La couverture par la CTI d’un rapport Proofpoint qui révèle que les pirates parrainés par l’État ciblent de plus en plus les petites et moyennes entreprises (PME) à l’échelle mondiale et utilisent une infrastructure compromise pour lancer d’autres campagnes ciblant d’autres petites entreprises, gouvernements, militaires et grandes entreprises. Ensuite, CTI analyse un rapport Fortinet concernant un nouveau logiciel malveillant basé sur PowerShell appelé PowerExchange qui est utilisé dans les attaques destinées à implanter des portes dérobées dans les serveurs Microsoft Exchange sur site. Enfin, CTI conclut avec un cas intéressant impliquant à la fois une attaque par ransomware et une menace interne.
1. Les acteurs malveillants alignés sur l’État ciblent les PME
Selon Proofpoint, les pirates sponsorisés par l’État et soutenus par les gouvernements de Russie, d’Iran et de Corée du Nord ciblent de plus en plus les PME à l’échelle mondiale. Ces attaques sont conçues pour utiliser l’infrastructure compromise comme plateforme de lancement pour d’autres campagnes dans lesquelles les attaquants ciblent d’autres PME ainsi que des gouvernements, des militaires et des grandes entités d’entreprise.
Les chercheurs de Proofpoint ont effectué une analyse rétroactive des PME ciblées par des acteurs de menaces persistantes avancées (APT) tout au long du premier trimestre 2022 et jusqu’au premier trimestre 2023. Grâce au point de vue unique de l’entreprise sur ce qu’elle appelle la télémétrie « Proofpoint Essentials », le fournisseur de sécurité permet d’avoir un aperçu de plus de 200 000 PME pour les chercheurs cherchant à identifier les tendances clés du paysage des cybermenaces, en mettant l’accent sur l’observation des acteurs qui représentent des menaces uniques pour les PME mondiales.
En utilisant ces données précieuses, Proofpoint a identifié divers acteurs APT ciblant les PME. Ces acteurs sont considérés par les chercheurs comme étant alignés sur les gouvernements de la Russie, de l’Iran et de la Corée du Nord, et on estime qu’ils mènent des opérations pour soutenir les intérêts de l’État de ces pays.
Les principales tendances d’attaque ciblant les PME
Les chercheurs de Proofpoint ont identifié trois tendances principales dans les attaques ciblant les PME entre 2022 et 2023. Parmi ces derniers figurent :
- L’utilisation d’une infrastructure SMB compromise dans les campagnes d’hameçonnage.
- Ciblage des PME régionales par des acteurs alignés sur l’État pour le vol financier.
- Les fournisseurs de services gérés régionaux vulnérables (MSP régionaux) sont ciblés par hameçonnage, ce qui introduit la menace d’attaques de la chaîne d’approvisionnement des PME. Les MSP régionaux sont des MSP de petite et moyenne taille qui servent les clients dans une zone géographique concentrée.
Utilisation de l’infrastructure SMB compromise dans les campagnes APT
L’une des tendances les plus intéressantes à émerger dans l’analyse de Proofpoint est l’utilisation d’infrastructure SMB compromise par les acteurs d’APT pour faciliter les campagnes d’hameçonnage contre des cibles secondaires de grande valeur.
Comme le soulignent les chercheurs, un exemple typique de cette activité impliquait un acteur malveillant compromettant avec succès un serveur Web ou un compte de messagerie dans une PME.
La méthode d’accès initial variait. L’infiltration peut avoir été le résultat de la collecte d’informations d’identification, ou, dans le cas d’un serveur Web, via l’exploitation d’une vulnérabilité non corrigée. Quelle que soit la voie d’entrée, une adresse e-mail compromise serait souvent utilisée pour envoyer des e-mails malveillants d’une « source fiable » à des cibles secondaires souhaitables.
Comme le souligne Proofpoint, si un acteur malveillant avait la chance de compromettre un serveur Web hébergeant un domaine, l’étape suivante impliquerait plus que probablement l’abus de ce bit d’infrastructure légitime, l’utilisant pour héberger ou fournir des logiciels malveillants à une victime tierce en amont.
Trois exemples concrets
Exemple concret : TA473
Le rapport cite un cas réel dans lequel les chercheurs de Proofpoint ont observé une infrastructure SMB compromise utilisée par l’acteur APT suivi par l’entreprise sous le nom de TA473 (Winter Vivern), dans des campagnes d’hameçonnage survenant entre novembre 2022 et février 2023.
Depuis Proofpoint :
Ces campagnes ciblaient les entités gouvernementales américaines et européennes. Dans mars 2023, Proofpoint a publié des détails sur TA473’s e-mails de transmission provenant d’adresses e-mail compromises. Dans plusieurs cas, ces e-mails provenaient de domaines hébergés par WordPress qui peuvent avoir été non corrigés ou non sécurisés au moment de la compromission. De plus, les serveurs de messagerie Web Zimbra non corrigés ont été exploités pour compromettre les comptes de messagerie des entités gouvernementales. En plus d’envoyer des e-mails via une infrastructure SMB compromise, TA473 a également utilisé des domaines d’entreprise de petite et moyenne taille compromis pour fournir des charges utiles de logiciels malveillants.
Exemple concret : TA422
Un autre scénario réel impliquait l’usurpation d’identité systématique d’une PME (située en Arabie saoudite et appartenant au secteur de la fabrication automatique) dans le cadre d’une campagne d’hameçonnage, dont l’objectif était la collecte d’informations d’identification.
La campagne ciblait les adresses e-mail privées appartenant aux victimes aux États-Unis et en Ukraine et a été attribuée à TA422 (alias APT28), un acteur de menace parrainé par l’État lié au service de renseignement militaire GRU de Russie. En plus de mettre clairement en évidence le ciblage continu des entités ukrainiennes par des APT en lien avec la Russie, la campagne comprenait également l’usurpation d’une entité du Moyen-Orient pour cibler les victimes aux États-Unis et en Europe.
Depuis Proofpoint :
L’acteur malveillant comprenait l’adresse usurpée dans le champ « Envoyer à » de l’en-tête de l’e-mail susceptible d’augmenter les efforts d’ingénierie sociale pour apparaître comme l’entité usurpée. Cependant, cette usurpation d’identité via le champ « MailTo » a pour résultat pratique de renvoyer des e-mails non livrés au domaine légitime usurpé par l’acteur malveillant. Par conséquent, l’effet secondaire involontaire des e-mails rejetés a fourni aux chercheurs de Proofpoint une visibilité sur les pages de collecte d’informations d’identification de TA422 qui tiraient parti des sous-domaines suivants pour héberger les pages d’hameçonnage d’informations d’identification : 42web[.]io et frge[.]io.
Exemple concret :TA499
Le troisième et dernier exemple concret fourni dans le rapport de Proofpoint impliquait un cas significatif d’usurpation d’identité APT qui s’est produite en mai 2022. L’acteur malveillant suivi par Proofpoint comme TA499 (ou Vovan ou Lexus), un acteur basé en Russie et lié à l’État qui sollicite régulièrement des conférences téléphoniques sur le thème politique auprès de personnes pro-Ukraine de premier plan, a ciblé une entreprise de taille moyenne concernée par la représentation des talents de célébrités aux États-Unis.
Depuis Proofpoint :
TA499 a cherché à attirer une célébrité américaine majeure dans une visioconférence téléphonique sur le conflit en Ukraine en se faisant passer pour le président ukrainien Volodymyr Zelensky. Proofpoint a pu attribuer cette campagne à TA499 en fonction d’une série d’adresses e-mail et de domaines contrôlés par un acteur que le groupe a utilisés de manière cohérente tout au long de 2022.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« D’après les résultats combinés présentés dans le rapport de Proofpoint, il est clair que les acteurs APT parrainés par l’État cherchent de plus en plus à cibler les PME, dont beaucoup sont vulnérables aux attaques, ainsi que les MSP régionaux pour soutenir les exigences de collecte de renseignements alignées sur l’État. »
« Les résultats décrits ci-dessus indiquent également clairement le désir et la volonté de ces mêmes groupes soutenus par l’État d’utiliser la compromission de l’infrastructure des PME pour faciliter la facilitation des attaques secondaires sur des cibles de grande valeur qui sont plus susceptibles de fournir des renseignements beaucoup plus exploitables. »
2. Le nouveau logiciel malveillant PowerExchange retourne sur les serveurs Microsoft Exchange
Fortinet a découvert un nouveau logiciel malveillant basé sur PowerShell appelé « PowerExchange » qui est utilisé dans les attaques destinées à implanter des portes dérobées dans les serveurs Microsoft Exchange sur site. L’activité serait liée au groupe iranien de menaces connu sous le nom de APT34.
Fortinet a observé plusieurs attaques simultanées ciblant une entité gouvernementale aux EAU l’année dernière, dont l’une n’était pas encore identifiée jusqu’à présent. Ce cas s’est avéré impliquer un logiciel malveillant PowerExchange. Le protocole de commande et de contrôle (C2) du backdoor est basé sur l’e-mail et utilise le serveur Microsoft Exchange de la victime comme serveur C2 .
Une enquête plus approfondie a révélé l’existence d’une porte dérobée sur des endpoints supplémentaires au sein de l’environnement, avec plusieurs autres implants résidant sur divers serveurs. L’un de ces implants, situé sur un serveur Microsoft Exchange, était une web shell connue sous le nom d’ExchangeLeech.
La chaîne d’infection de cette attaque a commencé par un e-mail d’hameçonnage traditionnel. La victime a ouvert un fichier zip, nommé Brochure.zip, qui contenait un exécutable .NET malveillant du même nom. Le fichier, un exécutable avec une icône Adobe PDF, a été déposé dans un dossier temporaire et a affiché un message d’erreur lors de l’exécution. L’exécutable est en fait un compte-gouttes qui facilite l’installation et l’exécution de la charge utile finale. Il crée trois fichiers : autosave.exe, wsdl.ps1 et Microsoft.Exchange.WebServices.dll. Le compte-gouttes établit ensuite la persistance d’autosave.exe via une tâche planifiée qui s’exécutera périodiquement à intervalles de cinq minutes. Autosave.exe exécutera la charge utile PowerShell finale – wsdl.ps1 – dans un nouveau processus.
À propos du backdoor PowerExchange
- Le backdoor PowerExchange tire son nom de la nature de son canal C2 , car il exploite l’API Exchange Web Services (EWS) pour se connecter au serveur Exchange de la victime et utilise des boîtes aux lettres pour envoyer et recevoir des commandes.
- Une DLL .NET est chargée via la réflexion à partir du même dossier afin d’y parvenir. Le serveur Exchange est accessible à partir d’Internet, sauvegardant la communication C2 vers des serveurs externes et agissant comme proxy pour l’acteur malveillant.
- Le backdoor se connecte au serveur Exchange, envoyant le nom de l’ordinateur base64-encoded à une boîte aux lettres pour indiquer qu’il est en cours d’exécution. Les informations d’identification de la boîte aux lettres et de la connexion sont codées en dur dans le backdoor lui-même. L’opérateur peut ensuite répondre avec des boîtes aux lettres supplémentaires que la backdoor doit baliser dans la session actuelle, ou l’ID d’un e-mail à partir duquel récupérer et exécuter une commande.
- Afin d’envoyer des données, le backdoor créera un e-mail avec l’objet « Mettre à jour Microsoft Edge ». Le corps de cet e-mail n’est que le texte « Microsoft Edge Update ». Les données elles-mêmes sont transmises sous forme de pièce jointe dans l’e-mail intitulé New Text Document.txt.
- Les commandes sont envoyées au backdoor sous forme de contenu codé base64 non rembourré dans les pièces jointes aux e-mails. Le backdoor prend en charge trois commandes spécifiques en vérifiant l’état des variables prédéterminées suivant les expressions évaluées. Les réponses sont renvoyées par e-mail, à la même adresse e-mail que celle à partir de laquelle le message de commande a été reçu.
Attribution : APT34
Fortinet a attribué la campagne impliquant la porte dérobée PowerExchange au groupe iranien de menaces APT34, qui a toujours ciblé un éventail de secteurs, notamment les finances, le gouvernement, l’énergie, les produits chimiques et les télécommunications. Le groupe tire souvent parti des relations entre les organisations pour mener des attaques de la chaîne d’approvisionnement.
PowerExchange présente plusieurs similitudes avec le backdoor TriFive qui a été précédemment lié à APT34. Les backdoors sont tous deux écrits dans PowerShell, activés par une tâche planifiée périodique, et les C2 canaux tirent parti du serveur Exchange de l’organisation avec l’API EWS. Le code sous-jacent aux deux diffère, mais on suppose que PowerExchange est simplement une nouvelle version améliorée de TriFive.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne utilise le serveur Exchange de la victime pour sa communication C2 , ce qui permet à la porte dérobée de mieux se fondre avec le trafic légitime et bénin. »
« Cette technique permet à l’acteur malveillant de mieux échapper aux détections basées sur le réseau. Cependant, il convient de rappeler que cette backdoor cible actuellement les serveurs Exchange sur site, qui deviennent certainement moins courants compte tenu d’un passage important au cloud. »
3. Un employé du service informatique se fait passer pour un gang de rançongiciels pour extorquer l’employeur
Ashley Liles, une résidente du Royaume-Uni âgée de vingt-huit ans, a été condamnée pour un accès informatique non autorisé à des fins criminelles et pour chantage de son employeur.
En 2018, Liles a travaillé en tant qu’analyste de la sécurité informatique dans une entreprise basée à Oxford. Au cours 27 février de cette année-là, son entreprise a subi un incident de cybersécurité dans lequel l’acteur malveillant a obtenu l’accès à un large éventail de ses systèmes informatiques. L’attaquant a ensuite informé les membres supérieurs de l’entreprise demandant une rançon.
Les choses n’ont fait qu’inconnu de là.
Grâce à sa position, Liles a été chargé d’enquêter sur l’incident, au cours duquel les attaquants ont contacté les dirigeants de l’entreprise pour demander un paiement de rançon. Liles a joué un rôle important dans les enquêtes internes de l’organisation et les activités de réponse aux incidents, qui ont été aidées par les collègues de Liles dans l’entreprise et les membres des forces de l’ordre locales.
C’est à ce moment-là que Liles a découvert l’opportunité de tirer parti de l’incident de cybersécurité, en tirant parti de la violation pour se faire un avantage financier en « soutenant » l’incident existant, tentant de détourner le paiement potentiel de rançon vers un portefeuille de cryptomonnaies sous son contrôle.
BleepingComputer rapporte que pendant la phase de réponse aux incidents, Liles a cherché à « s’enrichir de l’attaque en piégeant son employeur pour lui payer une rançon au lieu de l’attaquant externe d’origine. »
Comme indiqué dans le communiqué de presse de SEROCU, « Il a accédé aux e-mails privés d’un membre du conseil plus de 300 fois, a modifié l’e-mail de chantage d’origine et a modifié l’adresse de paiement fournie par l’attaquant d’origine. C’était dans l’espoir que si le paiement était effectué, il lui serait versé plutôt que l’attaquant d’origine. »
Liles est même allé jusqu’à créer une adresse e-mail qui était presque identique à celle utilisée par l’attaquant réel, et a utilisé le compte pour envoyer un message à son employeur, en les incitant à céder à la demande de rançon et à effectuer le paiement.
À l’insu de son employeur et de la police, Liles avait effectivement commencé une attaque « séparée et secondaire » contre l’entreprise, qui luttait déjà contre une attaque réelle par ransomware sur un autre front.
Malheureusement, pour M. Liles, le propriétaire de l’entreprise n’était pas intéressé par le paiement des attaquants, et les enquêtes internes ultérieures ont rapidement révélé la trahison de Liles, qui à ce moment-là, comprenait un accès non autorisé répété aux e-mails privés de l’entreprise, un accès qui a pointé de vrais enquêteurs directement vers son adresse IP domestique.
À ce moment-là, Liles avait apparemment commencé à sentir les murs se fermer sur lui et a commencé à effacer toutes les données de ses appareils personnels, une tâche qu’il avait accomplie avec succès au moment où son domicile a été perquisitionné par l’équipe de cybercriminalité de SEROCU et où son ordinateur a été saisi. Malheureusement, pour le mensonge de M. Liles, suffisamment de données incriminantes ont été restaurées par les enquêteurs pour intenter une affaire contre lui.
Pendant les cinq années suivantes, Liles a refusé toute implication dans le crime. Cependant, lors d’une récente audience devant la Cour de Cour de Reading, il a finalement plaidé coupable de toutes les accusations. La peine sera prononcée le 11 juillet 2023.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Nous parlons souvent de menaces internes et les comptons continuellement parmi les cybermenaces graves auxquelles les organisations sont confrontées, mais découvrir tous les détails luridiques d’un cas comme celui-ci est quelque peu rare. »
« Bien que les détails techniques de l’affaire soient minces, ils servent de rappel du type de dommages qui peuvent être causés par une personne malhonnête qui a trop de marge de manœuvre. Les postes d’analyste de sécurité sont généralement des emplois bien rémunérés, qui fournissent généralement à l’employé un degré significatif d’accès et de privilège. Les acteurs malveillants sont tout aussi conscients de ces faits que nous. Il ne s’agit pas de suggérer que les acteurs malveillants postulent à des postes de sécurité par chargement de bateau. Mais il y a eu des incidents dans lesquels les acteurs malveillants ont ciblé ce type d’employé pour la corruption, la coercition ou le chantage afin d’amener les initiés à les aider à faciliter une activité malveillante. »
Comme l’explique Help Net :
Bien que certaines menaces internes puissent découler de la négligence ou de l’ignorance, ce cas met en évidence un scénario plus sinistre impliquant une personne malveillante et opportuniste. Les initiés malveillants exploitent leur accès autorisé et leurs privilèges pour se livrer à des activités nuisibles, contraires à l’éthique ou illégales.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
