Dans le tour d'horizon de cette semaine, CTI examine comment l'acteur malveillant TA4557 cible activement les recruteurs à l'aide d'e-mails directs et de logiciels malveillants. CTI examine ensuite comment les acteurs malveillants exploitent les applications OAuth pour déployer des machines virtuelles destinées au minage de cryptomonnaies, établir une persistance et lancer des campagnes de spam. Enfin, CTI conclut par un aperçu des similitudes sur le plan tactique et en matière de cibles entre l'APT « Sandman » et le groupe de menaces « Red Dev 40 », basé en Chine.
1. TA4557 cible les recruteurs par e-mail
Un acteur malveillant connu sous le nom d’ , TA4557 (s’ouvre dans un nouvel onglet) , cible les recruteurs par le biais d’e-mails directs qui aboutissent à l’injection de logiciels malveillants.
Selon Proofpoint, les premiers e-mails sont inoffensifs et visent à gagner la confiance de la victime en manifestant de l'intérêt pour un poste actuellement à pourvoir au sein de l'entreprise. La chaîne d'attaque commence dès que le recruteur répond à l'e-mail.
Stratégie de campagne TA4557’s
Au cours des TA4557 dernières campagnes, l'auteur de la menace utilise une nouvelle méthode consistant à envoyer directement des e-mails aux recruteurs, tout en continuant à recourir à une technique déjà employée consistant à postuler à des offres d'emploi publiées sur des sites d'emploi publics.
Dans la chaîne d'attaque qui utilise cette nouvelle méthode par e-mail direct, la victime doit répondre à l'e-mail initial, qui semble inoffensif, pour que l'attaque puisse commencer. Dès qu'ils répondent, l'auteur de la menace leur envoie une URL qui redirige la victime vers un site web qu'il contrôle et qui se présente comme le CV d'un candidat.
Dans d'autres cas, l'acteur répond en envoyant un fichier PDF ou Word contenant des instructions vous invitant à vous rendre sur ce même site hébergeant le faux CV. Des campagnes plus récentes invitent le destinataire du courriel à se référer au nom de domaine de son adresse e-mail pour accéder à son portefeuille, ce qui permet au courriel d'échapper à la détection.
Si la victime se rend sur le site comme indiqué, elle verra s'afficher une page imitant le CV d'un candidat ou un site d'offres d'emploi générique dédié à ce candidat. Le site web lui-même dispose d'un système de filtrage permettant de déterminer quelle doit être la prochaine étape de la chaîne d'attaque.
Si les critères de filtrage ne sont pas respectés, la victime est redirigée vers une page contenant un CV en texte brut ; en revanche, si elle satisfait à ces critères, elle est redirigée vers le site web du candidat. Ce site web dédié aux candidats utilise un CAPTCHA et, une fois celui-ci validé, le téléchargement d'un fichier zip contenant un fichier LNK commencera.
À propos de TA4557
Proofpoint suit la version TA4557 depuis la version 2018. Cet acteur semble agir pour des raisons financières et est connu pour diffuser la porte dérobée « More_Eggs », qui effectue une analyse de profil d'un terminal et envoie des charges utiles supplémentaires.
Comme l'explique Proofpoint, cet acteur malveillant se distingue nettement des autres acteurs malveillants prioritaires que l'organisation surveille. Cela s'explique par leur utilisation particulière de logiciels malveillants et d'outils, le recours à des leurres liés aux offres d'emploi, le ciblage de leurs campagnes, leurs mesures d'évasion sophistiquées, leurs chaînes d'attaque distinctes et leur infrastructure contrôlée par les auteurs.
Certaines activités antérieures du groupe TA4557 se recoupent avec celles du tristement célèbre groupe FIN6 . Par ailleurs, le logiciel malveillant TA4557’s est également utilisé par , le Cobalt Group et Evilnum.
Bien qu'il existe certains recoupements avec d'autres groupes, le TA4557 est toujours considéré comme un pôle d'activité distinct.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette activité s'adresse tout particulièrement aux recruteurs. Comme le premier e-mail de l'attaque est inoffensif, il a peu de chances d'être détecté par les solutions de sécurité de messagerie. À ce titre, il est essentiel d'organiser des formations et des actions de sensibilisation au hameçonnage, mais il est encore plus important de proposer des formations sur mesure aux personnes occupant des postes susceptibles d'être confrontées à des types plus spécifiques d'appâts de hameçonnage.
2. Les cybercriminels utilisent des applications OAuth pour automatiser les attaques de type BEC et de minage de cryptomonnaies
Les acteurs malveillants exploitent désormais les applications OAuth (s'ouvre dans un nouvel onglet) comme outil d'automatisation pour déployer des machines virtuelles destinées au minage de cryptomonnaies, établir une persistance après une attaque de type BEC et lancer des campagnes de spam en utilisant les ressources et le nom de domaine de l'organisation.
Microsoft a constaté que des acteurs malveillants lançaient des attaques de phishing de type « » et des attaques par «password-spraying» (s'ouvre dans un nouvel onglet) contre des comptes qui ne disposaient pas d'une authentification forte mais qui avaient les autorisations nécessaires pour créer et/ou modifier des applications OAuth.
Qu'est-ce que l'OAuth ?
OAuth est une norme ouverte d'authentification et d'autorisation par jeton. Cela permet aux applications d'accéder aux données et aux ressources en fonction des autorisations définies par un utilisateur. Cela fait d'OAuth une cible de choix pour les acteurs malveillants, qui pourraient chercher à compromettre des comptes d'utilisateurs disposant des droits d'accès appropriés et à utiliser ces comptes pour créer, modifier et accorder des privilèges élevés à des applications OAuth. Celles-ci peuvent servir à dissimuler d'autres activités malveillantes.
Microsoft surveille l'utilisation abusive des applications OAuth, soulignant que cela permet à un acteur malveillant de conserver son accès aux applications même s'il perd l'accès au compte qui avait été initialement compromis.
Applications OAuth permettant de déployer des machines virtuelles à des fins de minage de cryptomonnaies
Microsoft a notamment constaté qu'un acteur malveillant, baptisé Storm-1283, utilisait un compte piraté pour créer une application OAuth.
Dans ce cas précis, l'auteur de la menace s'en est servi pour déployer des machines virtuelles destinées au minage de cryptomonnaies. L'acteur a utilisé le compte piraté pour se connecter via un VPN et a créé une nouvelle application OAuth à tenant unique sur Microsoft Entra ID. Ce compte disposant d'un rôle de propriétaire sur un abonnement Azure, l'acteur malveillant a pu attribuer le rôle de « contributeur » à l'application.
L'acteur a ensuite exploité les applications OAuth existantes auxquelles l'utilisateur piraté avait accès, en ajoutant un ensemble supplémentaire d'identifiants à ces applications. Les organisations visées par cette activité ont dû s'acquitter de frais informatiques compris entre 10 000 et 1,5M dollars.
Applications OAuth utilisées dans le cadre de l'usurpation d'identité d'entreprise (BEC) et du phishing
Dans le cadre d'une autre attaque, Microsoft a constaté qu'un acteur malveillant piratait des comptes d'utilisateurs et créait des applications OAuth afin d'assurer la persistance de ses actions et de lancer des campagnes de phishing par e-mail de type « ».
Un kit de hameçonnage de type « adversaire intermédiaire » (AiTM) a été utilisé pour lancer une vaste campagne d'e-mails de hameçonnage comportant différents objets et URL, à l'intention de victimes issues de plusieurs organisations. Lorsque la victime cliquait sur le lien contenu dans l'e-mail, elle était redirigée vers une page de connexion Microsoft transitant par le serveur proxy de l'auteur de l'attaque. Cela leur a permis de voler le jeton contenu dans le cookie de session de l'utilisateur, puis d'utiliser ce jeton ultérieurement pour mener des activités de « replay » du cookie de session.
- Persistance après une attaque de type « BEC » () : quelques cas observés ont donné lieu à une activité supplémentaire après la reproduction du cookie de session. Dans certains cas, l'auteur de l'attaque utilisait le compte piraté pour effectuer des opérations de reconnaissance dans le cadre d'une escroquerie de type BEC, en ouvrant dans OWA des pièces jointes contenant des mots-clés financiers pertinents, tels que « paiement » ou « facture ». L'acteur malveillant créerait alors une application OAuth et agirait sous la session du compte compromis afin d'ajouter de nouveaux identifiants à cette application.
- concernant les activités de hameçonnage par e-mail : Microsoft a observé certains cas dans lesquels l'acteur malveillant n'a pas effectué de reconnaissance BEC, mais a plutôt créé des applications OAuth multi-locataires après avoir réutilisé les cookies de session volés. Ces applications ont été utilisées pour assurer la persistance, pour ajouter de nouveaux identifiants et pour accéder à l'API Microsoft Graph, soit pour envoyer des e-mails de hameçonnage, soit simplement pour lire des e-mails. Microsoft a recensé environ 17 000 applications OAuth multi-locataires créées par l'acteur malveillant sur différents locataires. On a également constaté que l'auteur de la menace créait des règles dans la boîte de réception du compte piraté. Au total, ces applications malveillantes ont envoyé plus de 927 000 e-mails de hameçonnage.
Applications OAuth utilisées à des fins de spam
Une campagne de spam à grande échelle a également été observée, menée par un acteur malveillant dénommé Storm-1286. Cet acteur malveillant a mené des attaques de « password spraying » contre des comptes sur lesquels l'authentification multifactorielle (MFA) n'était, pour la plupart, pas activée. Les comptes piratés ont ensuite été utilisés pour créer 1-3 nouvelles applications OAuth à l'aide d'Azure PowerShell ou d'un client basé sur Swagger Codegen. Dans certains cas, l'auteur de la menace a attendu plusieurs mois après avoir créé les applications avant de lancer ses campagnes de spam.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne n'a duré que quelques mois (de juillet à novembre), mais elle a tout de même permis d'envoyer près d'un million d'e-mails de hameçonnage.
Même si Microsoft a depuis supprimé toutes les applications OAuth malveillantes qui faisaient partie de cette campagne, il est important de comprendre comment cette activité s'est déroulée et ce que nous pouvons faire pour mieux protéger nos organisations contre ce type d'attaque. Microsoft a proposé plusieurs mesures d'atténuation pour se prémunir contre ce type d'activité, notamment l'application de l'authentification à plusieurs facteurs (MFA), la mise en place de politiques d'accès conditionnel, la vérification régulière des applications et des autorisations accordées, et bien d'autres encore. Microsoft a également mis à disposition diverses requêtes de recherche.
3. Le lien entre le groupe APT « Sandman » et la porte dérobée « KEYPLUG », basée en Chine
Des chercheurs ont mis en évidence des recoupements sur le plan tactique et en matière de ciblage entre le groupe APT « Sandman » ( ) et « Red Dev 40 » ( ) (s'ouvre dans un nouvel onglet), un groupe malveillant basé en Chine connu pour utiliser la porte dérobée KEYPLUG.
L'évaluation conjointe menée par SentinelOne, PwC et Microsoft (s'ouvre dans un nouvel onglet) repose sur le constat que le logiciel malveillant basé sur Lua de l'acteur malveillant, LuaDream, et KEYPLUG ont tous deux été détectés sur les mêmes réseaux de victimes.
Le lien entre Sandman et Red Dev 40
Red Dev 40 est un groupe de cybercriminels qui cible principalement les opérateurs de télécommunications et les organismes publics au Moyen-Orient et en Asie du Sud, à l'instar de Sandman. Sandman et Red Dev 40 présentent de nombreux points communs, notamment des recoupements au niveau de la victimologie, une cohabitation, ainsi que des infrastructures et des pratiques de gestion C2 partagées.
- KEYPLUG, une porte dérobée modulaire, est un outil incontournable de l'arsenal de Red Dev 40’s , mais son utilisation a également été observée chez d'autres acteurs malveillants. On pense que KEYPLUG est utilisé par divers groupes basés en Chine.
Le groupe Red Dev 40 se distingue des autres groupes utilisant KEYPLUG par certaines caractéristiques spécifiques de ses logiciels malveillants, telles que des clés de chiffrement uniques pour la communication C2 . Ils sont également réputés pour leur niveau élevé de sécurité opérationnelle, notamment grâce à leur recours à une infrastructure de proxy inverse basée sur le cloud afin de dissimuler l'emplacement réel de leurs C2 serveurs.
- LuaDream est une porte dérobée modulaire basée sur LuaJIT. Des chercheurs ont observé la présence du logiciel malveillant LuaDream de Sandman et des implants KEYPLUG dans les environnements des mêmes victimes, parfois sur les mêmes terminaux.
Dans un cas précis, KEYPLUG a été déployé trois mois avant LuaDream, et les deux programmes ont fonctionné simultanément pendant environ deux semaines. A look at the implementation and C2 infrastructure of these malware revealed shared development and infrastructure.
LuaDream et KEYPLUG
La souche de logiciel malveillant KEYPLUG est écrite en C++, tandis que la majorité des composants de LuaDream sont écrits en Lua.
Les chercheurs ont analysé des échantillons de ces deux souches de logiciels malveillants et ont confirmé que, bien qu'elles ne semblent pas provenir de la même source, elles présentent des indices de pratiques de développement communes ainsi que d'autres points communs.
Leurs recherches indiquent que ces deux souches de logiciels malveillants répondent aux mêmes exigences fonctionnelles de la part de leurs opérateurs, ce qui n'est pas rare pour les logiciels malveillants d'origine chinoise.
- C2 : Ces deux variantes de logiciels malveillants sont de conception hautement modulaire et multiprotocole. Ils prennent tous deux en charge les protocoles HTTP, TCP, WebSocket et QUIC pour la communication C2 . L'ordre dans lequel le logiciel malveillant évalue les protocoles configurés est le même : HTTP, TCP, WebSocket et QUIC, dans cet ordre.
KEYPLUG offre une prise en charge supplémentaire du protocole UDP que LuaDream ne propose pas. Toutefois, comme LuaDream semble être encore en cours de développement, il est possible que de futures versions de LuaDream prennent en charge le protocole UDP.
- de gestion des données d'exécution/C2 : Le déroulement global de l'exécution de LuaDream et de KEYPLUG est très similaire. Ils commencent tous deux par collecter et exfiltrer des informations relatives au système et aux utilisateurs, et présentent des recoupements quant aux données collectées. Ils créent ensuite des threads chargés d'envoyer et de recevoir des données C2 , d'établir une connexion avec le serveur C2 , de traiter les commandes de la porte dérobée et de gérer les plugins.
Ces deux logiciels malveillants stockent également des informations qui se recoupent concernant les tampons globaux, notamment les adresses mémoire de départ, les tailles et les pointeurs vers les structures CRITICAL_SECTION de Windows. Ils sont tous deux conçus pour lire et écrire dans ces tampons. Ces deux méthodes généreront également des valeurs ponctuelles basées sur la durée de fonctionnement du système, telle qu'elle est renvoyée par la fonction GetTickCount. Cette valeur est calculée de la même manière et sert à définir les intervalles de veille ou les clés spécifiques au protocole.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le paysage des menaces liées aux acteurs malveillants basés en Chine est extrêmement complexe, d’autant plus que ces acteurs partagent très souvent des outils sur mesure.
Compte tenu de cette volonté de partager des outils, il est moins surprenant de constater que des acteurs tels que Sandman présentent des recoupements en matière d'infrastructure et de TTP avec un groupe malveillant basé en Chine.
Par ailleurs, les logiciels malveillants basés sur Lua n'ont été observés qu'à de très rares occasions (notamment récemment dans le cadre d'exploitations de vulnérabilités « zero-day » de Cisco) ; l'adoption croissante de Lua est donc sans aucun doute un phénomène à surveiller de près.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
