Dans le résumé de cette semaine, la CTI enquête sur une campagne active du groupe national-état APT28 où l’acteur malveillant exploite un défaut de sécurité critique dans Outlook pour voler des informations sensibles. Ensuite, CTI explore les principales caractéristiques des e-mails d’hameçonnage par code QR, y compris les sources, sujets et domaines les plus courants que les acteurs malveillants exploitent dans leurs attaques. CTI analyse également une intrusion récente d’un serveur MSSQL public qui a entraîné le déploiement du ransomware BlueSky.
1. APT28 exploite une vulnérabilité Outlook critique
Le groupe APT28 soutenu par le Kremlin, (alias Fancy Bear) cible activement un défaut de sécurité critique désormais corrigé dans le service de messagerie Outlook. APT28 exploite CVE-2023-23397 pour obtenir un accès non autorisé aux comptes Microsoft Exchange et voler des informations sensibles.
CVE-2023-23397 est une vulnérabilité d’escalade de privilège critique dans Microsoft Outlook sur Windows. Pour exploiter cette vulnérabilité, l’acteur malveillant transmettra un message spécialement conçu à un utilisateur. L’acteur malveillant peut spécifier la valeur pour que PidLidReminderFileParameter déclenche une fuite de hachage Net-NTLMv2 sur ses serveurs contrôlés par l’acteur. La victime n’a pas besoin d’interagir avec le message e-mail. Tant qu’Outlook est ouvert lorsque le rappel est déclenché, l’exploitation aura lieu.
Toutes les versions d’Outlook sur Windows ont été affectées par cette vulnérabilité, tandis qu’Outlook pour Android, iOS, Mac et OWA n’ont pas été affectés. Microsoft a retracé les preuves d’exploitation potentielle de cette vulnérabilité jusqu’à avril 2022. Cette vulnérabilité a été signalée pour la première fois en mars 2023, et un correctif a depuis été mis à disposition.
À propos de APT28
Bien que cette vulnérabilité ait été publiée il y a plusieurs mois, Microsoft a récemment confirmé que APT28 l’exploite activement. APT28 , également connue sous le nom de Forest Blizzard et Fancy Bear, est un groupe de menaces russes qui a été attribué à la Direction générale du renseignement (GRU) du personnel russe.
Le groupe est actif depuis au moins 2004 et a tendance à cibler les gouvernements, l’énergie, les transports et les organisations non gouvernementales aux États-Unis, en Europe et au Moyen-Orient. APT28 est connu pour tirer parti des exploits publiquement disponibles dans leurs attaques, dépensant une bonne partie de l’ septembre 2023 exploitation de la vulnérabilité WinRAR (CVE-2023-38831) contre les cibles gouvernementales ukrainiennes. Le groupe est considéré comme disposant de ressources et bien formé, affinant continuellement ses TTP et employant de nouveaux logiciels malveillants personnalisés.
APT28 exploite désormais activement la vulnérabilité d’Outlook vieille de neuf mois dans ses attaques pour obtenir un accès non autorisé aux comptes de messagerie au sein des serveurs Exchange. Microsoft a travaillé avec le Polish Cyber Command (DKWOC) pour analyser cette dernière activité.
Après avoir exploité la vulnérabilité Outlook, APT28 modifie généralement les permissions de dossier dans la boîte aux lettres de la victime pour permettre l’accès à toute personne authentifiée au sein de l’organisation. Cela permet à l’acteur d’accéder à des boîtes aux lettres d’information de grande valeur via tout compte de messagerie compromis dans l’organisation Exchange, à l’aide du protocole Exchange Web Services (EWS).
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
APT28 est un groupe de menaces prospère qui est régulièrement attribué à de nouvelles activités malveillantes.
Bien que APT28 soit plein de ressources, le groupe est également connu pour exploiter les vulnérabilités peu de temps après leur publication. En tant que tel, les correctifs critiques sont essentiels pour se protéger contre les attaques APT28 .
2. Les campagnes d’hameçonnage QR deviennent plus complexes
Un nouveau rapport de Cofense détaille les principales caractéristiques des e-mails d’hameçonnage par code QR, couvrant les sources, les sujets et les types de domaines que les acteurs malveillants exploitent souvent dans ces campagnes. Certaines des caractéristiques courantes des e-mails d’hameçonnage de code QR comprennent le captcha, l’AMF et les URL qui ont une redirection ouverte vers une page d’hameçonnage d’informations d’identification.
Cofense a examiné ses rapports sur les menaces actives (ATR) pour tous les rapports avec des codes QR. Ils ont découvert que les campagnes avec captcha étaient les plus populaires à la fois pour l’hameçonnage par code QR et pour l’hameçonnage par informations d’identification. L’étiquette MFA était la moins populaire dans tous les rapports d’hameçonnage d’informations d’identification, mais était une seconde proche pour les rapports de code QR. De plus, 29 % de leurs rapports de code QR ont tiré parti d’une caractéristique MFA d’une certaine manière, indiquant que ces campagnes peuvent être plus diversifiées aujourd’hui qu’il y a seulement quelques mois.
Sources d’image de code QR
Les codes QR ont généralement été livrés via des images qui sont intégrées à un e-mail. Cependant, comme l’outillage est devenu plus efficace pour repérer et analyser les codes QR de cette manière, les acteurs malveillants commencent à rechercher d’autres méthodes de livraison.
Une nouvelle méthode alternative, bien que observée uniquement dans environ 3 % des campagnes, est l’utilisation de l’API Google pour générer un code QR. Ce code QR est ensuite référencé comme une image externe dans l’e-mail ou la pièce jointe HTML. L’URL générera un code QR avec un lien vers l’URL de choix de l’acteur malveillant qui se trouve dans l’URL googleapis[.]com. Cette méthode peut échapper à la détection, pour l’instant, car la plupart des passerelles de messagerie ignoreront les images externes.
Une autre méthode plus courante consiste à utiliser un fichier joint qui contient un code QR. Cofense a constaté que 17 % de ses campagnes observées basées sur le code QR utilisaient des pièces jointes, un nombre qu’ils s’attendent à voir croître dans un avenir proche.
Sujets courants pour les e-mails d’hameçonnage par code QR
Cofense a découvert que les sujets sur le thème de l’AMF représentaient 29 % des e-mails de code QR. Ils commencent également à voir du contenu plus personnellement identifiable dans les sujets qui nécessitent une suppression.
Types de domaine
Il est possible d’intégrer différents types d’URL dans un code QR. Un type d’URL est un domaine légitime qui peut être utilisé pour la redirection. Les acteurs malveillants utilisent également occasionnellement des raccourcisseurs de lien tels que Bitly. Les domaines appartenant à l’un des raccourcisseurs de domaine de code QR ont été utilisés environ 7 % du temps. Le type de domaine le plus fréquent à 62 % était les domaines malveillants ou compromis.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Bien que cette analyse ne révèle aucun TTP révolutionnaire lorsqu’il s’agit de campagnes d’hameçonnage liées au code QR, elle indique que ces campagnes peuvent devenir plus diversifiées que nous ne le pensions.
Lorsque l’hameçonnage par code QR a commencé, la plupart des e-mails avaient des sujets génériques liés à l’AMF ou aux réinitialisations de mot de passe. Ce que nous voyons maintenant, c’est un hameçonnage par code QR plus ciblé avec des sujets qui incluent des informations personnelles ou des dates spécifiques. Nous commençons également à voir les acteurs malveillants pivoter à mesure que de plus en plus de solutions pour détecter le phishing par code QR deviennent disponibles, ce qui suggère que nous continuerons à voir le phishing par code QR pendant un certain temps.
3. L’attaque par force brute SQL entraîne un ransomware BlueSky
Le rapport DFIR a récemment observé une intrusion sur un serveur MSSQL public qui a entraîné le déploiement du ransomware BlueSky. Le délai d’apparition des rançongiciels dans cette attaque était de seulement 32 minutes. Le ransomware BlueSky est connu pour avoir des liens avec le code source de fuite Conti et Babuk.
Il y a environ un an, le rapport DFIR a observé un cluster d’activités qui ciblait les serveurs MSSQL. Cette activité a commencé par des tentatives de mot de passe par force brute pour le compte administrateur du système MS SQL sur un serveur orienté Internet. Plus de 10 000 tentatives échouées ont été observées avant une connexion réussie. Après avoir découvert le mot de passe, l’acteur malveillant a permis à xp_cmdshell de pouvoir exécuter des commandes shell sur l’hôte.
- Les acteurs malveillants ont commencé par une commande PowerShell pour établir une connexion à un serveur Cobalt Strike C2 avant d’injecter dans winlogon, ce qui est un processus légitime.
- Le processus injecté a donné naissance à PowerShell et cmd pour effectuer des analyses et des découvertes SMB via SMBexec.
- La session PowerShell s’est ensuite connectée à un serveur d’étage Tor2Mine et a exécuté des scripts PowerShell supplémentaires pour vérifier les privilèges de l’utilisateur, désactiver les solutions antivirus et supprimer une charge utile plus importante.
- Seulement 15 minutes après l’accès initial, les acteurs malveillants se sont déplacés latéralement vers les contrôleurs de domaine et les fichiers partagés via la création de services à distance. Les services ont été utilisés pour exécuter les commandes PowerShell et télécharger et exécuter le logiciel malveillant Tor2Mine .
- 30 minutes après l’accès initial, le fichier binaire du ransomware BlueSky a été abandonné et exécuté sur la tête de plage. Le délai jusqu’au ransomware n’était que de 32 minutes.
L’étape d’exécution
À cette étape de l’attaque, l’acteur malveillant a établi une enveloppe de commande via la procédure stockée SQL étendue (xp_cmdshell). Cela permet à l’utilisateur d’émettre des commandes au niveau du système d’exploitation directement vers l’enveloppe de commandes Windows. L’acteur a ensuite exécuté une balise Cobalt Strike et un script PowerShell qui sont utilisés dans la campagne pour déployer Tor2Mine logiciels malveillants.
Le premier script PowerShell a exécuté une commande pour télécharger une balise Cobalt Strike. Cette action a été suivie d’une autre exécution PowerShell, puis d’une connexion à plusieurs Tor2Mine serveurs et URL. Tor2Mine utilise les scripts PowerShell pour vérifier si l’utilisateur actif est un administrateur et pour vérifier la version du système d’exploitation. Ensuite, il extrait un autre script qui est une version PowerShell de mimikatz. Il peut désactiver les solutions antivirus telles que MalwareBytes, Sophos et Windows Defender.
Le logiciel malveillant vérifiera également si l’utilisateur est privilégié. Si oui, il téléchargera et installera la version correcte du mineur et créera plusieurs tâches et services planifiés.
Rançongiciel BlueSky
Le fichier binaire du ransomware BlueSky a finalement été déposé sur la tête de plage sous le nom vmware.exe. L’exécution de ce fichier binaire a entraîné un ransomware à l’échelle du réseau, qui a finalement été accompli via SMB, en tant que ransomware connecté aux hôtes via le port 445 pour chiffrer les fichiers.
Ces fichiers cryptés ont été renommés avec l’extension de fichier .bluesky. Le ransomware a déposé une note de rançon sous forme de fichier .txt portant le nom « # DECRYPT FILES BLUESKY #.txt ».
L’attaque entière n’a duré qu’environ 30 minutes avec une découverte limitée et aucune exfiltration.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Bien que le rapport DFIR ne fasse que publier ce rapport sur une intrusion d’il y a environ un an, de nombreux TTP sont toujours pertinents et largement utilisés aujourd’hui.
Cette attaque est intéressante car aucune exfiltration de données n’a été observée, ce qui contribue probablement au fait que l’ensemble de cette attaque n’a duré qu’un peu plus de 30 minutes. De plus, le délai jusqu’au ransomware de 32 minutes est un rappel douloureux de la rapidité avec laquelle un acteur malveillant peut atteindre ses objectifs et donc de l’importance du tri d’alerte en temps opportun.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
