Dans le résumé de cette semaine, CTI examine une campagne où les acteurs malveillants ont tenté de se déplacer latéralement vers un environnement cloud via une instance de serveur SQL. Ensuite, CTI enquête sur un changement dans la méthode de distribution du logiciel malveillant ShellBot qui est généralement installé sur des serveurs SSH Linux mal gérés. Vous trouverez également un aperçu de la dernière campagne dans laquelle les acteurs malveillants abusent de LinkedIn Smart Links dans les attaques de phishing pour contourner les mesures de protection et échapper aux détections.
1. Les acteurs malveillants tentent de se déplacer latéralement du serveur SQL vers le cloud
Microsoft a récemment découvert une campagne dans laquelle des acteurs malveillants ont tenté de se déplacer latéralement vers un environnement cloud via une instance SQL Server. Bien que Microsoft ait déjà observé cette technique dans d’autres services cloud tels que les machines virtuelles et les clusters Kubernetes, c’est la première fois qu’ils la voient dans un serveur SQL.
L’attaque observée a commencé lorsque l’acteur malveillant a exploité une vulnérabilité d’injection SQL dans une application dans l’environnement de la victime. L’acteur malveillant a obtenu un accès et des permissions élevées sur une instance de serveur Microsoft SQL qui a été déployée dans Azure VM et a utilisé les permissions pour tenter un mouvement latéral vers des ressources cloud supplémentaires, abusant de l’identité cloud du serveur.
Mouvement latéral basé sur le cloud : une menace croissante
À mesure que les organisations migrent vers le cloud, de plus en plus de types d’attaques basées sur le cloud apparaissent. Les acteurs malveillants prennent note du changement et trouvent de nouveaux vecteurs pour effectuer un mouvement latéral des environnements sur site vers les environnements cloud.
Une méthode courante de mouvement latéral dans les environnements cloud implique d’abuser des identités qui sont liées à la ressource cloud. De nombreux services, comme Azure, utilisent des identités gérées pour attribuer des identités à différentes ressources cloud. Ces identités sont ensuite utilisées pour l’authentification avec d’autres ressources ou services cloud. Bien que cela offre un certain niveau de commodité, cela ouvre la porte aux acteurs malveillants qui jouent avec de nouveaux vecteurs d’attaque potentiels.
Technique connue, nouvel environnement
Microsoft note que c’est la première fois qu’ils voient une tentative de déplacement latéral d’une instance SQL Server vers un environnement cloud. Cependant, cette attaque impliquait de nombreuses activités courantes dans les attaques SQL Server.
Le vecteur d’accès initial était une attaque par injection SQL qui a permis à l’acteur malveillant d’exécuter des requêtes sur le serveur SQL, une tactique assez courante. De plus, les acteurs malveillants ont lancé plusieurs instructions SQL pour collecter des données sur l’hôte, les bases de données et la configuration réseau. Il s’agit d’une autre activité courante.
Selon Microsoft, l’application ciblée avec la vulnérabilité d’injection SQL avait des permissions élevées, accordant ainsi à l’acteur malveillant un niveau d’accès similaire. Ces permissions élevées ont été utilisées pour activer la commande xp_cmdshell, qui est utilisée pour lancer les commandes du système d’exploitation via une requête SQL. Xp_cmdshell est désactivé par défaut pour empêcher l’exploitation. Une fois que l’acteur malveillant a activé cela, il a utilisé ses permissions pour modifier la configuration SQL et exécuter plusieurs commandes.
L’acteur malveillant a lancé manuellement une série de commandes du système d’exploitation pour lancer les phases restantes de l’attaque. L’utilisation de xp_commandshell a permis à l’acteur malveillant de fonctionner comme s’il avait une shell sur l’hôte. L’acteur malveillant a utilisé des méthodes simples pour collecter des données avant de télécharger plusieurs exécutables et scripts PowerShell. Par souci de persistance, l’acteur malveillant a tiré parti d’une tâche planifiée pour lancer un script de backdoor et a essayé de vider les clés de registre SAM et SECURITY pour obtenir des informations d’identification.
Pour l’exfiltration des données, l’acteur malveillant a tiré parti d’un service accessible au public appelé site webhook[.]. Ce service est une plateforme gratuite pour inspecter, déboguer et recevoir des demandes et des e-mails HTTP entrants. Cette méthode d’exfiltration des données a permis à l’acteur malveillant de fonctionner discrètement lors de la transmission du trafic sortant, car ce service peut être considéré comme légitime.
Les acteurs malveillants ont essayé d’utiliser l’identité cloud de l’instance SQL Server en accédant à l’IMDS et en obtenant la clé d’accès à l’identité cloud. IMDS est un service Web restful qui fournit des informations sur la MV, y compris le jeton d’identité. Le jeton d’identité est un jeton Web JSON (JWT) qui contient les revendications et la signature de l’identité. Avec ce jeton d’identité, l’acteur malveillant peut effectuer diverses opérations sur les ressources cloud auxquelles l’identité cloud a accès. Cela inclut les mouvements latéraux dans l’environnement cloud.
Il est important de rappeler qu’il s’agissait strictement d’une tentative et que Microsoft n’a aucune indication de mouvement latéral réussi.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
Même si les acteurs malveillants n’ont pas réussi à se déplacer latéralement, cette activité montre comment les cybercriminels essaient continuellement de nouvelles tactiques pour suivre le passage au cloud.
Cette tentative souligne l’importance de sécuriser correctement les identités cloud et d’utiliser les pratiques de moindre privilège, à la fois sur site et dans le cloud. Microsoft n’a pas encore partagé d’IOC liés à cette activité, mais CTI continuera de surveiller toute information supplémentaire.
2. ShellBot évite la détection dans les attaques sur les serveurs SSH Linux
Les chercheurs du Centre d’intervention d’urgence de sécurité (ASEC) d’AhnLab ont récemment découvert un changement dans la méthode de distribution du logiciel malveillant ShellBot qui est généralement installé sur des serveurs SSH Linux mal gérés.
Les acteurs malveillants suivent le même flux général, mais l’URL téléchargée pour installer le logiciel malveillant est passée d’une adresse IP normale à une valeur hexadécimale.
Qu’est-ce que ShellBot ?
ShellBot, ou PerlBot, est un logiciel malveillant de bot DDoS développé dans Perl. ShellBot est un logiciel malveillant assez ancien qui est toujours utilisé aujourd’hui pour lancer des attaques contre les systèmes Linux. Il utilise généralement le protocole IRC pour communiquer avec son serveur de commande et de contrôle (C2). Le logiciel malveillant est installé sur des systèmes avec des informations d’identification faibles après que l’acteur malveillant a analysé les systèmes avec le port 22 ouvert.
Le logiciel malveillant utilise une liste d’informations d’identification SSH connues pour effectuer une attaque de dictionnaire sur ces serveurs et déployer la charge utile. ShellBot peut recevoir des commandes du C2 lui permettant d’effectuer des attaques DDoS et d’exfiltrer des informations. Différentes versions de ShellBot ont été découvertes au fil des ans, dont certaines sont dotées de capacités de type backdoor pour accorder un accès shell inversé et télécharger des fichiers arbitraires. Dans un cas, ShellBot a été utilisé pour distribuer des mineurs de cryptomonnaie via un compilateur de script shell.
Cas passés de ShellBot
Les acteurs malveillants commencent par analyser les systèmes qui ont un port ouvert 22 et un SSH actif. Ils utilisent une liste d’informations d’identification SSH couramment utilisées pour commencer leur attaque.
Parmi les nombreuses variantes ShellBot en circulation, il existe une variante connue sous le nom de DDoS PBot v2,0. L’acteur malveillant qui a utilisé cette variante dans les attaques utilise systématiquement le « rouge » nommé pendant l’installation du logiciel malveillant.
Certaines des fonctionnalités prises en charge par DDoS PBot v2,0 comprennent :
- Informations de sortie du système infecté
- Informations sur la version de sortie
- Commandes de contrôle IRC
- Commandes DDoS (TCP, UDP, HTTP, inondation SQL, etc.)
- Commandes d’attaque (analyse de port, shell inversé, téléchargement de fichiers, etc.)
Dernières attaques ShellBot
En septembre 2023, les chercheurs ont confirmé que le même acteur malveillant que celui mentionné précédemment installait désormais ShellBot à l’aide d’adresses IP hexadécimales.
Après s’être connecté avec succès à un compte, l’acteur malveillant a utilisé les commandes ci-dessous pour installer ShellBot. Ces commandes sont les mêmes que les cas précédents, mais utilisent des valeurs hexadécimales pour l’adresse IP.
L’adresse représentée en hexadécimal comme 0x2763da4e correspond à 39,99,218[.]78 tandis que 0x74cc54bd correspond à 116,204,84[.]189. En raison de l’utilisation de curl pour le téléchargement et de sa capacité à prendre en charge l’hexadécimal tout comme les navigateurs Web, ShellBot peut être téléchargé avec succès sur un environnement système Linux et exécuté via Perl.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
L’installation de logiciels malveillants à l’aide d’adresses IP hexadécimales est une tentative d’échapper aux signatures de détection basées sur les URL. Cependant, ce n’est pas la première fois que les chercheurs voient cette tactique utilisée. Les campagnes de spam Emotet précédentes ont utilisé des adresses IP octales et hexadécimales pour éviter la détection.
Cette tactique n’a pas été incroyablement populaire ces derniers mois, il sera donc intéressant de voir si l’adoption de ShellBot suscitera l’intérêt d’autres acteurs malveillants.
3. Les attaques Smart Links ciblent les comptes Microsoft
Les acteurs malveillants continuent d’ abuser de LinkedIn Smart Links dans les attaques de phishing pour contourner les mesures de protection et échapper aux détections. La dernière hausse des attaques observée par Cofense a ciblé les informations d’ identification de compte Microsoft Office dans divers secteurs.
Que sont les liens intelligents LinkedIn ?
Les comptes d’entreprise utilisent LinkedIn Smart Links pour fournir du contenu et suivre l’engagement. Le lien intelligent utilise le domaine LinkedIn légitime suivi d’un paramètre de code et d’un ID de caractère alphanumérique à 8 chiffres.
Les liens intelligents malveillants peuvent également inclure d’autres informations, telles que les e-mails de victimes masqués. Un kit d’hameçonnage lira l’e-mail de la victime joint au Smart Link et remplira automatiquement un formulaire malveillant pour ajouter un sentiment de légitimité à une page de connexion Microsoft d’hameçonnage.
La dernière campagne impliquant des liens intelligents
L’utilisation de Smart Links dans les campagnes d’hameçonnage n’est pas nouvelle, mais ce n’est pas non plus quelque chose que vous voyez chaque jour. Cofense a vu les Smart Links contourner les passerelles de messagerie sécurisées (SEG) et d’autres suites de sécurité des e-mails, car le lien utilise le domaine LinkedIn approuvé. Les e-mails de cette dernière campagne utilisent des lignes d’objet plutôt génériques avec des thèmes financiers, de ressources humaines, de documents, de sécurité, etc.
Lorsque l’utilisateur clique sur le lien dans l’e-mail d’hameçonnage, il est envoyé à la page d’hameçonnage où il est invité à se connecter avec ses informations d’identification Microsoft Office. La page d’hameçonnage remplira automatiquement le champ du nom d’utilisateur dans avec l’adresse e-mail de la victime.
Cofense a observé cette campagne couvrant plusieurs secteurs, la finance et la fabrication étant les plus ciblées. La campagne semble plutôt opportuniste, les acteurs malveillants cherchant à collecter autant d’informations d’identification que possible sans cibler un secteur particulier.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
Les chercheurs ont déjà observé LinkedIn Smart Links dans diverses campagnes d’hameçonnage, mais pas très fréquemment. Comme l’explique Cofense, cette campagne s’est démarquée comme une anomalie, car elle comprenait plus de 80 liens intelligents uniques utilisant des pages commerciales LinkedIn compromises.
Bien qu’il n’y ait peut-être pas de TTP révolutionnaire dans cette dernière campagne, elle réitère comment la sécurité des e-mails ne peut aller que jusqu’à présent et à quel point il est essentiel que les employés suivent une formation et une sensibilisation à l’hameçonnage.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
