Cette semaine, CTI décompose un nouveau rapport détaillant la dernière activité attribuée au groupe de menaces lié à la Chine ChamelGang, qui cible activement les appareils Linux. Ensuite, CTI enquête sur une souche de malware de vol d’informations connue sous le nom de Skuld. Enfin, CTI conclut avec une vue d’ensemble d’une campagne d’ hameçonnage massive récemment découverte par des chercheurs de Bolster.
1. Les pirates informatiques chinois utilisent DNS-over-HTTPS pour la communication avec les logiciels malveillants Linux
Un nouveau rapport de Stairwell expose les opérations du groupe de menaces lié à la Chine ChamelGang, qui infecte les appareils Linux avec un implant précédemment non documenté appelé ChamelDOH. Le backdoor permet la communication entre les systèmes compromis et les appareils des attaquants via le protocole DNS-over-HTTPs.
Positive Technologies a d’abord documenté les opérations de ChamelGang en septembre 2021. Cependant, ce rapport se concentrait uniquement sur l’utilisation par le groupe de menaces d’une boîte à outils Windows. Le nouveau rapport de Stairwell met en évidence l’expansion de l’arsenal de logiciels malveillants de ChamelGang, ainsi que des mises à jour des tactiques, techniques et procédures (TTP) du groupe et des indicateurs de compromission (IOC).
Détails techniques
Le rapport de Stairwell se concentre sur ChamelDOH, un implant qui facilite la communication de commande et de contrôle (C2) via la tunnelisation DNS sur HTTPS (DoH), cachant son activité parmi le trafic réseau et rendant l’identification et le blocage de la communication de l’implant extrêmement difficiles (voire impossibles, sans visibilité sur le trafic HTTPS).
- L’implant est un grand fichier binaire C++ qui permet d’accéder à distance au système sur lequel il s’exécute.
- L’implant utilise un schéma base64 modifié pour encoder ses communications en tant que sous-domaines pour un serveur de noms contrôlé par un attaquant. Cela lui permet de collecter des informations système, d’énumérer et de profiler un appareil infecté et d’exécuter des opérations d’accès à distance de base, y compris les téléchargements de fichiers, la suppression et l’exécution.
- L’implant tire parti d’une gamme d’appels système pour générer un objet JSON contenant diverses données résultant de la reconnaissance.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’attribution de l’implant ChamelDoH à ChamelGang lié à la Chine est possible grâce à l’utilisation par le logiciel malveillant Linux d’un domaine précédemment associé à l’acteur malveillant, ainsi qu’un outil d’escalade des privilèges personnalisé qui a été précédemment couvert dans le rapport de Positive Technologies référencé au début de ce résumé. »
« Selon Stairwell, ce groupe a probablement consacré d’importantes ressources à la recherche et au développement d’un ensemble d’outils pour les intrusions Linux aussi robuste que l’arsenal axé sur Windows du groupe de menaces. »
2. Le nouveau logiciel malveillant Skuld basé à Golang vole les données Discord et du navigateur aux PC Windows
Trellix a récemment détaillé une nouvelle souche de logiciels malveillants de vol d’informations connue sous le nom de Skuld qui cible des applications telles que Discord, les navigateurs Web et les dossiers. Le développeur de Skuld semble s’être inspiré de divers projets open source et d’échantillons de logiciels malveillants.
Ce qu’il faut savoir sur Skuld
Trellix note que Skuld a compromis les systèmes Windows en Europe, en Asie du Sud-Est et aux États-Unis. Il existe également un chevauchement avec divers voleurs disponibles publiquement, notamment Creal Stealer, Luna Grabber et BlackCap Grabber.
Au cours de leurs recherches, Trellix a également repéré un groupe Telegram portant le même alias que celui maintenu par le développeur présumé de Skuld. Cela pourrait indiquer l’existence de plans futurs pour promouvoir l’offre Skuld en tant que service à d’autres cybercriminels.
Points clés à retenir sur Skuld
- Les échantillons Skuld sont tous écrits dans Golang 1,20,3 et utilisent une large gamme de bibliothèques pour effectuer différentes tâches prises en charge.
- Au démarrage, le voleur charge certains paramètres, chemins et expressions régulières dans une structure de carte de chaînes interne qui prend en charge ultérieurement différents modules. Après avoir configuré un environnement d’exécution, le logiciel malveillant invite la victime à envoyer un faux message d’erreur avant d’exécuter divers modules pour voler des informations.
- Avant qu’elle ne commence à voler des informations, Skuld vérifie si elles sont analysées par un produit de sécurité ou un chercheur en examinant diverses propriétés de l’environnement. Si Skuld confirme qu’il est surveillé, il mettra fin à son exécution.
- Skuld utilise trois techniques différentes pour vérifier si son système cible est une machine virtuelle ou non. La première technique vérifie si la résolution d’écran du système est supérieure à 200x200 pixels. Si ce n’est pas le cas, il suppose qu’il s’exécute dans un environnement virtuel. La deuxième technique vérifie si la RAM totale est supérieure à 2 000 000 000 octets. Et la troisième technique vérifie différentes clés de registre associées aux informations vidéo et de disque sur le système. Si l’un d’entre eux contient des informations liées à VMWare ou à Virtual Box, l’application se termine.
- Les vérifications finales de Skuld impliquent l’obtention des processus en cours d’exécution du système et leur comparaison à une liste d’interdiction prédéfinie. Si un processus correspond à un élément de la liste d’interdiction, le logiciel malveillant tue le processus.
- Une fois que Skuld a confirmé qu’il fonctionne dans un environnement réel et non dans un environnement virtualisé, il commence à voler des informations à la victime.
- Skuld dispose de diverses méthodes pour voler des informations à Discord. Il tente d’abord d’injecter du code JavaScript dans le module discord_desktop_core. Pour contourner les fonctionnalités de sécurité Better Discord, le logiciel malveillant corrompt le fichier « %APPDATA %\BetterDiscord\data\betterdiscord.asar », en remplaçant la chaîne « api/webhooks » par la chaîne « ByDeathined ». Après avoir injecté son code, Skuld essaie de voler les codes de sauvegarde Discord qui sont une alternative aux codes MFA et de prendre le contrôle du compte.
- Skuld cible ensuite les informations stockées par les navigateurs basés sur Chromium et Gecko. Les informations de navigateur volées comprennent les données locales, les données de connexion, les cookies, l’historique, les téléchargements et les jetons de session. Une fois les informations obtenues, elles sont archivées et compressées dans un fichier appelé « browsers.zip » et exfiltrées.
Qui est responsable de Skuld ?
Le développeur derrière Skuld passe par l’alias « Désactivé ». Trellix a d’abord trouvé le GitHub d’un utilisateur avec le même alias qui avait une URL d’image d’avatar identique à l’icône_url dans le pied de page Webhook Discord de Skuld.
Le compte Deathined GitHub indique que son propriétaire sait comment programmer dans Golang, ce qui correspond certainement à la langue du logiciel malveillant Skuld. Le compte GitHub a également été récemment créé, en seulement avril 2023 quelques semaines avant l’enquête de Trellix.
Poursuivant son enquête sur le persona en ligne du développeur suspect, Trellix a cherché d’autres comptes avec le même nom d’utilisateur et a trouvé un compte Reddit également créé en avril. Ils ont également découvert un compte Tumblr avec le même surnom. Enfin, ils ont trouvé un compte Carrd qui inclut un lien vers le compte Twitter connu, @deathined.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« kuld est encore un autre malware à sauter sur le bandwagon Golang. Trellix résume bien les préoccupations croissantes concernant les logiciels malveillants développés par Golang :
L’essor des logiciels malveillants Golang pose une grave préoccupation dans le paysage en constante évolution de la cybersécurité. Alors que Golang gagne en popularité, les cybercriminels ont tiré parti de ses forces pour développer de nouvelles variantes de logiciels malveillants qui représentent une menace grave pour les utilisateurs et les entreprises.
3. Une campagne de phishing massive utilise 6 000 sites pour se faire passer pour 100 marques
Un nouveau rapport publié par l’équipe de recherche sur les menaces de Bolster révèle la découverte d’une campagne d’hameçonnage généralisée , qui serait en cours depuisjuin 2022 , mettant en vedette l’usurpation d’identité de plus de 100 marques populaires de vêtements, chaussures et vêtements dans des attaques conçues pour inciter les victimes à saisir des informations d’identification de compte et des informations financières sur des sites Web frauduleux.
Détails de la campagne
- Selon BleepingComputer, les marques usurpées d’identité sur les sites factices mentionnés ci-dessus comprennent Nike, Puma, Asics, Vans, Adidas, Columbia et plusieurs autres.
- La campagne d’hameçonnage a été découverte par l’équipe de recherche sur les menaces de Bolster, dont les analystes rapportent que l’opération a commencé vers juin 2022, et a affiché un pic d’activité d’hameçonnage entre novembre 2022 et février 2023.
- La campagne s’appuie sur au moins 3 000 domaines uniques et environ 6 000 sites, y compris ceux inactifs.
Infrastructure d’hameçonnage
Le rapport de Bolster comprend un aperçu de l’infrastructure d’attaque par hameçonnage de la campagne. Les domaines associés à cette opération ont été tracés par ses découvreurs jusqu’au numéro de système autonome (ASN) AS48950.
Depuis Bolster :
Les adresses IP de ces domaines sont hébergées par deux fournisseurs de services Internet spécifiques, Packet Exchange Limited et Global Colocation Limited. Il convient de noter que les deux fournisseurs ont une réputation négative de risque de fraude.
Les chercheurs de Bolster notent également qu’une grande majorité des domaines impliqués (environ 1 500) sont enregistrés auprès du registre de domaine SINGAPOUR E-COMMERCE PRIVATE LIMITED de ALIBABA.COM. En ce qui concerne la durée d’existence de ces domaines, leurs âges varient. Certains ont environ deux ans, tandis qu’une partie importante a été récemment enregistrée au cours des 90 derniers jours environ.
BleepingComputer avait cela à dire concernant l’âge des domaines suspects :
Le vieillissement du domaine est un facteur crucial dans les opérations d’hameçonnage, car plus un domaine reste en vie mais reste inoffensif, moins il est probable qu’il soit signalé par des outils de sécurité comme suspects. Laisser un domaine vieillir pendant au moins deux ans est quelque chose que Confiant a signalé l’année dernière, en observant la tactique dans une campagne mondiale de publicité malveillante qui l’utilise avec succès depuis 2018. Dans la campagne découverte par Bolster, de nombreux domaines malveillants ont survécu si longtemps sans être signalés que Google Search les a indexés et est désormais susceptible de se classer en haut pour des termes de recherche spécifiques.
Cette stratégie est particulièrement efficace pour les cybercriminels qui souhaitent inciter les victimes insuspectes à visiter des sites d’hameçonnage, avec le concept sous-jacent selon lequel l’utilisateur moyen associe un classement Google Search élevé à l’authenticité et à la fiabilité de ce domaine.
Il convient de noter que les domaines de l’escroquerie suivent un modèle répétitif avec le nom de la marque usurpée est utilisé conjointement avec le nom d’une ville ou d’un pays et suivi d’un domaine générique de niveau supérieur (TLD) tel que .com.
Selon les chercheurs de Bolster, la campagne maintenait plus de 10 faux sites Web conçus pour imiter ceux appartenant à une gamme de marques populaires. Chaque domaine frauduleux aurait été conçu d’une manière très similaire au site Web authentique de chaque entreprise.
Actions recommandées
Bolster propose quelques recommandations pour éviter les attaques d’hameçonnage et les faux sites qui imitent des marques connues.
Depuis Bolster :
Assurez-vous que vous êtes sur un site Web officiel de la marque en confirmant le domaine de la marque d’origine. Surveillez tout signe de noms de domaine suspects. Si vous découvrez un deal ou un prix de produit qui semble trop beau pour être vrai, vous devez prendre des mesures supplémentaires pour vérifier la légitimité du domaine. Il est également essentiel pour les entreprises de protéger leurs actifs numériques contre les attaques d’usurpation d’identité de la marque afin d’éviter d’endommager la réputation de leur marque. Si des clients (ou des employés, des partenaires et d’autres membres de votre réseau) sont victimes d’une escroquerie se faisant passer pour votre organisation, cela peut les empêcher d’acheter auprès de vous à l’avenir, ainsi que créer de mauvais avis, une mauvaise presse et un mauvais bouche-à-oreille.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne est un rappel sur la raison pour laquelle il est important de maintenir un haut degré de sensibilisation et de prudence des utilisateurs, en particulier lors de l’achat en ligne et de la navigation décontractée sur les sites d’e-commerce. »
« Les campagnes d’hameçonnage deviennent de plus en plus convaincantes. Cela s’aggravera à mesure que les cybercriminels auront un accès plus facile à l ’intelligence artificielle (IA) et aux modèles d’apprentissage automatique. Il devient tout aussi difficile de tenir les travailleurs informés des dernières menaces transmises par e-mail, des méthodes d’ingénierie sociale et d’autres TTP en évolution que les cybercriminels utilisent. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
