Cette semaine, CTI analyse en détail un rapport de CrowdStrike consacré à un acteur malveillant qui utilise des archives auto-extractibles (SFX) malveillantes pour lancer des attaques par porte dérobée. CTI se penche ensuite sur un rapport de Mandiant mettant en évidence les activités d'un affilié du ransomware ALPHV/BlackCat, qui a été observé en train d'exploiter trois vulnérabilités connues de Veritas Backup pour accéder aux réseaux cibles. Enfin, CTI conclut son analyse en se penchant sur une attaque récente au cours de laquelle une souche de ransomware jusque-là inconnue, désormais baptisée « Rorschach », a été utilisée contre une entreprise basée aux États-Unis.
1. Les pirates informatiques utilisent des archives auto-extractibles (SFX) pour mener des attaques furtives par porte dérobée
Des découvertes récentes de CrowdStrike révèlent qu’un acteur malveillant inconnu utilise des archives auto-extractibles (SFX) malveillantes de type « » (s’ouvre dans un nouvel onglet) afin d’obtenir un accès détourné et persistant à des réseaux privés. Les archives contiennent également des fichiers leurres inoffensifs destinés à permettre d'échapper à la détection.
Que sont les archives SFX ?
Les archives auto-extractibles sont des fichiers exécutables créés à l'aide de logiciels de compression, tels que WinRAR ou 7-Zip. Ils contiennent des données archivées, ainsi que le code nécessaire à leur décompression.
- Les chercheurs signalent de plus en plus souvent avoir observé des acteurs malveillants exploitant des fichiers d'archive SFX contenant des fonctions malveillantes cachées, qui ne sont pas toujours visibles pour le destinataire, ni détectables par les systèmes de détection automatisés.
- La partie exécutable du fichier est appelée « stub de décompression » ; il s'agit d'un outil permettant de partager des fichiers compressés avec une personne qui ne dispose pas du logiciel nécessaire pour décompresser et consulter des fichiers d'archive standard.
- WinRAR et 7-Zip sont deux logiciels courants qui permettent de créer une archive SFX. Ces deux éléments utilisent une variante spécifique de « decompressor stub » et présentent tous deux des fonctionnalités susceptibles d'être exploitées par des acteurs malveillants.
- Les archives SFX sont parfois protégées par un mot de passe. Ces techniques sont plus susceptibles d'être mises à profit dans des environnements professionnels, où un logiciel commercial est utilisé pour chiffrer des fichiers, ce qui rend nécessaire l'utilisation d'un mot de passe pour y accéder. Cette même méthode de protection des fichiers est souvent utilisée pour faciliter les intrusions.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« CrowdStrike a analysé plusieurs échantillons malveillants d’archives SFX qui étaient soit protégés par un mot de passe, soit contenaient des fichiers inoffensifs, mais qui utilisaient également les paramètres de configuration de WinRAR pour provoquer une exécution malveillante. » Leur analyse a révélé que ces échantillons présentaient des taux de détection relativement faibles, ce qui met en évidence leur capacité à contourner un large éventail d’outils de sécurité. »
« Ce n’est pas la première fois que des fichiers SFX sont utilisés à des fins malveillantes dans le cadre d’attaques. » À la fin de l'année dernière, Kaspersky a analysé une campagne de logiciels malveillants utilisant des liens vers des fichiers SFX protégés par mot de passe afin de diffuser automatiquement le logiciel de vol de données RedLine. Cela dit, CrowdStrike estime que l'utilisation abusive des archives SFX est une tendance qui devrait se poursuivre dans un avenir proche. »
2. Le ransomware ALPHV exploite des failles de Veritas Backup Exec pour obtenir un accès initial
Mandiant a récemment constaté qu'un affilié du groupe de ransomware ALPHV/BlackCat exploitait activement trois vulnérabilités du produit Veritas Backup (s'ouvre dans un nouvel onglet) d' , afin d'obtenir un accès initial aux réseaux cibles.
L'opération de ransomware ALPHV — que Mandiant désigne sous le nom de « UNC4466 » — a fait son apparition sur décembre 2021 (s'ouvre dans un nouvel onglet) et serait dirigée par d'anciens membres des programmes Darkside et Blackmatter, qui ont cessé brusquement leurs activités pour échapper à la pression des forces de l'ordre. On savait que les deux opérations de ransomware susmentionnées ciblaient des infrastructures critiques et des établissements de santé, une tradition que ALPHV semble avoir perpétuée avec brio. (s'ouvre dans un nouvel onglet)
En mars 2021, Veritas a publié une alerte d' (s'ouvre dans un nouvel onglet)détaillant trois vulnérabilités critiques dans Veritas Backup Exec 16.x, 20.x et 21.x. À l'époque, Veritas avait indiqué qu'un exploit connu exploitant ces vulnérabilités circulait déjà dans la nature.
Les failles de sécurité sont les suivantes :
1. Veritas Backup Exec pourrait permettre à un attaquant d'accéder sans autorisation à l'agent BE via le protocole d'authentification SHA.
- Identifiant CVE : CVE-2021-27877 (s'ouvre dans un nouvel onglet)
- CVSS v3 Vector : CVSS:3,1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Score CVSS global : 8,2 (Élevé)
2. Veritas Backup Exec pourrait permettre à un attaquant d'accéder sans autorisation à l'agent BE via le protocole d'authentification SHA.
- Identifiant CVE : CVE-2021-27876 (s'ouvre dans un nouvel onglet)
- CVSS v3 Vector : CVSS:3,1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Score CVSS global : 8,2 (Élevé)
3. L'agent Veritas Backup Exec pourrait permettre à un attaquant d'utiliser une commande du protocole de gestion des données pour exécuter une commande arbitraire sur la machine hébergeant l'agent BE.
- Identifiant CVE : CVE-2021-27878 (s'ouvre dans un nouvel onglet)
- CVSS v3 Vector : CVSS:3,1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Score CVSS global : 8,8 (Élevé)
Veritas aurait publié un correctif avec la version 21,2. Mais selon Mandiant, « un service commercial d'analyse d'Internet a identifié plus de 8 500 installations d'instances de Veritas Backup Exec actuellement exposées à Internet, dont certaines pourraient ne pas avoir reçu les correctifs nécessaires et rester vulnérables ».
BleepingComputer souligne qu'un module Metasploit conçu pour exploiter ces vulnérabilités a été rendu public en septembre 2022. Ce code permet aux pirates de créer une session et d'interagir avec les terminaux compromis.
UNC4466 aurait commencé à utiliser ce module précis un mois après sa mise à disposition.
Détails de l'attaque par le ransomware ALPHV
- UNC4466 a d'abord compromis un serveur Windows exposé à Internet et exécutant Veritas Backup Exec à l'aide du module Metasploit accessible au public.
- Le groupe « UNC4466 » a ainsi maintenu un accès permanent à l’hôte et, après l’intrusion initiale, a utilisé les utilitaires « Advanced IP Scanner » et « ADRecon » pour collecter des informations sur l’environnement de la victime.
- On a ensuite observé que le UNC4466 téléchargeait des outils supplémentaires sur l'hôte compromis, notamment Lazagne, Ligolo, WinSW, RClone et, enfin, le programme de chiffrement du ransomware ALPHV via le service BITS (Background Intelligent Transfer Service).
- Afin de maintenir la communication avec le serveur de commande et de contrôle, le programme UNC4466 a utilisé le protocole de tunneling SOCKS5 . Cette opération, ainsi que le téléchargement d’autres outils via BITS et le déploiement de la charge utile du rançongiciel, ont été réalisés en ajoutant des tâches immédiates à la stratégie de domaine par défaut, en désactivant les logiciels de sécurité et en exécutant le programme de chiffrement.
- Pour étendre ses privilèges, UNC4466 a utilisé Mimikatz, LaZagne et Nanodump afin de dérober des identifiants d'utilisateur valides.
- Enfin, l'auteur de l'attaque a échappé à la détection en effaçant les journaux d'événements et en désactivant la fonctionnalité de surveillance en temps réel de Microsoft Defender.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Avant que Mandiant ne constate que cette branche d’ALPHV exploitait de manière opportuniste des vulnérabilités connues, les intrusions d’ALPHV sur lesquelles Mandiant avait enquêté provenaient principalement d’identifiants volés, ce qui indique un possible changement dans la méthodologie de cette branche et une rupture avec les TTP traditionnellement utilisées par ALPHV. »
« Les chercheurs en sécurité n’ont cessé de souligner l’importance de disposer de sauvegardes fiables afin de permettre la restauration des données et de réduire au minimum les temps d’arrêt après une attaque par ransomware. » « Malheureusement, cette histoire nous rappelle ce qui peut arriver lorsque des utilitaires de sauvegarde ne sont pas mis à jour et restent exposés à Internet. »
3. Le ransomware Rorschach fait son apparition, ce qui conduit les experts à mettre en garde contre des stratégies d'évasion sophistiquées
Check Point Research a découvert une souche de ransomware jusqu’alors inconnue — désormais baptisée « Rorschach » (s’ouvre dans un nouvel onglet) — qui se caractérise par des vitesses de chiffrement élevées ainsi que par des composants et des techniques techniques uniques, tels que l’utilisation d’appels système directs.
Check Point a découvert Rorschach alors qu'elle intervenait dans une affaire de rançongiciel visant une entreprise basée aux États-Unis. Contrairement à de nombreux autres cas de ransomware observés, cet acteur malveillant n'a pas cherché à se cacher derrière un pseudonyme et ne semblait pas non plus être affilié à l'un des groupes de ransomware connus.
Une analyse plus approfondie de ce ransomware a révélé plusieurs caractéristiques assez singulières.
- Ce ransomware est en partie autonome et se propage automatiquement lorsqu'il est exécuté sur un contrôleur de domaine (DC).
- Ce ransomware s'est également révélé extrêmement flexible, fonctionnant avec plusieurs arguments optionnels qui lui permettent d'adapter son comportement aux besoins de l'opérateur.
- Rorschach utilise des appels système directs, ce qui est rare parmi les familles de ransomware.
Ce que les chercheurs savent du test de Rorschach
Déroulement de l'exécution
L'exécution de Rorschach utilise trois fichiers :
- Cy[.]exe : l'outil « Dump Service » de Cortex XDR de Palo Alto – utilisé de manière abusive pour installer winutils[.]dll par des moyens non officiels.
- Winutils[.]dll : chargeur et injecteur « Packed Rorschach » – utilisé pour déchiffrer et injecter le rançongiciel.
- Config[.]ini : ransomware « Encrypted Rorschach » – contient l'ensemble de la logique et des paramètres de configuration.
Lorsque le fichier cy[.]exe est exécuté, le fichier winutils[.]dll est chargé en mémoire et s'exécute dans le contexte de cy[.]exe. La charge utile principale de Rorschach, config[.]ini, est ensuite également chargée en mémoire. Il est déchiffré puis injecté dans le Bloc-notes, où la logique du rançongiciel commence à s'exécuter.
Stratégies d'évasion
Ce ransomware crée des processus d'une manière assez inhabituelle : il les exécute en mode SUSPEND et leur transmet des arguments falsifiés afin de compliquer les efforts d'analyse et de remédiation. L'argument falsifié est constitué d'une suite répétitive du chiffre “1” , dont la longueur dépend de celle de l'argument réel. Il est réécrit en mémoire et remplacé par l'argument réel.
Il tente également d'arrêter certains services prédéfinis, supprime les volumes fantômes et les sauvegardes à l'aide d'outils Windows légitimes, efface les journaux d'événements Windows et désactive le pare-feu Windows.
Auto-propagation
Lorsque le ransomware est exécuté sur un PC Windows, il crée automatiquement une stratégie de groupe, ce qui lui permet de se propager aux autres machines du domaine.
Pour ce faire, il copie ses fichiers dans le dossier « scripts » du contrôleur de domaine et supprime les fichiers de leur emplacement d'origine. Ensuite, il créera une stratégie de groupe qui se copiera d'elle-même dans le dossier %Public% de tous les postes de travail du domaine. Il crée ensuite une autre stratégie de groupe afin de mettre fin à certains processus via une tâche planifiée qui exécute le fichier taskkill[.]exe. Enfin, cela crée une stratégie de groupe supplémentaire afin d'enregistrer une tâche planifiée qui s'exécutera dès la connexion de l'utilisateur.
En quoi Rorschach est similaire à d'autres ransomwares
On soupçonne que le système de cryptographie hybride de Rorschach, mentionné ci-dessus, ait été emprunté au code source du ransomware Babuk qui a fait l'objet d'une fuite.
On retrouve l'influence de Babuk dans diverses procédures, notamment l'arrêt de processus et de services. Le code utilisé pour arrêter des services via le gestionnaire de contrôle des services semble avoir été directement copié à partir du code source de Babuk. De même, la liste des services devant être arrêtés dans la configuration de Rorschach correspond à 1:1 à celle qui a fuité dans le code source de Babuk.
Rorschach s'inspire également de LockBit. La liste des langues utilisées pour neutraliser le logiciel malveillant est identique à celle figurant dans LockBit v2,0. Le processus final de renommage des fichiers chiffrés dans Rorschach est également mis en œuvre exactement de la même manière que dans LockBit v2,0 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Rorschach semble avoir emprunté de nombreuses caractéristiques à des familles de ransomware dont le code source a fait l'objet d'une fuite sur Internet à un moment donné. » « Ses développeurs semblent avoir combiné diverses fonctionnalités soigneusement sélectionnées pour créer un nouveau ransomware complexe, intégrant les meilleures caractéristiques des souches de ransomware qui ont fait l'objet de fuites. »
« Les capacités d’auto-propagation de Rorschach via les stratégies de groupe lui permettent de se propager rapidement, avec peu ou pas d’intervention manuelle. » « Sa vitesse de chiffrement élevée est impressionnante, mais il semble incongru de consacrer autant d’efforts à l’amélioration du chiffrement alors que des études récentes indiquent que les auteurs de ransomware commencent à délaisser le chiffrement au profit d’une extorsion pure et simple, sans aucun chiffrement. »
« L'avenir nous dira si Rorschach, lui aussi, commence à s'éloigner du chiffrement ou s'il est suffisamment unique dans ses capacités pour survivre et continuer à connaître le succès dans un environnement de menaces en constante évolution. »
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
