Cette semaine, CTI étudie en profondeur un rapport CrowdStrike sur un acteur malveillant utilisant des archives d’auto-extraction malveillantes (SFX) pour lancer des attaques de backdoor. Ensuite, CTI explore un rapport Mandiant mettant en évidence les activités d’une filiale de ransomware ALPHV/BlackCat qui a exploité trois vulnérabilités connues de Veritas Backup pour accéder aux réseaux cibles. Enfin, CTI conclut avec une attaque récente au cours de laquelle une souche de ransomware précédemment non nommée, désormais appelée Rorschach, a été déployée contre une entreprise basée aux États-Unis.
1. Les pirates informatiques utilisent des archives d’auto-extraction (SFX) exploitées pour des attaques furtives par backdoor
Les résultats récents de CrowdStrike révèlent qu’ un acteur malveillant exploite des archives d’extraction automatique (SFX) malveillantes pour obtenir un accès backdoor persistant aux réseaux privés. Les archives contiennent également des fichiers inoffensifs pour aider à échapper à la détection.
Que sont les archives SFX ?
Les archives à extraction automatique sont des exécutables créés avec un logiciel de compression, comme WinRAR ou 7-Zip. Elles contiennent des données archivées, ainsi que le code requis pour les décompresser.
- Les chercheurs signalent de plus en plus avoir observé des acteurs malveillants tirer parti des fichiers d’archive SFX contenant des fonctions malveillantes cachées qui ne sont pas toujours visibles pour le destinataire, ni pour les détections basées sur la technologie.
- La partie exécutable du fichier est connue sous le nom de stub de décompresseur ; un outil pour partager des fichiers compressés avec quelqu’un qui n’a pas de logiciel pour décompresser et afficher des fichiers d’archive standard.
- Deux types courants de logiciels qui permettent la création d’une archive SFX sont WinRAR et 7-Zip. Les deux utilisent une variété spécifique de bouts de décompresseur, et les deux ont des fonctionnalités qui peuvent être utilisées de manière abusive par les acteurs malveillants.
- Les archives SFX sont occasionnellement protégées par mot de passe. Ils sont plus susceptibles d’être exploités dans des environnements commerciaux, dans lesquels un produit commercial est utilisé pour crypter des fichiers, ce qui entraîne la nécessité d’un mot de passe pour y accéder. Cette même méthode de protection des fichiers est souvent utilisée pour faciliter les intrusions.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« CrowdStrike a analysé plusieurs échantillons malveillants d’archives SFX qui étaient protégés par mot de passe ou contenaient des fichiers bénins, mais a également utilisé les paramètres de configuration WinRAR pour obtenir une exécution malveillante. Leur analyse a révélé que ces échantillons avaient des taux de détection relativement faibles, ce qui souligne leur capacité à contourner un large éventail d’outils de sécurité. »
« Ce n’est pas la première fois que des fichiers SFX sont utilisés pour des attaques. À la fin de l’année dernière, Kaspersky a analysé une campagne de logiciels malveillants en utilisant des liens vers des fichiers SFX protégés par mot de passe pour distribuer automatiquement le voleur RedLine. Cela dit, CrowdStrike pense que l’abus des archives SFX est une tendance qui se poursuivra probablement dans un avenir proche. »
2. Le ransomware ALPHV exploite les bugs Veritas Backup Exec pour un accès initial
Mandiant a récemment observé une filiale de ransomware ALPHV/BlackCat exploitant activement trois vulnérabilités dans le produit Veritas Backup pour obtenir un accès initial aux réseaux cibles.
L’opération de rançongiciel ALPHV, que Mandiant appelle UNC4466 , a émergé et décembre 2021 est censée être gérée par d’anciens membres des programmes Darkside et Blackmatter qui se ferment brutalement pour échapper à la pression des forces de l’ordre. Les deux opérations de ransomware susmentionnées étaient connues pour cibler les infrastructures critiques et les entités de soins de santé, une tradition qu ’ALPHV semble avoir maintenue en vie et bien.
En mars 2021, Veritas a publié un avis détaillant trois vulnérabilités critiques dans Veritas Backup Exec 16.x, 20.x et 21.x. À l’époque, Veritas déclarait qu’un exploit connu pour les vulnérabilités était disponible à l’état sauvage.
Les bogues de sécurité sont les suivants :
1. Veritas Backup Exec pourrait permettre à un pirate informatique d’accéder sans autorisation à l’agent BE via le schéma d’authentification SHA.
- ID CVE : CVE-2021-27877
- Vecteur CVSS v3 : CVSS :3,1/AV :N/AC :L/PR :N/UI :N/S :U/C :H/I :L/A :N
- Score CVSS global : 8,2 (élevé)
2. Veritas Backup Exec pourrait permettre à un pirate informatique d’accéder sans autorisation à l’agent BE via le schéma d’authentification SHA.
- ID CVE : CVE-2021-27876
- Vecteur CVSS v3 : CVSS :3,1/AV :N/AC :L/PR :N/UI :N/S :U/C :H/I :L/A :N
- Score CVSS global : 8,2 (élevé)
3. L’agent Veritas Backup Exec peut permettre à un pirate informatique d’utiliser une commande de protocole de gestion des données pour exécuter une commande arbitraire sur la machine de l’agent BE.
- ID CVE : CVE-2021-27878
- Vecteur CVSS v3 : CVSS :3,1/AV :N/AC :L/PR :L/UI :N/S :U/C :H/I :H/A :H
- Score CVSS global : 8,8 (élevé)
Veritas aurait publié une solution avec la version 21,2. Mais selon Mandiant, un « service commercial d’analyse Internet a identifié plus de 8 500 installations d’instances Veritas Backup Exec qui sont actuellement exposées à Internet, dont certaines peuvent encore être non corrigées et vulnérables. »
BleepingComputer souligne qu’un module Metasploit conçu pour exploiter ces vulnérabilités a été publié au public en septembre 2022. Le code permet aux attaquants de créer une session et d’interagir avec les endpoints compromis.
UNC4466 auraient commencé à utiliser ce module particulier un mois après sa mise à disposition.
Détails de l’attaque par rançongiciel ALPHV
- UNC4466 a d’abord compromis un serveur Windows orienté Internet exécutant Veritas Backup Exec en utilisant le module Metasploit accessible au public.
- UNC4466 a maintenu un accès persistant à l’hôte de cette manière, et après la compromission initiale, a exploité les utilitaires Advanced IP Scanner et ADRecon pour recueillir des informations concernant l’environnement de la victime.
- UNC4466 a ensuite été observé en téléchargeant des outils supplémentaires sur l’hôte compromis, y compris Lazagne, Ligolo, WinSW, RClone et finalement le chiffrement de ransomware ALPHV via le service de transfert intelligent en arrière-plan (BITS).
- Pour maintenir les communications avec le serveur de commande et de contrôle, UNC4466 a exploité le protocole de tunnelisation SOCKS5 . Ceci, le téléchargement d’autres outils via BITS et le déploiement de la charge utile du ransomware ont été accomplis en ajoutant des tâches immédiates à la politique de domaine par défaut, en désactivant le logiciel de sécurité et en exécutant le chiffrement.
- Pour faire remonter les privilèges, UNC4466 ont utilisé Mimikatz, LaZagne et Nanodump pour voler des informations d’identification d’utilisateur valides.
- Enfin, l’acteur malveillant a échappé à la détection en effaçant les journaux d’événements et en désactivant la capacité de surveillance en temps réel de Microsoft Defender.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Avant que Mandiant n’observe cette filiale d’ALPHV tirer parti du ciblage opportuniste des vulnérabilités connues, les intrusions d’ALPHV étudiées par Mandiant provenaient principalement d’informations d’identification volées, ce qui indique un changement possible dans la méthodologie de cette filiale et une rupture avec les TTP traditionnels employés par ALPHV. »
« Les chercheurs en sécurité ont constamment souligné l’importance de maintenir de bonnes sauvegardes pour permettre la récupération et minimiser les temps d’arrêt après une attaque par rançongiciel. Malheureusement, cette histoire sert de rappel de ce qui peut se passer lorsque les utilitaires de sauvegarde ne sont pas corrigés et exposés à Internet. »
3. Un ransomware Rorschach émerge, ce qui permet aux experts d’avertir des stratégies d’évasion avancées
Check Point Research a été confronté à une souche de rançongiciel précédemment non nommée, désormais appelée Rorschach , avec des vitesses de chiffrement rapides et des composants et techniques techniques techniques uniques, tels que l’utilisation de syscalls directs.
Check Point a découvert Rorschach en répondant à une affaire de ransomware contre une entreprise basée aux États-Unis. Contrairement à de nombreux autres cas de ransomware observés, cet acteur malveillant n’a pas essayé de se cacher derrière un alias, et il n’a pas semblé être affilié à l’un des groupes de ransomware connus.
Une analyse plus approfondie de ce ransomware a révélé plusieurs fonctionnalités plutôt uniques.
- Le ransomware est partiellement autonome, se propageant automatiquement lorsqu’il est exécuté sur un contrôleur de domaine (DC).
- Le ransomware s’est avéré extrêmement flexible, fonctionnant sur plusieurs arguments facultatifs lui permettant de modifier son comportement en fonction des besoins de l’opérateur.
- Rorschach tire parti des syscalls directs qui ne sont pas souvent observés dans les familles de ransomwares.
Ce que les chercheurs savent sur Rorschach
Flux d’exécution
L’exécution de Rorschach utilise trois fichiers :
- Cy[.]exe : outil de service de vidange Cortex XDR de Palo Alto – utilisé pour charger latéralement les mini-outils[.]dll.
- Winutils[.]dll : chargeur et injecteur Rorschach compressés, utilisés pour déchiffrer et injecter le ransomware.
- Config[.]ini : ransomware Rorschach chiffré : contient toute la logique et la configuration.
Lorsque cy[.]exe est exécuté, les winutils[.]dll sont chargés dans la mémoire et s’exécutent dans le contexte de cy[.]exe. La charge utile principale de Rorschach, config[.]ini, est ensuite chargée dans la mémoire également. Il est décrypté et injecté dans Notepad, où commence la logique du ransomware.
Tactiques d’évasion
Ce rançongiciel génère des processus de manière assez rare, les exécutant en mode SUSPEND et fournissant des arguments falsifiés pour rendre les efforts d’analyse et de remédiation plus difficiles. L’argument falsifié consiste en une chaîne répétitive du chiffre “1” basée sur la longueur de l’argument réel. Il est réécrit en mémoire et remplacé par l’argument réel.
Il tente également d’arrêter les services prédéfinis, supprime les volumes d’ombre et les sauvegardes à l’aide d’outils Windows légitimes, efface les journaux d’événements Windows et désactive le pare-feu Windows.
Auto-propagation
Lorsque le ransomware est exécuté sur un PC Windows, il crée automatiquement une politique de groupe, se propageant à d’autres machines dans le domaine.
Pour ce faire, il copie ses fichiers dans le dossier scripts du contrôleur de domaine et supprime les fichiers de l’emplacement d’origine. Ensuite, il créera une politique de groupe qui se copie dans le dossier %Public % de tous les postes de travail dans le domaine. Il crée ensuite une autre politique de groupe pour tuer certains processus via une tâche planifiée pour invoquer taskkill[.]exe. Enfin, il crée une politique de groupe supplémentaire pour enregistrer une tâche planifiée qui s’exécutera immédiatement lors de la connexion de l’utilisateur.
Comment Rorschach est similaire à d’autres ransomwares
Le système de cryptographie hybride de Rorschach mentionné ci-dessus est soupçonné d’être emprunté au code source divulgué du ransomware Babuk.
L’inspiration de Babuk peut être observée dans diverses routines, y compris l’arrêt des processus et des services. Le code utilisé pour arrêter les services via le gestionnaire de contrôle des services semble avoir été directement copié à partir du code source de Babuk. De même, la liste des services à arrêter dans la configuration de Rorschach correspond 1:1 à celle qui a fui dans le code source Babuk.
Rorschach s’inspire également de LockBit. La liste des langues utilisées pour arrêter le logiciel malveillant est identique à la liste dans LockBit v2,0. Le renommage final des fichiers chiffrés dans Rorschach est implémenté exactement de la même manière que LockBit v2,0 également.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Rorschach semble avoir emprunté de nombreuses fonctionnalités aux familles de ransomwares dont le code source a fui en ligne à un moment donné. Ses développeurs semblent avoir combiné diverses fonctions sélectionnées pour créer un nouveau ransomware complexe contenant les meilleures fonctionnalités des souches de ransomware qui ont fui. »
« Les capacités d’auto-propagation de Rorschach via la politique de groupe lui permettent de se propager rapidement et avec peu ou pas d’interaction manuelle. Sa vitesse de chiffrement rapide est impressionnante, mais il semble incongrue de consacrer un tel effort à l’amélioration du chiffrement lorsque l’on considère une étude récente notant que les acteurs du ransomware commencent à s’éloigner du chiffrement et à adopter une extorsion pure et sans chiffrement. »
« Le temps indiquera si Rorschach commence également à s’éloigner du chiffrement ou est suffisamment unique dans ses capacités pour survivre et rester performant dans un paysage de menaces en constante évolution. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
