Une étude surprenante révèle à quel point la cyberactivité offensante associée à la lutte entre la Russie et l’Ukraine a eu un impact peu plus que mineur en dehors des limites du cyberdomaine lié au théâtre des opérations du conflit. Ensuite, nous examinons la nouvelle boîte à outils de phishing en tant que service (PhaaS) EvilProxy, actuellement annoncée sur le réseau souterrain criminel comme une nouvelle façon pour les acteurs malveillants de contourner l’authentification à deux facteurs (2FA). Nous partageons également un récent rapport Blackberry concernant une opération de ransomware nouvellement émergente s’appelant Monti.
1. L’impact des piratages offensants liés à la Russie/Ukraine
Une nouvelle étude révèle que les cyberattaques liées au conflit entre la Russie et l’Ukraine ont eu un impact mineur en dehors du théâtre des opérations et qu’il est peu probable qu’elles s’intensifient davantage.
L’étude est principalement axée sur les efforts de la cybercriminalité souterraine (hacktivistes, syndicats de cybercriminels, gangs de ransomwares, etc.), bien que des conclusions puissent être tirées qui s’appliquent également aux acteurs malveillants de haut niveau.
Des chercheurs de l’ Université de Cambridge, de l’Université d’Édimbourg et de l’Université de Strathclyde ont examiné les données recueillies au cours des deux mois précédant et quatre mois suivant le début des opérations cinétiques de la Russie en Ukraine. Ils ont analysé 281 000 attaques de dégradation du Web, 1,7 millions d’attaques par déni de service distribué (DDoS) et des centaines d’annonces sur Telegram utilisées par les pirates informatiques pour coordonner leur activité.
Ce que les chercheurs ont prédit
Au début, la cyberactivité contradictoire entre les deux nations semblait suivre les prédictions du secteur. La Russie a été la première à être attaquée à grande échelle, suivie de l’Ukraine quelques jours plus tard. Cependant, en deux semaines environ, les cyberattaques étaient revenues à ce que les chercheurs décrivent comme des niveaux pré-conflit.
C’est là que les données deviennent vraiment intéressantes. Les informations suivantes recueillies par l’étude mettent en évidence les contrastes entre ce que les initiés du secteur s’attendaient à observer pendant ce conflit et ce qui s’est réellement produit.
Lors de l’épidémie de flambée, le consensus général de l’industrie était que le plus grand cyber-risque présenté par le conflit était la menace d’attaques avancées et destructrices sur l’infrastructure critique sous-jacente aux deux nations. Les experts de l’industrie ont rapidement prédit que la Russie fléchirait ses muscles de piratage, libérant ses célèbres groupes de menaces persistantes avancées (APT) liés au GRU-FSB/SVR, tels que APT29 ou APT28, sur l’infrastructure critique de l’Ukraine. Les deux acteurs sont connus pour leur sophistication et leurs jeux d’outils avancés.
Mais la plus grande inquiétude, telle qu’exprimée par le FBI, le CISA et parsemée de légions d’experts du secteur de la cybersécurité, a été la propagation : le nom utilisé pour décrire le risque de logiciels malveillants destructeurs ou de cyberopérations contradictoires échappant aux limites du théâtre des opérations d’Europe de l’Est et se dirigeant vers les cibles occidentales, soit par accident, soit en représailles pour des sanctions ou d’autres sanctions imposées à la Russie pour sa belligerence perçue envers une nation favorable aux États-Unis.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Pour CTI, les résultats de cette étude représentent un microcosme du conflit Russie/Ukraine et de sa cyberactivité associée. Le cyberdomaine associé à ce théâtre des opérations est clairement un Ouest sauvage, avec des hacktivistes et des cybercriminels de bas niveau essayant de nouvelles techniques d’attaque et sélectionnant des cibles pour s’amuser, le défi qu’ils ont présenté ou dans un ennui pur. De même, les menaces persistantes avancées soutenues par l’État actives dans ce conflit semblent l’avoir utilisée comme une sorte de terrain de test pour de nouveaux outils et tactiques. Nous supposons qu’il est chanceux que, à ce jour, nous n’ayons vu que peu (voire pas) de déversement très médiatisé dont nos cyber-agences nous ont avertis. »
« Bien sûr, compte tenu de la sophistication et de la dévotion à la sécurité opérationnelle (OPSEC) attribuées à certains des groupes qui sont censés fonctionner en coulisses ici (APT29, APT28, etc.), il ne nous surprendrait pas si nous n’avions pas eu connaissance d’incidents de déversement dans les mois à venir. »
2. La nouvelle boîte à outils de phishing en tant que service EvilProxy permet aux cybercriminels de contourner la sécurité 2FA
Des rapports récents de la société de cybersécurité Resecurity, Inc. révèlent une nouvelle boîte à outils de phishing en tant que service (PhaaS), appelée EvilProxy, qui est annoncée sur le réseau souterrain criminel comme un moyen pour les acteurs malveillants de contourner le 2FA. Le service permet aux acteurs malveillants non sophistiqués de voler des comptes en ligne qui sont autrement bien protégés en tirant parti de méthodes d’injection de proxy inverse et de cookies pour contourner 2FA.
Qu’est-ce qu’EvilProxy ?
EvilProxy, également connu sous le nom de Moloch par d’autres sources, a été découvert et annoncé sur le dark web en tant que nouveau PhaaS.
La première mention d’EvilProxy a été détectée en mai 2022 lorsque ses opérateurs ont publié une vidéo de démonstration détaillant comment elle pouvait être utilisée pour fournir des liens d’hameçonnage avancés dans l’intention de compromettre les comptes de consommateurs appartenant à de grandes marques telles qu’Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex et d’autres. EvilProxy prend également en charge les attaques d’hameçonnage contre PyPI, ce qui est assez coïncident étant donné que les PyPI sont censés avoir été la première attaque d’hameçonnage connue la semaine dernière.
EvilProxy utilise le principe du proxy inverse qui utilise un proxy inverse pour récupérer tout le contenu légitime qu’un utilisateur s’attend à voir, comme les pages de connexion, mais renifle le trafic lorsqu’il passe par le proxy. Plus précisément, un proxy inverse est un serveur qui se trouve entre la victime et un endpoint légitime, tel que le formulaire de connexion d’une entreprise. Lorsque la victime tente de se connecter à une page d’hameçonnage, le proxy inverse affiche le formulaire de connexion légitime et lorsque la victime saisit ses informations d’identification sur la page d’hameçonnage, elles sont transmises au serveur de la plateforme réelle. Cependant, étant donné que le serveur proxy se trouve au milieu, il peut également voler le cookie de session contenant le jeton d’authentification. Le cookie d’authentification peut ensuite être utilisé par l’acteur malveillant pour se connecter au site en tant qu’utilisateur, contournant ainsi les protections MFA.
Après l’activation, l’opérateur sera invité à fournir des informations d’identification SSH pour déployer davantage un conteneur Docker et un ensemble de scripts. Cette approche a également été utilisée dans d’autres services PhaaS appelés « rappo » qui ont été identifiés par Resecurity cette année. Après le déploiement, les scripts transmettront le trafic des victimes via 2 passerelles définies comme « en amont ».
Techniques anti-détection
Les acteurs malveillants derrière EvilProxy utilisent plusieurs techniques pour protéger la boîte à outils PhaaS contre la détection. Comme les solutions de prévention de la fraude et de cyberveille, ils agrègent des données sur les services VPN connus, les proxys, les nœuds de sortie TOR et d’autres hôtes qui peuvent être utilisés pour l’analyse de la réputation IP. Dans le cas où ils soupçonnent un bot ou un chercheur, ils abandonnent la connexion ou la redirigent vers un hôte spécifique. EvilProxy est également diligent lorsqu’il s’agit de détecter d’éventuelles machines virtuelles qui sont généralement utilisées par les analystes de sécurité pour rechercher du contenu malveillant.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les opérateurs derrière EvilProxy semblent prendre plusieurs mesures supplémentaires pour s’assurer que la boîte à outils dispose d’une portée large et efficace. Pour commencer, le nombre de vidéos pédagogiques que les acteurs malveillants ont mises à disposition est impressionnant. Beaucoup transmettent littéralement les mesures étape par étape que les pirates informatiques doivent prendre pour déployer avec succès EvilProxy. Ces vidéos permettent aux acteurs malveillants de tous les niveaux de sophistication de tirer parti de la boîte à outils pour contourner l’AMF, et soulignent encore plus à quel point il est facile d’entrer dans le monde cybercriminel. »
« L’aspect le plus remarquable d’EvilProxy est le fait que les opérateurs examinent les clients qui cherchent à acheter la boîte à outils. Il n’est pas clair ce que le processus de vérification implique, mais l’existence d’un tel processus indique que certains acheteurs potentiels sont probablement rejetés. CTI aimerait savoir quels cassants potentiels peuvent être... des dossiers permanents défavorables ? »
3. Le cas curieux du ransomware « Monti » : un doppelganger réel
Un rapport récent de l’équipe de réponse aux incidents de BlackBerry détaille une attaque par un groupe précédemment inconnu s’appelant Monti. La plupart des IOC identifiés lors de l’attaque de Monti ont également été observés dans des cas précédents de ransomware Conti.
Le groupe de rançongiciels Monti : un aperçu
Bien qu’il existe peu d’informations disponibles concernant le groupe de rançongiciels Monti, les chercheurs de BlackBerry pensent que cet acteur malveillant est apparu entre mai et juin 2022. Les chercheurs suspectent que le groupe a délibérément imité les TTP du groupe de rançongiciels Conti, plus connus, ainsi que bon nombre de ses outils et de sa charge utile de chiffrement. Les communications internes, les journaux de chat, les guides de formation, le code source, etc. de Conti ont tous été divulgués publiquement vers le début de l’année. Cette fuite a effectivement donné aux acteurs de la menace Monti (et probablement à de nombreux autres acteurs de la menace) un guide étape par étape pour imiter les attaques notoirement réussies de Conti.
L’attaque par rançongiciel Monti
L’équipe de réponse aux incidents des services de sécurité BlackBerry a été engagée en juillet pour mener une enquête légale sur un événement de sécurité lié aux rançongiciels. L’acteur malveillant aurait obtenu un accès initial via une exploitation de la vulnérabilité Log4Shell (CVE-2021-44228) bien connue dans le système de virtualisation VMware Horizon du client, orienté Internet.
Au moment où BlackBerry était engagé, l’acteur malveillant avait déjà chiffré 18 postes de travail d’utilisateurs. L’acteur malveillant a également chiffré un cluster ESXi à trois serveurs, ce qui a eu un impact sur 21 serveurs virtualisés.
Après avoir obtenu l’accès à l’environnement de la victime, l’acteur malveillant a installé le navigateur Google Chrome et l’a utilisé pour télécharger divers outils d’attaque. L’acteur malveillant a également téléchargé et installé deux agents de surveillance et de maintenance à distance, y compris AnyDesk et Action1. Ces agents ont été utilisés pour établir la persistance et activer un accès distant supplémentaire.
Les outils que l’attaquant a introduits dans l’environnement ont également été utilisés pour vider les informations d’identification de la mémoire et analyser le réseau. Et le protocole RDP (Remote Desktop Protocol) intégré à Microsoft Windows a été utilisé pour se connecter à d’autres serveurs, accéder aux fichiers de données sur les partages réseau, et finalement déployer la souche Monti de ransomware.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que ce ne soit pas totalement hors de la table, il n’existe aucune preuve concrète que Conti s’est rebaptisée Monti. La disponibilité publique du code source de Conti permet à Monti de tirer simplement parti de ces informations pour créer son propre ransomware basé sur Conti.
Étant donné le succès notoire de Conti, une véritable nouvelle marque Conti serait plus complexe que la simple réutilisation du code source divulgué, mais ce ne sont que nos deux centimes. La réutilisation de nombreux TTP de Conti peut donner aux chercheurs et défenseurs de la sécurité une longueur d’avance lorsqu’il s’agit d’alerter et de détecter les ransomwares Monti.
Bien que la réutilisation du code source de Conti puisse être stratégique, la réutilisation de la note de rançon réelle est étrange et presque ironique. Les notes de rançon sont identiques en plus de l’utilisation de « Monti » au lieu de « Conti » et d’un domaine d’oignon différent. Le corps de la note indique toujours : « Si vous ne savez pas qui nous sommes - juste Google, » ce qui n’a pas beaucoup de sens étant donné que Monti est nouveau et retourne actuellement très peu dans une recherche Google. »
Jetez un coup d’œil à nos récents résumés sur les cybermenaces. Ou essayez la solution Converged Endpoint Management (XEM) de Tanium.
