Cette semaine, CTI examine les raisons pour lesquelles le cadre de commande et de contrôle Sliver (C2) connaît un succès croissant auprès des cybercriminels, en tant qu'alternative open source à des outils tels que Cobalt Strike et Metasploit. Nous allons maintenant examiner en détail les dernières évolutions d'Emotet. Le rapport présente également un aperçu d'une opération au cours de laquelle un acteur malveillant soupçonné d'être lié à la Chine a exploité une vulnérabilité récemment corrigée dans le SSL-VPN FortiOS de Fortinet, utilisant ce bug comme une faille « zero-day » dans le cadre d'attaques visant une entité gouvernementale européenne et un fournisseur de services gérés (MSP) situé en Afrique.
1. Les cybercriminels se tournent vers Sliver, une alternative open source aux frameworks C2 les plus courants
Sliver est un outil utilisé par les professionnels de la sécurité dans le cadre d'opérations de « red team » pour contrôler à distance les machines compromises lors d'évaluations de sécurité. Il s'agit d'un framework d'exploitation post-intrusion multiplateforme basé sur Golang, comparable à Cobalt Strike et Metasploit.
Selon un nouveau rapport de Cybereason publié sur , intitulé « » (s'ouvre dans un nouvel onglet), Sliver connaît un succès croissant auprès des cybercriminels, principalement parce qu'il s'agit d'un outil open source, modulaire et multiplateforme (OS X, Linux et Windows), ce qui le rend à la fois flexible et pratique. Ce framework prend en charge bon nombre des fonctionnalités essentielles nécessaires à la simulation d'adversaires, telles que la génération dynamique de code, l'obfuscation à la compilation, le mode multijoueur, et bien d'autres encore.
L'écosystème Sliver C2 se compose de quatre éléments principaux. Il comprend une console serveur qui sert d'interface principale, un serveur C2 , une console client et un implant qui fait office de code malveillant s'exécutant sur un système cible.
Acteurs malveillants utilisant actuellement Sliver C2
APT29/Ourson douillet
Le variant APT29, associé à la Russie, a été détecté par plusieurs organisations différentes ; il utilise Sliver C2 pour assurer sa persistance sur un réseau compromis. Un rapport du Centre national de cybersécurité (s'ouvre dans un nouvel onglet) (NCSC) indique que l'utilisation de Sliver constituait probablement une tentative visant à conserver l'accès à un certain nombre de victimes.
TA551
Proofpoint a identifié des e-mails (s'ouvre dans un nouvel onglet) contenant des pièces jointes Microsoft Office dotées de macros qui ont conduit au déploiement du framework Sliver C2 . Dans ce cas précis, Sliver a été chargé après le vecteur d'infection initial, contrairement aux TA551 cas observés précédemment.
Lys exotique
, de Cybereason, avait précédemment fait état, sur (s'ouvre dans un nouvel onglet),et , d'infections par le chargeur BumbleBee qui ont conduit au déploiement d'un framework C2 . On a constaté qu'« Exotic Lily » diffusait un chargeur malveillant de type « BumbleBee », ce qui a finalement conduit au déploiement de Sliver C2.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Sliver est utilisé à des fins malveillantes par des acteurs malveillants depuis sa sortie en 2020 et continue de gagner en popularité au sein de la communauté cybercriminelle. »
« Bien que Sliver soit un framework impressionnant (ce qui explique pourquoi les cybercriminels l'utilisent activement), ce n'est pas le seul framework open source exploité par ces derniers. » Empire est un autre framework C2 qui gagne en popularité grâce à la vaste gamme de fonctionnalités qu'il offre et aux attaques qu'il permet de mener. All of this to say – open-source C2 frameworks likely aren’t going anywhere when it comes to cybercrime.”
2. Le logiciel malveillant Emotet fait son retour avec de nouvelles techniques de contournement
Un article de blog intitulé « » (s'ouvre dans un nouvel onglet), rédigé par l'équipe Recherche et Renseignement de BlackBerry, analyse en détail la dernière vague d'e-mails Emotet, qui utilise une nouvelle méthode pour inciter les utilisateurs à autoriser les macros afin de télécharger le dropper.
Parmi les derniers ajouts à l'arsenal d'Emotet figurent un vecteur de propagation ciblant les PME, destiné à faciliter les mouvements latéraux, ainsi qu'un programme de vol de données de cartes bancaires qui cible les navigateurs Chrome.
À propos du logiciel malveillant Emotet
Emotet est un cheval de Troie qui se propage principalement par le biais de courriers indésirables. À l'origine, il s'agissait d'un cheval de Troie bancaire, mais il est désormais principalement considéré comme une « infrastructure en tant que service » et utilisé comme dropper pour la diffusion de logiciels malveillants tels que TrickBot, le ransomware Ryuk et Qbot.
Le FBI a collaboré avec des services de police étrangers et des partenaires du secteur privé dans le cadre d'une opération coordonnée visant à démanteler le réseau Emotet au début de l'année 2021. Afin de perturber le fonctionnement de l'infrastructure d'Emotet, les forces de l'ordre en ont pris le contrôle et l'ont démantelée de l'intérieur. Cependant, la perturbation de l'infrastructure d'Emotet n'a pas suffi à mettre fin aux activités de ce logiciel malveillant. Emotet a refait son apparition dans le paysage des menaces et s'est hissé en tête du classement de Proofpoint des acteurs les plus actifs, diffusant des milliers d'e-mails par jour.
La boîte à outils d’Emotet ne cesse de s’enrichir
Emotet n'a cessé d'évoluer depuis sa création. Il peut désormais héberger toute une série de modules, chacun étant utilisé pour différents aspects du vol d'informations, qui transmettent ensuite ces données aux serveurs C2 .
On a également constaté qu’Emotet injectait des modules personnalisés dans des logiciels gratuits facilement accessibles et les modifiait au fil des ans. Par exemple, un module récemment ajouté cible le navigateur Google Chrome afin de dérober les informations de carte bancaire enregistrées. Un autre module récemment ajouté est un module de propagation SMB (Server Message Block), qui permet le déplacement latéral.
Pour charger certains modules déjà utilisés, Emotet recourt également à une technique d'injection appelée « Heaven’s Gate ». Il s'agit d'une méthode tristement célèbre utilisée par les logiciels malveillants pour contourner les hooks API de Windows Windows64 (WoW64) en injectant des processus malveillants de 32 bits dans des processus de 64 bits. Par le biais de « Heaven’s Gate », les chargeurs Emotet utilisent la technique dite du « process hollowing » pour suspendre un processus légitime, puis remapper son image avec du code malveillant. Ce code malveillant s'exécute ensuite à partir du processus désormais vidé de son contenu pour charger des modules.
Le volet « ingénierie sociale » d’Emotet
L'été dernier, Microsoft a décidé de désactiver les macros par défaut, obligeant ainsi l'utilisateur à les activer à chaque fois. La dernière vague de spams Emotet contient des fichiers .xls en pièce jointe qui incitent les utilisateurs à autoriser ces macros afin de télécharger le dropper.
- Lorsqu'un utilisateur télécharge un fichier .xls à partir d'un e-mail, le vecteur d'infection dépend entièrement de l'activation des macros par l'utilisateur, ce qui permet l'installation du dropper Emotet. Pour ce faire, Emotet recourt à l'ingénierie sociale afin de convaincre les utilisateurs de compromettre, en quelque sorte, leur propre ordinateur.
- Dans cette nouvelle campagne, il est demandé aux utilisateurs de déplacer le fichier qu'ils viennent de télécharger dans le dossier « Modèles » d'Excel. Ce dossier étant automatiquement considéré comme fiable par Microsoft, tout fichier exécuté à partir de cet emplacement est ignoré par la fonctionnalité « Mode protégé », ce qui permet aux macros de s'exécuter sans problème.
- Lorsque les macros sont exécutées, elles se connectent à Internet pour télécharger et exécuter le logiciel malveillant Emotet. Le dropper Emotet est téléchargé dans un dossier généré aléatoirement sous la forme d'un fichier .dll et se voit attribuer un nom généré aléatoirement. Emotet s'exécutera alors en arrière-plan et se connectera au serveur C2 pour télécharger d'autres logiciels malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Chaque fois qu’Emotet refait surface dans l’actualité, il semble encore plus sophistiqué que la fois précédente. » Cette campagne en particulier illustre parfaitement la manière dont les auteurs de menaces s'adaptent face aux tentatives visant à les entraver. Dans ce cas précis, Microsoft a décidé de bloquer les macros par défaut, et Emotet s'est dit : « Ce n'est pas grave, nous nous lancerons simplement à partir d'un dossier qui contourne ce mode de protection. »
« La réponse d’Emotet à la décision de Microsoft repose exclusivement sur l’ingénierie sociale pour convaincre un utilisateur de copier le fichier malveillant dans un emplacement où les macros pourront s’exécuter sans entrave. » « L'ingénierie sociale fonctionne toujours, et Emotet en est une nouvelle preuve. »
3. Des pirates informatiques chinois exploitent une faille de Fortinet et utilisent une vulnérabilité « 0-day » pour diffuser des logiciels malveillants
Selon Mandiant, un acteur malveillant soupçonné d’avoir des liens avec la Chine a réussi à exploiter une vulnérabilité récemment corrigée dans Fortinet FortiOS SSL-VPN (s’ouvre dans un nouvel onglet), et a utilisé cette faille comme une attaque « zero-day » dans le cadre d’attaques visant une entité gouvernementale européenne et un MSP en Afrique.
Qu'est-ce que le CVE-2022-42475 ?
Le 12 décembre 2022, Fortinet a publié un avis PSIRT et a informé les clients susceptibles d’être affectés par la vulnérabilité « CVE-2022-42475 » (s’ouvre dans un nouvel onglet) et son exploitation par des acteurs malveillants soutenus par des États.
La vulnérabilité CVE-2022-42475 est décrite comme une vulnérabilité de type « débordement de tampon » liée à la mémoire dynamique dans FortiOS SSL-VPN. Cette faille pourrait permettre à un attaquant distant non autorisé d'exécuter du code ou des commandes arbitraires à l'aide de requêtes spécialement conçues.
Fortinet fait état d'au moins un cas où cette vulnérabilité a été exploitée en conditions réelles. Le PSIRT recommande vivement aux utilisateurs du VPN SSL FortiOS de procéder immédiatement à des contrôles de vulnérabilité en analysant leurs systèmes et en les comparant à la liste exhaustive d'indicateurs de compromission (IOC) fournie par le PSIRT.
Les indicateurs de compromission (IOC) comprennent la présence d'entrées spécifiques dans les journaux, ainsi que la présence de plusieurs artefacts au sein des systèmes de fichiers des appareils affectés, et des connexions sortantes vers l'une quelconque des adresses IP suspectes fournies par Fortiguard.
L'exploitation
L'exploitation de la vulnérabilité CVE-2022-42475 par un acteur malveillant soupçonné d'avoir des liens avec la Chine a eu lieu dès le octobre 2022, soit au moins près de deux mois avant la publication des correctifs.
Mandiant ne prétend pas avoir directement constaté l'exploitation de la vulnérabilité CVE-2022-42475, mais des échantillons de la variante Linux de BOLDMOVE contenaient une adresse IP C2 codée en dur qui a été répertoriée par Fortinet comme étant impliquée dans l'exploitation de cette faille de sécurité. Mandiant y voit un indice de l'exploitation de la vulnérabilité CVE-2022-42475 dans le but de diffuser le logiciel malveillant de type « porte dérobée » BOLDMOVE.
Le logiciel malveillant qui a finalement été diffusé à la suite de cette activité — identifié sous le nom de « BOLDMOVE » par Mandiant — est décrit par cette société de renseignement comme une nouvelle souche comportant à la fois une variante Windows et une variante Linux, spécialement conçue pour s'exécuter sur les pare-feu FortiGate. C'est en décembre 2022 que Mandiant a découvert pour la première fois la porte dérobée BOLDMOVE.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette opération rappelle aux responsables de la sécurité les vulnérabilités et les lacunes en matière de visibilité auxquelles les organisations sont constamment confrontées lorsqu’elles doivent gérer des réseaux et des services à distance. » « En raison des contraintes liées aux configurations des appareils nécessaires à cette fin, il est également difficile de mesurer l'ampleur et la portée des activités malveillantes résultant de l'exploitation d'équipements réseau exposés au public. »
« La difficulté inhérente à la détection des processus malveillants ou à la mise en œuvre de recherches proactives sur les appareils gérés a pour effet, en substance, de créer des angles morts au niveau du périmètre des réseaux ciblés. »
Restez informé des dernières actualités en matière de renseignements sur les cybermenaces en consultant notre bibliothèque de rapports de synthèse.
