Dans le résumé de cette semaine, CTI explore comment l’acteur malveillant TA4557 cible activement les recruteurs avec des e-mails directs et des logiciels malveillants. Ensuite, la CTI étudie comment les acteurs malveillants abusent des applications OAuth pour déployer des machines virtuelles pour l’exploration des cryptomonnaies, établir la persistance et lancer des campagnes de spam. Enfin, CTI conclut avec une vue d’ensemble des chevauchements tactiques et de ciblage entre l’APT Sandman et le cluster de menaces basé en Chine Red Dev 40.
1. TA4557 cibles de recruteurs par e-mail
Un acteur malveillant connu sous le nom de TA4557 cible les recruteurs avec des e-mails directs qui entraînent la livraison de logiciels malveillants.
Selon Proofpoint, les e-mails initiaux sont bénins et visent à établir la confiance avec la victime en exprimant son intérêt pour un poste actuellement ouvert dans l’entreprise. La chaîne d’attaque commence une fois que le recruteur répond à l’e-mail.
Stratégie de campagne TA4557’s
Lors de TA4557 campagnes récentes, l’acteur malveillant utilise une nouvelle méthode d’envoi direct des e-mails aux recruteurs, ainsi qu’une technique précédente de candidature à des offres d’emploi publiées sur des sites d’emploi publics.
Dans la chaîne d’attaque qui utilise la nouvelle approche d’e-mail direct, la victime doit répondre à l’e-mail bénin initial pour que l’attaque commence. Une fois qu’ils répondent, l’acteur malveillant répond avec une URL qui relie la victime à un site Web contrôlé par l’acteur qui se présente comme un CV de candidat.
Dans d’autres cas, l’acteur répond par un document PDF ou Word avec des instructions pour visiter ce même site hébergeant le faux CV. Les campagnes plus récentes demandent au destinataire de l’e-mail de se référer au nom de domaine de son adresse e-mail pour accéder à son portefeuille, ce qui permet à l’e-mail d’échapper à la détection.
Si la victime visite le site conformément aux instructions, elle verra une page qui imite le CV d’un candidat ou un site d’emploi générique pour ce candidat. Le site Web lui-même dispose d’un filtrage pour déterminer quelle doit être la prochaine étape de la chaîne d’attaque.
Si les vérifications de filtrage ne sont pas satisfaites, la victime est dirigée vers une page contenant un CV en texte brut, cependant, si elle réussit les vérifications de filtrage, elle est dirigée vers le site Web du candidat. Ce site Web candidat exploite CAPTCHA et, s’il est terminé, commencera à télécharger un fichier zip contenant un LNK.
À propos de TA4557
Proofpoint suit TA4557 depuis 2018. L’acteur semble être motivé financièrement et est connu pour distribuer le backdoor More_Eggs qui profile un endpoint et envoie des charges utiles supplémentaires.
Comme l’explique Proofpoint, l’acteur malveillant est sensiblement différent des autres acteurs malveillants prioritaires que l’organisation suit. Cela est dû à leur utilisation unique de logiciels malveillants et d’outils, à l’utilisation d’atouts sur le thème des candidats à l’emploi, au ciblage de campagne, à des mesures d’évasion sophistiquées, à des chaînes d’attaque distinctes et à une infrastructure contrôlée par un acteur.
Une activité TA4557 précédente chevauche le groupe FIN6 connu. En outre, TA4557’s logiciels malveillants sont également utilisés par Cobalt Group et Evilnum.
Bien qu’il existe certains chevauchements avec d’autres groupes, TA4557 est toujours considéré comme son propre cluster d’activités distinct.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette activité cible spécifiquement les recruteurs. Étant donné que le premier e-mail de l’attaque est bénin, il n’est pas susceptible d’être pris par des solutions de sécurité des e-mails. En tant que tel, il est essentiel de mener une formation et une sensibilisation à l’hameçonnage, mais encore plus important d’avoir une formation sur mesure à l’hameçonnage pour les personnes occupant des rôles qui peuvent être confrontés à des types plus spécifiques d’attraits à l’hameçonnage.
2. Les acteurs malveillants utilisent les applications OAuth pour automatiser les attaques BEC et de cryptominage
Les acteurs malveillants abusent désormais des applications OAuth en tant qu’outil d’automatisation pour déployer des machines virtuelles pour l’extraction de cryptomonnaies, établir la persistance après BEC et lancer des campagnes de spam en utilisant les ressources et le nom de domaine de l’organisation.
Microsoft a observé des acteurs malveillants lancer des attaques d’hameçonnage et de diffusion de mots de passe contre des comptes qui n’avaient pas d’authentification forte en place, mais qui avaient les permissions de créer et/ou de modifier des applications OAuth.
Qu’est-ce qu’OAuth ?
OAuth est une norme ouverte pour l’authentification et l’autorisation basées sur jeton. Il permet aux applications d’accéder aux données et ressources en fonction des permissions définies par un utilisateur. Cela fait d’OAuth une cible attrayante pour les acteurs malveillants qui peuvent chercher à compromettre les comptes d’utilisateur avec l’accès approprié et à utiliser le compte pour créer, modifier et accorder des privilèges élevés aux applications OAuth. Ils peuvent être utilisés pour masquer d’autres activités malveillantes.
Microsoft a suivi l’utilisation abusive des applications OAuth, en notant que cela permet à un acteur malveillant de gérer son accès aux applications même s’il perd l’accès au compte initialement compromis.
Applications OAuth pour déployer des machines virtuelles pour la cryptomination
Microsoft a spécifiquement observé un acteur malveillant nommé Storm-1283 utilisant un compte compromis pour créer une application OAuth.
Dans ce cas, l’acteur malveillant l’a utilisé pour déployer des machines virtuelles pour le cryptominage. L’acteur a utilisé le compte compromis pour se connecter via VPN et a créé une nouvelle application OAuth de locataire unique dans Microsoft Entra ID. Étant donné que ce compte avait un rôle de propriété d’un abonnement Azure, l’acteur malveillant a pu accorder la permission de rôle « contributeur » pour l’application.
L’acteur a ensuite tiré parti des applications OAuth existantes auxquelles l’utilisateur compromis avait accès en ajoutant un ensemble supplémentaire d’informations d’identification à ces applications. Les organisations ciblées par cette activité ont encouru des frais de calcul compris entre 10 000 USD et 1,5M USD.
Applications OAuth pour BEC et phishing
Dans une autre attaque, Microsoft a observé un acteur malveillant compromettant les comptes d’utilisateurs et créant des applications OAuth pour la persistance et pour lancer des campagnes d’hameçonnage par e-mail.
Un kit d’hameçonnage par adversaire au milieu (AiTM) a été utilisé pour envoyer une vaste campagne d’e-mails d’hameçonnage avec différentes lignes d’objet et URL aux victimes de plusieurs organisations. Lorsque la victime a cliqué sur l’URL dans l’e-mail, elle a été redirigée vers une page de connexion Microsoft qui a été proxyée via le serveur proxy de l’acteur. Cela leur a permis de voler le jeton du cookie de session de l’utilisateur, puis d’utiliser ultérieurement ce jeton pour effectuer une activité de relecture des cookies de session.
- Persistance après BEC : quelques instances observées ont eu une activité supplémentaire après l’activité de relecture des cookies de session. Dans certains cas, l’acteur malveillant utiliserait le compte compromis pour la reconnaissance BEC, ouvrant des pièces jointes d’e-mail dans OWA qui avaient des mots-clés financiers d’intérêt tels que le paiement ou la facture. L’acteur malveillant créerait ensuite une application OAuth et fonctionnerait sous la session de compte compromise pour ajouter de nouvelles informations d’identification à cette application.
- Activité d’hameçonnage par e-mail : Microsoft a observé certains cas dans lesquels l’acteur malveillant n’a pas effectué de reconnaissance BEC, mais a plutôt créé des applications OAuth multilocataires après les actions de relecture des cookies de session volées. Ces applications ont été utilisées pour la persistance, pour ajouter de nouvelles informations d’identification et pour accéder à l’API Microsoft Graph afin d’envoyer des e-mails d’hameçonnage ou simplement de lire des e-mails. Microsoft a observé environ 17 000 applications OAuth multilocataires créées par l’acteur malveillant sur différents locataires. L’acteur malveillant a également été observé en créant des règles de boîte de réception dans la boîte de réception du compte compromis. Au total, les applications malveillantes ont envoyé plus de 927 000 e-mails d’hameçonnage.
Applications OAuth pour l’activité de spaming
Une activité de spaming à grande échelle a également été observée, réalisée par un acteur malveillant appelé Storm-1286. Cet acteur malveillant a mené des attaques par pulvérisation de mots de passe sur des comptes qui n’avaient pas principalement la MFA activée. Les comptes compromis ont ensuite été utilisés pour créer 1-3 nouvelles applications OAuth à l’aide d’Azure PowerShell ou d’un client basé sur Swagger Codegen. L’acteur malveillant a attendu des mois dans certains cas après la création des applications pour commencer l’activité de spam.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne n’a eu lieu que sur une durée de quelques mois (de juillet à novembre), mais elle a pu distribuer près d’un million d’e-mails d’hameçonnage.
Bien que Microsoft ait depuis supprimé toutes les applications OAuth malveillantes qui faisaient partie de cette campagne, il est important de comprendre comment l’activité s’est produite et ce que nous pouvons faire pour mieux défendre nos organisations contre cette activité. Microsoft a fourni plusieurs mesures d’atténuation pour se protéger contre cette activité, notamment l’application de l’AMF, l’activation de politiques d’accès conditionnelles, l’audit régulier des applications et des permissions consenties, etc. Microsoft a également fourni diverses requêtes de recherche.
3. Connexion de Sandman APT à la porte dérobée KEYPLUG basée en Chine
Des chercheurs ont découvert des chevauchements tactiques et de ciblage entre l’ APT de Sandman et Red Dev 40, un cluster de menaces basé en Chine qui est connu pour utiliser le backdoor KEYPLUG.
L’évaluation conjointe entre SentinelOne, PwC et Microsoft est basée sur le fait que le malware basé sur Lua, LuaDream et KEYPLUG de l’acteur de la menace ont tous deux été déterminés à exister dans les mêmes réseaux de victimes.
La connexion entre Sandman et Red Dev 40
Red Dev 40 est un cluster de menaces qui cible principalement les fournisseurs de télécommunications et les entités gouvernementales au Moyen-Orient et en Asie du Sud, ce qui est similaire à celui de Sandman. Sandman et Red Dev 40 ont de nombreux liens, notamment des chevauchements de victimologie, une cohabitation et C2 pratiques partagées d’infrastructure et de gestion.
- KEYPLUG, une porte dérobée modulaire, est un outil de base dans l’arsenal Red Dev 40’s , mais a également été observé utilisé par d’autres acteurs malveillants. KEYPLUG serait partagé entre divers groupes basés en Chine.
Red Dev 40 se distingue des autres groupes utilisant KEYPLUG en fonction de caractéristiques de malware spécifiques telles que des clés de chiffrement uniques pour la communication C2 . Ils sont également connus pour leur sens plus élevé de la sécurité opérationnelle, y compris leur dépendance à l’infrastructure de proxy inverse basée sur le cloud pour masquer le véritable emplacement d’hébergement de leurs serveurs C2 .
- LuaDream est un backdoor modulaire basé sur LuaJIT. Des chercheurs ont observé les logiciels malveillants LuaDream de Sandman et les implants KEYPLUG dans les mêmes environnements de victimes, certains sur les mêmes endpoints.
Dans un cas, KEYPLUG a été déployé trois mois complets avant LuaDream, et les deux ont été actifs en même temps pendant environ deux semaines. Un aperçu de la mise en œuvre et de l’infrastructure C2 de ces logiciels malveillants a révélé un développement et une infrastructure partagés.
LuaDream et KEYPLUG
La souche de malware KEYPLUG est mise en œuvre dans C++, tandis que la majorité des composants LuaDream sont mis en œuvre dans Lua.
Les chercheurs ont analysé des échantillons des deux souches de logiciels malveillants et ont confirmé que, bien qu’ils ne semblent pas provenir de la même source, ils disposent d’indicateurs de pratiques de développement partagées et d’autres chevauchements.
Leur recherche indique que les deux souches de logiciels malveillants partagent les exigences fonctionnelles des opérateurs, ce qui n’est pas rare pour les logiciels malveillants d’origine chinoise.
- C2 : Les deux souches de logiciels malveillants sont hautement modulaires et de conception multiprotocole. Ils prennent tous deux en charge les protocoles HTTP, TCP, WebSocket et QUIC pour la communication C2 . L’ordre dans lequel le logiciel malveillant évalue le protocole configuré est le même : HTTP, TCP, WebSocket et QUIC dans cet ordre.
KEYPLUG met en œuvre une assistance supplémentaire pour UDP que LuaDream ne prend pas en charge. Cependant, étant donné que LuaDream est toujours en cours de développement, il est possible que de futures variantes de LuaDream prennent en charge l’UDP.
- Exécution/gestion des données C2 : le flux d’exécution global de LuaDream et KEYPLUG est très similaire. Ils commencent tous deux par collecter et exfiltrer les informations système et utilisateur et partagent des chevauchements dans les données collectées. Ils créent ensuite des threads qui envoient et reçoivent des données C2 , établissent une connexion au serveur C2 , traitent les commandes de backdoor et gèrent les plug-ins.
Les deux logiciels malveillants stockent également des informations qui se chevauchent sur les tampons globaux, y compris les adresses de mémoire de démarrage, les tailles et les points vers les structures Windows CRITICAL_SECTION. Ils sont tous deux conçus pour lire et écrire sur ces tampons. Les deux généreront également des valeurs ponctuelles en fonction du temps de disponibilité du système qui est renvoyé par la fonction GetTickCount. Cette valeur est calculée de la même manière et est utilisée pour les intervalles de temps de sommeil ou les clés spécifiques au protocole.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Le paysage des menaces entourant les acteurs malveillants basés en Chine est incroyablement complexe, en particulier compte tenu de la fréquence à laquelle ces acteurs partagent des outils personnalisés.
Cette volonté de partager les outils rend moins surprenant le fait que nous constatons que des acteurs comme Sandman ont des chevauchements dans l’infrastructure et les TTP avec un cluster de menaces basé en Chine.
De plus, les logiciels malveillants basés sur Lua n’ont été vus que quelques fois (plus récemment dans les exploitations zero-day de Cisco), de sorte que l’adoption accrue de Lua est certainement quelque chose à surveiller.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
