ceux-ci comprennent :
- L'utilisation d'infrastructures SMB compromises dans le cadre de campagnes de phishing de type « ».
- Ciblage régional des PME par des acteurs liés à l'État à des fins de vol financier.
- Les prestataires de services gérés régionaux (MSP régionaux) vulnérables sont la cible d'attaques par hameçonnage, ce qui fait peser une menace d'attaques visant la chaîne d'approvisionnement des PME. Les MSP régionaux sont des MSP de petite ou moyenne taille qui fournissent leurs services à des clients situés dans une zone géographique délimitée.
Utilisation d'une infrastructure SMB compromise dans le cadre de campagnes APT
L'une des tendances les plus intéressantes qui ressort de l'analyse de Proofpoint est l'utilisation par les acteurs d'APT d'infrastructures de PME compromises afin de faciliter des campagnes de hameçonnage visant des cibles secondaires de grande valeur.
Comme le soulignent les chercheurs, un exemple typique de ce type d'activité consiste en un acteur malveillant qui parvient à compromettre un serveur web ou un compte de messagerie au sein d'une PME.
La méthode d'accès initial variait. Cette intrusion pourrait résulter d'un vol d'identifiants ou, dans le cas d'un serveur web, de l'exploitation d'une vulnérabilité non corrigée. Quelle que soit la voie d'accès, une adresse e-mail piratée est souvent utilisée pour envoyer des e-mails malveillants provenant d'une « source de confiance » à des cibles secondaires de choix.
Comme le souligne Proofpoint, si un acteur malveillant avait la chance de compromettre un serveur web hébergeant un domaine, l'étape suivante consisterait très probablement à exploiter cette partie d'infrastructure légitime, en l'utilisant pour héberger ou diffuser des logiciels malveillants à une victime tierce en amont.
Trois exemples concrets
Exemple concret : TA473
Le rapport cite un cas concret dans lequel les chercheurs de Proofpoint ont observé qu'une infrastructure de PME compromise était utilisée par l'acteur APT identifié par la société sous le nom de « TA473 » (Winter Vivern), dans le cadre de campagnes de hameçonnage menées entre le novembre 2022 et le février 2023.
Source : Proofpoint :
Ces campagnes visaient des entités gouvernementales américaines et européennes. Dans « mars 2023 », Proofpoint a publié des informations détaillées concernant TA473’s e-mails de transmission provenant d'adresses e-mail compromises. Dans plusieurs cas, ces e-mails provenaient de domaines hébergés sur WordPress qui n'étaient peut-être pas à jour ou qui présentaient des failles de sécurité au moment de la violation. Par ailleurs, des serveurs de messagerie Web Zimbra non mis à jour ont été piratés afin de compromettre les comptes de messagerie d'entités gouvernementales. Outre l'envoi d'e-mails via une infrastructure de PME compromise, le groupe TA473 a également utilisé des domaines de petites et moyennes entreprises compromis pour diffuser des charges utiles malveillantes.
Exemple concret : TA422
Un autre scénario réel concernait l’usurpation systématique de l’identité d’une PME (située en Arabie saoudite et appartenant au secteur de la construction automobile) dans le cadre d’une campagne de hameçonnage, dont l’objectif était de collecter des identifiants.
La campagne visait des adresses e-mail privées appartenant à des victimes aux États-Unis et en Ukraine ; elle a été attribuée à « TA422 » (également connu sous le nom de « APT28 »), un acteur malveillant soutenu par un État et lié au service de renseignement militaire russe, le GRU. Outre le fait qu'elle a clairement mis en évidence le ciblage continu d'entités ukrainiennes par des APT liées à la Russie, cette campagne s'est également caractérisée par l'usurpation de l'identité d'une entité du Moyen-Orient afin de cibler des victimes aux États-Unis et en Europe.
Source : Proofpoint :
L'auteur de la menace a intégré l'adresse falsifiée dans le champ « MailTo » de l'en-tête de l'e-mail, probablement afin de renforcer ses efforts d'ingénierie sociale visant à se faire passer pour l'entité usurpée. Cependant, cette usurpation d'identité via le champ « MailTo » a pour conséquence concrète de renvoyer les e-mails non remis vers le domaine légitime dont l'identité est usurpée par l'acteur malveillant. C'est ainsi que cet effet secondaire involontaire lié aux e-mails rejetés a permis aux chercheurs de Proofpoint d'identifier TA422 pages destinées à la collecte d'identifiants, qui utilisaient les sous-domaines suivants pour héberger des pages de hameçonnage d'identifiants : 42web[.]io et frge[.]io.
Exemple concret : TA499
Le troisième et dernier exemple concret présenté dans le rapport de Proofpoint concernait un cas majeur d'usurpation d'identité de type APT survenu à l' mai 2022. L'acteur malveillant identifié par Proofpoint sous le nom de « TA499 » (également connu sous les noms de « Vovan » ou « Lexus »), un acteur basé en Russie et lié à l'État qui sollicite régulièrement des conférences téléphoniques à caractère politique auprès de personnalités de premier plan favorables à l'Ukraine, a pris pour cible une entreprise de taille moyenne spécialisée dans la représentation d'artistes célèbres aux États-Unis.
Source : Proofpoint :
TA499 a tenté d'amener une grande célébrité américaine à participer à une visioconférence sur le conflit en Ukraine en se faisant passer pour le président ukrainien Volodymyr Zelensky. Proofpoint a pu attribuer cette campagne au groupe « TA499 » en se basant sur une série d'adresses e-mail et de domaines contrôlés par ce groupe, que celui-ci a utilisés de manière systématique tout au long de l'année 2022.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Au vu des conclusions globales présentées dans le rapport de Proofpoint, il apparaît clairement que les acteurs d’APT soutenus par des États cherchent de plus en plus à cibler les PME — dont beaucoup sont vulnérables aux attaques — ainsi que les prestataires de services informatiques régionaux (MSP), afin de répondre aux besoins de collecte de renseignements des États. »
« Les conclusions décrites ci-dessus mettent également en évidence la volonté et la disposition de ces mêmes groupes soutenus par des États à exploiter la compromission des infrastructures des PME afin de faciliter des attaques secondaires contre des cibles de grande valeur, susceptibles de fournir des renseignements bien plus exploitables. »
2. Un nouveau logiciel malveillant, « PowerExchange », installe des portes dérobées sur les serveurs Microsoft Exchange
Fortinet a découvert un nouveau logiciel malveillant basé sur PowerShell, baptisé « PowerExchange », qui est utilisé dans le cadre d'attaques visant à implanter des portes dérobées au sein de serveurs Microsoft Exchange sur site. On pense que cette activité est liée au groupe malveillant iranien connu sous le nom de « APT34 ».
Fortinet a constaté l'année dernière plusieurs attaques simultanées visant une entité gouvernementale aux Émirats arabes unis, dont l'une n'avait pas encore été identifiée jusqu'à présent. Il s'est avéré que cette affaire concernait le logiciel malveillant PowerExchange. Le protocole de commande et de contrôle (C2) de cette porte dérobée repose sur la messagerie électronique et utilise le serveur Microsoft Exchange de la victime comme serveur C2 .
Une enquête plus approfondie a révélé l'existence de cette porte dérobée sur d'autres terminaux au sein de l'environnement, ainsi que la présence de nombreux autres implants sur divers serveurs. L'un de ces implants, hébergé sur un serveur Microsoft Exchange, était un « web shell » connu sous le nom d'ExchangeLeech.
La chaîne d'infection de cette attaque a débuté par un e-mail de hameçonnage classique. La victime a ouvert un fichier ZIP, nommé « Brochure.zip », qui contenait un fichier exécutable .NET malveillant portant le même nom. Le fichier, un fichier exécutable doté d'une icône Adobe PDF, a été placé dans un dossier temporaire et a affiché un message d'erreur lors de son exécution. Le fichier exécutable est en réalité un « dropper » qui facilite l'installation et l'exécution de la charge utile finale. Il crée trois fichiers : autosave.exe, wsdl.ps1 et Microsoft.Exchange.WebServices.dll. Le programme de dépôt met ensuite en place la persistance de l'exécutable « autosave.exe » via une tâche planifiée qui s'exécutera périodiquement toutes les cinq minutes. Autosave.exe exécutera la charge utile PowerShell finale – wsdl.ps1 – dans un nouveau processus.
À propos de la porte dérobée PowerExchange
- Le cheval de Troie « PowerExchange » tire son nom de la nature de son canal C2 , car il exploite l'API Exchange Web Services (EWS) pour se connecter au serveur Exchange de la victime et utilise les boîtes aux lettres pour envoyer et recevoir des commandes.
- Pour ce faire, une DLL .NET est chargée par réflexion à partir du même dossier. Le serveur Exchange est accessible depuis Internet, ce qui évite C2 communications vers des serveurs externes et lui permet de servir de proxy pour l'acteur malveillant.
- La porte dérobée se connecte au serveur Exchange et envoie le nom de l'ordinateur « base64-encoded » à une boîte aux lettres pour indiquer qu'elle est en cours d'exécution. Les identifiants de connexion et la boîte aux lettres sont intégrés en dur dans la porte dérobée elle-même. L'opérateur peut alors répondre en indiquant d'autres boîtes aux lettres que la porte dérobée doit utiliser pour envoyer des signaux au cours de la session en cours, ou l'identifiant d'un e-mail à récupérer afin d'exécuter une commande.
- Afin d'envoyer des données, la porte dérobée créera un e-mail dont l'objet sera « Mise à jour de Microsoft Edge ». Le corps de cet e-mail se compose uniquement du texte « Mise à jour de Microsoft Edge ». Les données elles-mêmes sont transmises sous forme de pièce jointe dans l'e-mail intitulé « New Text Document.txt ».
- Les commandes sont envoyées à la porte dérobée sous forme de contenu encodé en base64 sans remplissage, dans des pièces jointes d'e-mails. La porte dérobée prend en charge trois commandes spécifiques en vérifiant l'état de variables prédéfinies à la suite de l'évaluation des expressions. Les réponses sont envoyées par e-mail, à l'adresse e-mail d'où provient le message de commande.
Source : APT34
Fortinet a attribué la campagne impliquant la porte dérobée PowerExchange au groupe malveillant iranien APT34, qui a historiquement ciblé divers secteurs, notamment la finance, les administrations publiques, l'énergie, l'industrie chimique et les télécommunications. Ce groupe tire souvent parti des relations entre organisations pour mener des attaques visant la chaîne d'approvisionnement.
PowerExchange présente de nombreuses similitudes avec la porte dérobée TriFive, qui avait déjà été associée à APT34. Ces portes dérobées sont toutes deux écrites en PowerShell et activées par une tâche planifiée périodique ; quant aux C2 canaux, ils exploitent le serveur Exchange de l'organisation via l'API EWS. Le code à la base de ces deux logiciels diffère, mais on suppose que PowerExchange n'est qu'une nouvelle version améliorée de TriFive.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne utilise le serveur Exchange de la victime pour ses communications de type « C2 », ce qui permet à la porte dérobée de se fondre davantage dans le trafic légitime et inoffensif. »
« Cette technique permet à l'auteur de la menace de mieux échapper aux systèmes de détection basés sur le réseau. » Il convient toutefois de rappeler que cette porte dérobée cible actuellement les serveurs Exchange sur site, qui sont certes de moins en moins courants compte tenu de la transition massive vers le cloud. »
3. Un employé du service informatique se fait passer pour un membre d'un groupe de ransomware afin d'extorquer de l'argent à son employeur
Ashley Liles, âgé de vingt-huit ans et résidant au Royaume-Uni, a été reconnu coupable d'accès non autorisé à un système informatique à des fins criminelles et de chantage à l'encontre de son employeur.
En 2018, Liles occupait le poste d'analyste en sécurité informatique au sein d'une entreprise basée à Oxford. Le 27 février , de cette même année, son entreprise a été victime d'un incident de cybersécurité au cours duquel l'auteur de l'attaque a réussi à accéder à une grande partie de ses systèmes informatiques. L'attaquant a ensuite contacté les dirigeants de l'entreprise pour exiger une rançon.
À partir de là, les choses n'ont fait que devenir de plus en plus étranges.
De par ses fonctions, M. Liles a été chargé d'enquêter sur cet incident — au cours duquel les pirates ont contacté les dirigeants de l'entreprise pour exiger le versement d'une rançon. M. Liles a joué un rôle important dans les enquêtes internes et les interventions en cas d’incident menées par l’organisation, avec le concours de ses collègues au sein de l’entreprise et des membres des forces de l’ordre locales.
C'est à ce moment-là que Liles a vu là une occasion de tirer parti de cet incident de cybersécurité, en profitant de la faille pour s'enrichir personnellement en « surfant » sur l'incident en cours, en tentant de détourner le paiement potentiel de la rançon vers un portefeuille de cryptomonnaie qu'il contrôlait.
BleepingComputer rapporte que, pendant la phase d'intervention suite à l'incident survenu chez , (s'ouvre dans un nouvel onglet) , M. Liles a cherché à « tirer profit de l'attaque en incitant son employeur à lui verser une rançon à la place de l'attaquant externe initial ».
Comme l'indique le communiqué de presse de SEROCU, « Il a accédé aux e-mails privés d'un membre du conseil d'administration à plus de 300 reprises, a modifié l'e-mail de chantage initial et a changé l'adresse de paiement fournie par l'auteur de l'attaque initial. » « L'idée était que, si un paiement devait être effectué, il le serait à son profit plutôt qu'à celui de l'agresseur initial. »
M. Liles est même allé jusqu’à créer une adresse e-mail pratiquement identique à celle utilisée par le véritable pirate, et s’est servi de ce compte pour envoyer un message à son employeur, faisant pression sur celui-ci pour qu’il cède à la demande de rançon et effectue le paiement.
À l'insu de son employeur et de la police, Liles avait en effet lancé une attaque « distincte et secondaire » contre l'entreprise — qui était déjà aux prises avec une véritable attaque par ransomware sur un autre front.
Malheureusement pour M. Liles, le propriétaire de l’entreprise n’était pas disposé à payer les pirates, et les enquêtes internes menées par la suite ont rapidement mis au jour la trahison de M. Liles — qui, à ce stade, comprenait des accès non autorisés répétés aux e-mails privés de l’entreprise —, accès qui ont conduit les enquêteurs à remonter directement jusqu’à l’adresse IP de son domicile.
À ce stade, Liles avait apparemment commencé à sentir que le piège se refermait sur lui et s’était mis à effacer toutes les données de ses appareils personnels — une tâche qu’il avait menée à bien avant que son domicile ne fasse l’objet d’une perquisition menée par l’équipe chargée de la cybercriminalité du SEROCU et que son ordinateur ne soit saisi. Malheureusement pour M. Liles, qui se trouve dans une situation difficile, les enquêteurs ont pu récupérer suffisamment d'éléments à charge pour monter un dossier contre lui.
Au cours des cinq années qui ont suivi, Liles a nié toute implication dans ce crime. Toutefois, lors d'une récente audience devant la Crown Court de Reading, il a finalement plaidé coupable de tous les chefs d'accusation. La peine sera prononcée le 11 juillet 2023.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« On parle souvent des menaces internes et on les classe régulièrement parmi les cybermenaces les plus graves auxquelles sont confrontées les organisations, mais il est plutôt rare de découvrir tous les détails sordides d’une affaire comme celle-ci. »
« Bien que les détails techniques de cette affaire soient rares, celle-ci nous rappelle le type de préjudice que peut causer un individu mal intentionné disposant d'une trop grande marge de manœuvre. » Les postes d'analyste en sécurité sont généralement bien rémunérés et confèrent souvent à l'employé un niveau important d'accès et de privilèges. Les cybercriminels sont tout aussi conscients de ces faits que nous. Cela ne veut pas dire pour autant que les cybercriminels postulent en masse à des postes dans le domaine de la sécurité. « Il est toutefois arrivé que des acteurs malveillants ciblent ce type d’employés par le biais de pots-de-vin, de contraintes ou de chantage, afin d’amener des initiés à les aider à mener à bien leurs activités malveillantes. »
Comme l'explique le site « Help Net » (s'ouvre dans un nouvel onglet) :
Si certaines menaces internes peuvent résulter de la négligence ou de l'ignorance, cette affaire met en lumière un scénario plus sinistre impliquant un individu malveillant et opportuniste. Les initiés malveillants profitent de leur accès autorisé et de leurs privilèges pour se livrer à des activités préjudiciables, contraires à l'éthique ou illégales.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
