Dans le tour d'horizon de cette semaine, CTI se penche sur une campagne en cours menée par le groupe APT28 , lié à un État-nation, dans le cadre de laquelle l'acteur malveillant exploite une faille de sécurité critique dans Outlook afin de dérober des informations sensibles. CTI examine ensuite les principales caractéristiques des e-mails de hameçonnage contenant des codes QR , notamment les sources, les objets et les domaines les plus courants auxquels les auteurs de menaces ont recours dans leurs attaques. CTI analyse également une intrusion récente sur un serveur MSSQL accessible au public, qui a entraîné le déploiement du ransomware BlueSky.
1. APT28 exploite une faille critique d'Outlook
Le groupe « », soutenu par le Kremlin APT28 , (s'ouvre dans un nouvel onglet) (également connu sous le nom de « » ou « Fancy Bear »), cible activement une faille de sécurité critique, désormais corrigée, du service de messagerie Outlook. APT28 exploite CVE-2023-23397 (s'ouvre dans un nouvel onglet) afin d'obtenir un accès non autorisé à des comptes Microsoft Exchange et de voler des informations sensibles.
Le numéro CVE-2023-23397 correspond à une vulnérabilité de type « élévation de privilèges critiques » ( ) (s'ouvre dans un nouvel onglet) dans Microsoft Outlook sous Windows. Pour exploiter cette vulnérabilité, l'auteur de la menace enverra un message spécialement conçu à un utilisateur. L'acteur malveillant peut définir la valeur du paramètre « PidLidReminderFileParameter » afin de provoquer une fuite de hachage Net-NTLMv2 vers les serveurs qu'il contrôle. La victime n'a pas besoin d'interagir avec ce courriel. Tant qu'Outlook est ouvert au moment où le rappel se déclenche, l'exploitation aura lieu.
Toutes les versions d'Outlook sous Windows ont été touchées par cette vulnérabilité, tandis qu'Outlook pour Android, iOS, Mac et OWA n'ont pas été affectés. Microsoft a retracé les indices d'une exploitation potentielle de cette vulnérabilité jusqu'au site avril 2022. Cette vulnérabilité a été signalée pour la première fois en mars 2023, et un correctif a depuis été mis à disposition.
À propos de APT28
Bien que cette vulnérabilité ait été révélée il y a plusieurs mois, Microsoft a récemment confirmé que le groupe APT28 l’exploitait activement. Le groupe APT28 — également connu sous les noms de « Forest Blizzard » et « Fancy Bear » — est un groupe malveillant russe qui serait lié à la Direction principale du renseignement de l’État-major général russe (GRU).
Ce groupe est actif depuis au moins 2004 et a tendance à cibler des organismes gouvernementaux, des entreprises du secteur de l'énergie, des sociétés de transport et des organisations non gouvernementales aux États-Unis, en Europe et au Moyen-Orient. On sait que le groupe APT28 utilise des exploits accessibles au public dans le cadre de ses attaques ; il a notamment consacré une grande partie de l'année septembre 2023 à exploiter la vulnérabilité de WinRAR (CVE-2023-38831) contre des cibles gouvernementales ukrainiennes. Ce groupe serait doté de ressources importantes et d'une excellente formation ; il perfectionne sans cesse ses techniques, tactiques et procédures (TTP) et utilise de nouveaux logiciels malveillants sur mesure.
APT28 exploite désormais activement, dans le cadre de ses attaques, la faille de sécurité d'Outlook découverte il y a neuf mois afin d'obtenir un accès non autorisé à des comptes de messagerie hébergés sur des serveurs Exchange. Microsoft a collaboré avec le Cybercommandement polonais (DKWOC) afin d'analyser cette dernière activité.
Après avoir exploité la faille de sécurité d'Outlook, le virus APT28 modifie généralement les droits d'accès aux dossiers de la boîte aux lettres de la victime afin de permettre l'accès à toute personne authentifiée au sein de l'organisation. Cela permet à l'acteur d'accéder à des boîtes aux lettres contenant des informations de grande valeur via n'importe quel compte de messagerie compromis au sein de l'organisation Exchange, à l'aide du protocole Exchange Web Services (EWS).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« APT28 » est un groupe malveillant très actif auquel on attribue régulièrement de nouvelles activités malveillantes.
Si le groupe APT28 fait preuve d'ingéniosité, il est également connu pour exploiter les failles de sécurité peu après leur divulgation. C'est pourquoi l'application des correctifs critiques est essentielle pour se prémunir contre les attaques de type « APT28 ».
2. Les campagnes de hameçonnage par QR-code gagnent en complexité
Un nouveau rapport de Cofense détaille les principales caractéristiques des e-mails de hameçonnage par code QR (s'ouvre dans un nouvel onglet), en abordant les sources, les objets et les types de domaines que les auteurs de menaces exploitent souvent dans ces campagnes. Parmi les caractéristiques communes aux e-mails de hameçonnage utilisant des codes QR, on peut citer les captchas, l'authentification à plusieurs facteurs (MFA) et les URL comportant une redirection ouverte vers une page destinée à l'hameçonnage d'identifiants.
Cofense a examiné ses rapports sur les menaces actives (ATR) pour tous les rapports comportant des codes QR. Ils ont constaté que les campagnes utilisant un captcha étaient les plus courantes, tant pour le phishing par code QR que pour l'ensemble des tentatives de phishing visant à obtenir des identifiants. Le tag « MFA » était le moins fréquent parmi l'ensemble des signalements de hameçonnage visant les identifiants, mais occupait la deuxième place, de très près, dans les signalements liés aux codes QR. De plus, 29 % de leurs rapports sur les codes QR ont exploité d'une manière ou d'une autre une fonctionnalité d'authentification multifactorielle (MFA), ce qui indique que ces campagnes sont peut-être aujourd'hui plus variées qu'elles ne l'étaient il y a encore quelques mois.
Sources des images de codes QR
Les codes QR sont généralement transmis sous forme d'images intégrées dans un e-mail. Cependant, les outils étant désormais plus performants pour détecter et scanner les codes QR de cette manière, les cybercriminels commencent à rechercher d'autres méthodes de diffusion.
Une nouvelle méthode alternative — bien qu'elle ne soit utilisée que dans environ 3 % des campagnes — consiste à utiliser l'API Google pour générer un code QR. Ce code QR est ensuite intégré en tant qu'image externe dans l'e-mail ou la pièce jointe au format HTML. Cette URL générera un code QR contenant un lien vers l'URL choisie par l'auteur de la menace, qui se trouve au sein de l'URL googleapis[.]com. Cette méthode pourrait échapper à la détection, pour l'instant, car la plupart des passerelles de messagerie ignorent les images externes.
Une autre méthode, plus courante, consiste à utiliser un fichier joint dans lequel est intégré un code QR. Cofense a constaté que 17 % des campagnes basées sur des codes QR qu'elle a observées utilisaient des pièces jointes, un chiffre qui, selon elle, devrait augmenter dans un avenir proche.
Sujets courants des e-mails de hameçonnage contenant des codes QR
Cofense a constaté que les e-mails contenant un code QR avaient pour sujet l'authentification multifactorielle (MFA) dans 29 % des cas. Ils commencent également à constater une augmentation du nombre d'informations permettant d'identifier des personnes dans des documents qui doivent être expurgés.
Types de domaines
Il est possible d'intégrer différents types d'URL dans un code QR. Un type d'URL est un domaine légitime pouvant servir de redirection. Les cybercriminels ont également parfois recours à des services de raccourcissement de liens tels que Bitly. Il a été constaté que les domaines appartenant à l'un des services de raccourcissement de liens par code QR étaient utilisés dans environ 7 % des cas. Le type de domaine le plus courant, avec un taux de 62 %, était celui des domaines malveillants ou compromis.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que cette analyse ne révèle aucune technique, procédure ou tactique (TTP) révolutionnaire en matière de campagnes de hameçonnage liées aux codes QR, elle indique toutefois que ces campagnes pourraient devenir plus variées que nous ne le pensions initialement.
Lorsque le phishing par code QR a fait son apparition, la plupart des e-mails avaient des objets génériques liés à l'authentification multifactorielle (MFA) ou à la réinitialisation de mot de passe. Nous constatons actuellement une recrudescence des tentatives d'hameçonnage par code QR plus ciblées, avec des objets de message faisant référence à des informations personnelles ou à des dates précises. Nous constatons également que les cybercriminels adaptent leurs stratégies à mesure que de plus en plus de solutions permettant de détecter le hameçonnage par code QR voient le jour, ce qui laisse penser que ce type d'attaque persistera encore quelque temps.
3. Une attaque par force brute SQL a donné lieu à l'apparition du ransomware BlueSky
Le rapport DFIR a récemment signalé une intrusion de type « » sur un serveur MSSQL accessible au public (s'ouvre dans un nouvel onglet) , qui a entraîné le déploiement du ransomware BlueSky. Le délai avant l'apparition du ransomware lors de cette attaque n'a été que de 32 minutes. On sait que le ransomware BlueSky est lié aux codes sources divulgués de Conti et Babuk.
Il y a environ un an, le DFIR Report a constaté une vague d'activités visant des serveurs MSSQL. Cette activité a débuté par des tentatives de piratage par force brute du mot de passe du compte d'administrateur système MS SQL sur un serveur connecté à Internet. Plus de 10 000 tentatives infructueuses ont été enregistrées avant qu'une connexion ne soit établie. Après avoir découvert le mot de passe, l'auteur de la menace a activé la fonction xp_cmdshell afin de pouvoir exécuter des commandes shell sur l'hôte.
- Les auteurs de l'attaque ont commencé par exécuter une commande PowerShell afin d'établir une connexion avec un serveur Cobalt Strike C2 , avant de s'injecter dans « winlogon », qui est un processus légitime.
- Le processus injecté a lancé à la fois PowerShell et cmd afin d'effectuer des analyses SMB et une découverte via SMBexec.
- La session PowerShell a ensuite établi une connexion avec un serveur relais Tor2Mine et exécuté des scripts PowerShell supplémentaires afin de vérifier les privilèges des utilisateurs, de désactiver les solutions antivirus et d'injecter une charge utile de minage.
- À peine 15 minutes après leur première intrusion, les auteurs de la menace se sont déplacés latéralement vers les contrôleurs de domaine et les fichiers partagés via la création de services à distance. Ces services ont été utilisés pour exécuter des commandes PowerShell, ainsi que pour télécharger et exécuter le logiciel malveillant Tor2Mine .
- 30 minutes après l'accès initial, le fichier binaire du ransomware BlueSky a été déposé et exécuté sur la tête de pont. Le délai avant l'attaque par ransomware n'a été que de 32 minutes.
La phase d'exécution
Au cours de cette phase de l'attaque, l'auteur de la menace a mis en place un shell de commande via la procédure stockée SQL étendue (xp_cmdshell). Cela permet à l'utilisateur d'exécuter directement des commandes au niveau du système d'exploitation dans l'interface de ligne de commande de Windows. L'acteur a ensuite exécuté une balise Cobalt Strike et un script PowerShell utilisés dans le cadre de cette campagne pour déployer Tor2Mine logiciels malveillants.
Le premier script PowerShell a exécuté une commande permettant de télécharger une balise Cobalt Strike. Cette action a été suivie d'une autre exécution de PowerShell, puis d'une connexion à plusieurs serveurs et URL Tor2Mine . Tor2Mine utilise des scripts PowerShell pour vérifier si l'utilisateur actif est un administrateur et pour vérifier la version du système d'exploitation. Il téléchargera ensuite un autre script, qui est une version PowerShell de Mimikatz. Il peut désactiver des solutions antivirus telles que MalwareBytes, Sophos et Windows Defender.
Le logiciel malveillant vérifiera également si l'utilisateur dispose de droits privilégiés. Si tel est le cas, il téléchargera et installera la version appropriée du mineur et créera plusieurs tâches planifiées et services.
Ransomware BlueSky
Le fichier binaire du ransomware BlueSky a finalement été déposé sur la tête de pont sous le nom de vmware.exe. L'exécution de ce fichier binaire a entraîné une attaque par ransomware à l'échelle du réseau, qui s'est finalement déroulée via le protocole SMB, le ransomware se connectant aux hôtes via le port 445 pour chiffrer les fichiers.
Ces fichiers chiffrés ont été renommés avec l'extension .bluesky. Le ransomware a déposé une note de rançon sous la forme d'un fichier .txt portant le nom « # DECRYPT FILES BLUESKY #.txt ».
L'attaque dans son ensemble n'a duré qu'environ 30 minutes, avec une détection limitée et aucune exfiltration.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Même si The DFIR Report ne publie ce rapport sur une intrusion remontant à environ un an qu'aujourd'hui, bon nombre de ces TTP restent d'actualité et sont encore largement utilisés aujourd'hui.
Cette attaque est intéressante dans la mesure où aucune exfiltration de données n'a été constatée, ce qui explique sans doute pourquoi l'ensemble de l'attaque n'a duré qu'un peu plus de 30 minutes. De plus, le fait que le délai avant l'attaque par ransomware soit de 32 minutes nous rappelle cruellement à quelle vitesse un acteur malveillant peut atteindre ses objectifs et, par conséquent, à quel point il est important de trier rapidement les alertes.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
