Une étude surprenante révèle que les cyberattaques liées au conflit entre la Russie et l'Ukraine n'ont eu qu'un impact mineur en dehors du cyberespace associé au théâtre d'opérations de ce conflit. Nous nous penchons ensuite sur la nouvelle boîte à outils EvilProxy de type « phishing-as-a-service » (PhaaS), actuellement présentée sur la scène criminelle comme un nouveau moyen permettant aux acteurs malveillants de contourner l’authentification à deux facteurs (2FA). Nous partageons également un rapport récent de BlackBerry concernant une nouvelle opération de rançongiciel baptisée « Monti ».
1. L'impact des cyberattaques offensives liées à la Russie et à l'Ukraine
Une nouvelle étude de l' révèle (s'ouvre dans un nouvel onglet) que les cyberattaques liées au conflit entre la Russie et l'Ukraine n'ont eu qu'un impact mineur en dehors du théâtre d'opérations et qu'il est peu probable qu'elles s'intensifient davantage.
Cette étude porte principalement sur les activités de la scène clandestine de la cybercriminalité (hacktivistes, réseaux criminels, groupes spécialisés dans les ransomwares, etc.), bien que l'on puisse en tirer des conclusions valables également pour les acteurs malveillants de premier plan.
Des chercheurs de l’ , de l’université de Cambridge, de l’université d’Édimbourg et de l’université de Strathclyde ont analysé les données (s’ouvre dans un nouvel onglet)recueillies au cours des deux mois précédant et des quatre mois suivant le début des opérations militaires russes en Ukraine. Ils ont analysé 281 000 attaques de défacement de sites web, 1,7 millions d'attaques par déni de service distribué (DDoS) et des centaines d'annonces publiées sur Telegram, utilisées par les pirates informatiques pour coordonner leurs activités.
Ce que les chercheurs avaient prédit
Au départ, les cyberactivités hostiles entre les deux pays semblaient correspondre aux prévisions des experts du secteur. La Russie a été la première à subir une attaque de grande ampleur, suivie par l'Ukraine quelques jours plus tard. Cependant, en l'espace d'environ deux semaines, les cyberattaques avaient retrouvé ce que les chercheurs qualifient de « niveaux d'avant le conflit ».
C'est là que les données deviennent vraiment intéressantes. Les informations suivantes, issues de cette étude, mettent en évidence les divergences entre ce que les acteurs du secteur s'attendaient à observer au cours de ce conflit et ce qui s'est réellement produit.
Au début du conflit, le consensus général au sein du secteur était que le principal risque cybernétique lié à ce conflit résidait dans la menace d’attaques sophistiquées et destructrices visant les infrastructures critiques sur lesquelles reposent les deux nations. Les experts du secteur n’ont pas tardé à prédire que la Russie ferait preuve de ses capacités en matière de piratage informatique, en déployant contre les infrastructures critiques ukrainiennes ses groupes notoires d’attaques persistantes avancées (APT), soutenus par les services de renseignement de l’État et de l’armée et liés au GRU, au FSB et au SVR, tels que les groupes APT29 ou APT28. Ces deux acteurs sont réputés pour leur sophistication et leurs outils de pointe.
Mais la principale préoccupation, telle qu’exprimée par le FBI, la CISA et reprise en chœur par une multitude d’experts du secteur de la cybersécurité, concernait les retombées d’ (s’ouvre dans un nouvel onglet) – terme utilisé pour décrire le risque que des logiciels malveillants destructeurs ou des cyberopérations hostiles échappent au théâtre d’opérations d’Europe de l’Est et atteignent des cibles occidentales, soit par accident, soit en représailles aux sanctions ou autres mesures punitives imposées à la Russie en raison de son attitude jugée belliqueuse envers une nation alliée des États-Unis.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Pour CTI, les conclusions de cette étude constituent un microcosme du conflit russo-ukrainien et des cyberactivités qui l'accompagnent. » Le cyberespace associé à ce théâtre d'opérations s'apparente clairement à une sorte de « Far West », où des hacktivistes et des cybercriminels de bas étage testent de nouvelles techniques d'attaque et choisissent leurs cibles pour le plaisir, pour le défi qu'elles représentent, ou par pur ennui. De même, les groupes APT soutenus par des États et actifs dans ce conflit semblent s'en être servis comme d'une sorte de terrain d'essai pour de nouveaux outils et de nouvelles tactiques. « Nous pouvons nous estimer chanceux de n’avoir, pour l’instant, constaté que peu (voire aucun) des effets d’entraînement tant redoutés dont nos agences de cybersécurité nous avaient mis en garde. »
« Bien sûr, compte tenu du niveau de sophistication et de l’importance accordée à la sécurité opérationnelle (OPSEC) qui caractérisent certains des groupes qui opèrent sans doute en coulisses dans ce dossier (APT29, APT28, etc.), nous ne serions pas surpris de ne pas avoir connaissance d’incidents connexes au cours des prochains mois. »
2. La nouvelle boîte à outils « phishing-as-a-service » EvilProxy permet aux cybercriminels de contourner 2FA mesures de sécurité
Un rapport récent de la société de cybersécurité Resecurity, Inc. révèle l’existence d’une nouvelle boîte à outils de « phishing-as-a-service » (PhaaS), baptisée « EvilProxy » (s’ouvre dans un nouvel onglet), qui est proposée sur le marché noir comme un moyen permettant aux cybercriminels de contourner la norme 2FA. Ce service permet à des cybercriminels peu expérimentés de pirater des comptes en ligne qui seraient autrement bien protégés, en exploitant des méthodes de proxy inverse et d'injection de cookies pour contourner la norme 2FA.
Qu'est-ce qu'EvilProxy ?
EvilProxy, également connu sous le nom de Moloch selon certaines sources, a été découvert et présenté sur le dark web comme un nouveau PhaaS.
La première mention d'EvilProxy a été détectée sur mai 2022 lorsque ses opérateurs ont publié une vidéo de démonstration expliquant en détail comment cet outil pouvait être utilisé pour diffuser des liens de phishing sophistiqués , dans le but de pirater les comptes de consommateurs appartenant à de grandes marques telles qu'Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex et bien d'autres. EvilProxy prend également en charge les attaques de phishing visant PyPI, ce qui est une coïncidence assez frappante compte tenu de la première attaque de phishing connue sur PyPI, (s'ouvre dans un nouvel onglet), survenue tout juste la semaine dernière.
EvilProxy repose sur le principe du « proxy inverse », qui utilise un proxy inverse de type (s'ouvre dans un nouvel onglet) pour récupérer l'ensemble du contenu légitime qu'un utilisateur s'attendrait à voir, comme les pages de connexion, tout en analysant le trafic au fur et à mesure qu'il transite par le proxy. Plus précisément, un proxy inverse est un serveur qui se situe entre la victime et un point de terminaison légitime, tel que le formulaire de connexion d'une entreprise. Lorsque la victime tente de se connecter à une page de hameçonnage, le proxy inverse affiche le formulaire de connexion légitime ; lorsque la victime saisit ses identifiants sur la page de hameçonnage, elle est redirigée vers le serveur de la plateforme réelle. Cependant, comme le serveur proxy se trouve au milieu, il peut également intercepter le cookie de session contenant le jeton d'authentification. Le cookie d'authentification peut alors être utilisé par l'acteur malveillant pour se connecter au site en se faisant passer pour l'utilisateur, contournant ainsi les protections de l'authentification multifactorielle (MFA).
Une fois l'activation effectuée, l'opérateur sera invité à fournir ses identifiants SSH afin de procéder au déploiement d'un conteneur Docker et d'un ensemble de scripts. Cette approche a également été utilisée dans un autre service PhaaS appelé « Frappo », qui a été identifié par Resecurity cette année. Une fois déployés, les scripts redirigeront le trafic provenant des victimes via 2 passerelles définies comme « en amont ».
Techniques anti-détection
Les auteurs de l'attaque derrière EvilProxy ont recours à plusieurs techniques pour empêcher la détection de leur boîte à outils PhaaS. À l'instar des solutions de prévention de la fraude et de veille sur les cybermenaces, ils collectent des données sur les services VPN, les proxys, les nœuds de sortie TOR et d'autres hôtes connus susceptibles d'être utilisés pour l'analyse de la réputation IP. S'ils soupçonnent la présence d'un bot ou d'un chercheur, ils interrompent la connexion ou la redirigent vers un hôte spécifique. EvilProxy fait également preuve de rigueur lorsqu'il s'agit de détecter d'éventuelles machines virtuelles, généralement utilisées par les analystes en sécurité pour étudier les contenus malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les opérateurs derrière EvilProxy semblent prendre plusieurs mesures supplémentaires pour s’assurer que cette boîte à outils bénéficie d’une portée étendue et efficace. » Pour commencer, le nombre de vidéos pédagogiques mises à disposition par les auteurs de la menace est impressionnant. Beaucoup d’entre elles expliquent littéralement, étape par étape, les mesures que les pirates doivent prendre pour réussir à déployer EvilProxy. « Ces vidéos permettent aux cybercriminels, quel que soit leur niveau de sophistication, d'utiliser cette boîte à outils pour contourner l'authentification multifactorielle (MFA), et soulignent encore davantage à quel point il est facile de pénétrer dans le monde de la cybercriminalité. »
« Ce qui est particulièrement remarquable avec EvilProxy, c'est que ses exploitants sélectionnent rigoureusement les clients souhaitant acheter cette boîte à outils. » On ne sait pas exactement en quoi consiste ce processus de sélection, mais l’existence même d’un tel processus laisse supposer que certains acheteurs potentiels sont probablement écartés. CTI aimerait savoir quels éléments pourraient constituer des motifs de rejet… des antécédents judiciaires irrémédiables ? »
3. L'étrange affaire du rançongiciel « Monti » : un sosie bien réel
Un rapport récent intitulé « », rédigé par l'équipe d'intervention en cas d'incident de BlackBerry (s'ouvre dans un nouvel onglet) , décrit en détail une attaque menée par un groupe jusqu'alors inconnu se faisant appeler « Monti ». La plupart des indicateurs de compromission (IOC) identifiés lors de l'attaque Monti avaient également été observés dans des cas antérieurs liés au rançongiciel Conti.
Le groupe de ransomware Monti : aperçu général
Bien que les informations disponibles concernant le groupe de ransomware Monti soient limitées, les chercheurs de BlackBerry estiment que cet acteur malveillant a fait son apparition entre mai et juin 2022. Les chercheurs soupçonnent ce groupe d'avoir délibérément imité les TTP du groupe de ransomware Conti, plus connu, ainsi que bon nombre de ses outils et de sa charge utile de chiffrement. Les communications internes de Conti, les historiques de discussion, les guides de formation, le code source, etc. ont tous été divulgués publiquement (s'ouvre dans un nouvel onglet) au début de l'année. Cette fuite a en effet fourni aux cybercriminels de Monti (et probablement à de nombreux autres) un guide détaillé leur permettant de reproduire les attaques de Conti, réputées pour leur efficacité.
L'attaque par ransomware « Monti »
L'équipe d'intervention en cas d'incident de BlackBerry Security Services a été sollicitée en juillet pour mener une enquête technique sur un incident de sécurité lié à un rançongiciel. L'auteur de l'attaque aurait obtenu un accès initial en exploitant la célèbre vulnérabilité Log4Shell (CVE-2021-44228 (s'ouvre dans un nouvel onglet)) dans le système de virtualisation VMware Horizon du client, exposé à Internet.
Au moment où BlackBerry a été sollicité, l'auteur de la menace avait déjà chiffré 18 ordinateurs de bureau d'utilisateurs. L'auteur de l'attaque a également chiffré un cluster ESXi composé de trois serveurs, ce qui a eu des répercussions sur 21 serveurs virtualisés.
Après s'être introduit dans l'environnement de la victime, l'auteur de la menace a installé le navigateur Google Chrome et s'en est servi pour télécharger divers outils d'attaque. L'auteur de la menace a par ailleurs téléchargé et installé deux agents de surveillance et de maintenance à distance, à savoir AnyDesk et Action1. Ces agents ont été utilisés pour assurer la persistance et ont permis un accès à distance supplémentaire.
Les outils que l'attaquant a introduits dans l'environnement ont également servi à extraire les identifiants de la mémoire et à analyser le réseau. Le protocole RDP (Remote Desktop Protocol) intégré à Microsoft Windows a été utilisé pour se connecter à d'autres serveurs, accéder à des fichiers de données sur des partages réseau et, finalement, pour déployer la variante « Monti » du ransomware.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même si cette hypothèse n’est pas totalement à exclure, il n’existe aucune preuve concrète indiquant que Conti se soit rebaptisé Monti. » La mise à disposition publique du code source de Conti laisse penser que Monti se soit simplement appuyé sur ces informations pour créer son propre rançongiciel basé sur Conti.
Compte tenu du succès notoire de Conti, une véritable refonte de la marque Conti serait plus complexe que la simple réutilisation d'un code source divulgué, mais ce n'est là que notre humble avis. La réutilisation d'un grand nombre des TTP de Conti pourrait donner une longueur d'avance aux chercheurs en sécurité et aux responsables de la protection en matière d'alerte et de détection du ransomware Monti.
Si la réutilisation du code source de Conti peut s’avérer stratégique, celle de la note de rançon elle-même est étrange et presque ironique. Les demandes de rançon sont identiques, à l'exception de l'utilisation du nom « Monti » à la place de « Conti » et d'un domaine « onion » différent. Le corps du message précise encore : « Si vous ne savez pas qui nous sommes, il suffit de chercher sur Google », ce qui n'a pas vraiment de sens étant donné que Monti est une nouvelle marque et que les résultats de recherche sur Google la concernant sont pour l'instant très limités. »
Consultez nos derniers résumés d' sur les cybermenaces :. Ou bien lancez-vous et essayez la solution « Converged Endpoint Management (XEM) » d’ , proposée par Tanium.
