Dans le tour d'horizon de cette semaine, CTI se penche sur un acteur malveillant connu sous le nom de ToddyCat, qui a été observé en train d'exploiter des connexions simultanées vers les environnements des victimes afin de maintenir sa persistance et de voler des données à grande échelle. Par la suite, CTI mène une enquête sur un acteur malveillant nord-coréen qui pourrait avoir des liens avec Kimsuky. Enfin, CTI explique comment le groupe russe « APT28 » exploite une ancienne vulnérabilité du spouleur d'impression de Windows pour déployer un outil de piratage jusqu'alors inconnu, baptisé « GooseEgg ».
1. ToddyCat utilise des outils sophistiqués pour le vol de données à grande échelle
Un acteur malveillant connu sous le nom de ToddyCat a récemment été observé en train d'exploiter des connexions simultanées aux environnements des victimes afin de maintenir sa persistance et de voler des données.
Cette campagne utilise plusieurs outils différents, dont bon nombre constituent une nouveauté pour l'acteur malveillant « ToddyCat » . Des chercheurs ont analysé en détail la liste des outils utilisés par l'acteur malveillant dans cette dernière campagne.
Les outils de tunneling de trafic de ToddyCat
ToddyCat disposait de plusieurs tunnels vers l'infrastructure infectée, chacun mis en place à l'aide d'outils différents afin de garantir la persistance dans l'environnement même si l'un des tunnels venait à être désactivé. Cet accès permanent à l'infrastructure a permis à l'acteur de mener des opérations de reconnaissance agressives.
- Tunnel SSH inversé : On a constaté que ToddyCat utilisait un tunnel SSH inversé pour accéder à des services distants.
- SoftEther VPN : ToddyCat a également utilisé l'utilitaire serveur fourni avec le pack SoftEther VPN pour établir un tunnel. Dans la plupart des cas, l'auteur a renommé le fichier exécutable du serveur VPN signé numériquement afin de dissimuler sa fonction au sein du système.
- Ngrok Agent et Krong : Dans certains cas, l'acteur a établi un tunnel vers un fournisseur de services cloud légitime pour accéder à l'infrastructure distante. Selon Kaspersky, Ngrok est « un agent léger capable de rediriger le trafic depuis les terminaux vers l'infrastructure cloud et inversement ». Ngrok a été installé sur plusieurs serveurs et utilisé pour rediriger le trafic C2 depuis l'infrastructure cloud vers un port spécifique sur ces serveurs. Le port indiqué était le même que celui sur lequel un autre outil, appelé Krong, est à l'écoute. Krong est un fichier DLL chargé en parallèle, signé numériquement par AVG TuneUp.
- Client FRP : Après avoir établi plusieurs tunnels à l'aide des méthodes susmentionnées, l'auteur de la menace a installé le client FRP. Ce client est un proxy inverse qui permet d'accéder depuis Internet à un serveur local situé derrière un NAT ou un pare-feu.
Outils de collecte de données
On a également constaté que ToddyCat utilisait divers outils de collecte de données, chacun ayant une finalité différente.
- Cuthead : Un nouvel outil permettant de rechercher des documents. Son nom a été déterminé à partir du champ « Description du fichier » de l'échantillon identifié par SecureList. Cet outil est compilé en .NET et recherche des fichiers pour les stocker dans une archive. Cet outil permet de rechercher des extensions de fichiers spécifiques ou des mots précis.
- WAExp : « » est un programme conçu pour voler des données sur WhatsApp. Il est écrit en .NET et vise à voler des données sur la version Web de WhatsApp. La version Web stocke des données concernant un utilisateur, notamment les informations de profil, les données de discussion, les numéros de téléphone des interlocuteurs et les données relatives à la session en cours.
- TomBerBil : L'acteur a également été surpris en train d'utiliser un outil appelé TomBerBil pour voler des mots de passe dans les navigateurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
ToddyCat a manifestement passé beaucoup de temps à réfléchir à la meilleure façon d'assurer la pérennité du système au sein d'un environnement, et a finalement opté pour l'utilisation de plusieurs tunnels au cas où l'un d'entre eux serait découvert et coupé.
Cette approche, associée à l'utilisation de plusieurs outils de collecte de données, nécessite davantage de maintenance et de charges générales. Mais cette approche peut s'avérer assez efficace, surtout si l'on y intègre des outils nouveaux ou personnalisés.
2. Des pirates informatiques utilisent les mises à jour d'eScan pour diffuser le logiciel malveillant GuptiMiner
Un acteur malveillant nord-coréen de type « » ( ), qui pourrait avoir des liens avec , le groupe APT « Kimsuky » , a été observé en train d'exploiter le mécanisme de mise à jour de l'antivirus eScan.
L'acteur malveillant s'est placé en position d'« adversaire intermédiaire » ( , AitM) afin de détourner et de remplacer le package de mise à jour légitime d'eScan. Cette attaque vise à installer des portes dérobées et à déployer des mineurs de cryptomonnaie via le logiciel malveillant GuptiMiner.
La chaîne de contamination
Cette chaîne d'infection commence lorsque eScan demande une mise à jour au serveur de mise à jour. Ce faisant, un attaquant de type « homme du milieu » intercepte et télécharge le fichier de mise à jour, puis le remplace par un fichier malveillant. eScan décompressera et chargera ensuite ce paquet, tandis qu'une DLL sera chargée par une méthode alternative afin de permettre la suite de la chaîne.
- Étape 0 – Processus d'installation : Les auteurs de cette campagne ont mené une attaque de type « man-in-the-middle » afin de télécharger un programme d'installation infecté sur l'appareil de la victime, à la place de la mise à jour légitime d'eScan. À l'heure actuelle, on dispose de peu d'informations sur la manière dont l'auteur de la menace a mené la phase « man-in-the-middle » de l'attaque.
- Étape 0,9 – Améliorations apportées à l'installation : Le processus d'installation a été perfectionné au fil du temps et diffère désormais considérablement de la version d'origine. Désormais, l'acteur malveillant utilise des tâches planifiées, des événements WMI, différentes étapes suivantes, désactive Windows Defender et installe des certificats sur Windows.
- Étape 1 – Chargeur PNG : Un fichier PE exécuté lors de l'étape 0 servira de dropper au cours de cette étape et des étapes suivantes en se connectant au serveur DNS malveillant de l'acteur malveillant. La réponse obtenue contient une URL chiffrée du véritable serveur C2 , auprès duquel le logiciel malveillant demandera une charge utile supplémentaire sous forme d'image PNG. Cette charge utile au format PNG contient un shellcode qui offre des fonctionnalités supplémentaires par la suite.
- Étape 2 – Chargeur Gzip : Il s'agit de l'étape la plus courte, au cours de laquelle le chargeur Gzip décompresse un autre shellcode via Gzip, puis l'exécute dans un thread distinct. Ce fil de discussion chargera la phase 3. Au cours des différentes opérations menées par GuptiMiner, le chargeur Gzip n'a pas été modifié.
- Étape 3 – « Puppeteer » : Cette étape est chargée de coordonner les principales fonctionnalités du logiciel malveillant, notamment l'extraction de cryptomonnaie et le déploiement de portes dérobées. Puppeteer surveillera le système toutes les 5 secondes pour détecter les processus en cours d'exécution et mettra fin à ceux-ci, notamment taskmgr, Autoruns, Wireshark, Wireshark-gtp et TCPView. Le logiciel malveillant vérifiera une clé de registre du serveur DNS afin de déterminer si la machine est un serveur Windows. Il récupérera ensuite le nombre d'ordinateurs affiliés au domaine et tentera de télécharger une charge utile supplémentaire sous forme de fichier PNG.
- Étape 4 – porte dérobée : GuptiMiner déploie deux types de portes dérobées. La première repose sur une version personnalisée de PuTTY et intègre des améliorations pour l'analyse SMB locale, afin de permettre un déplacement latéral. La deuxième porte dérobée est une porte dérobée modulaire qui commence par rechercher la présence de clés privées ou de portefeuilles cryptographiques stockés localement, puis injecte une porte dérobée modulaire sous la forme d'un shellcode.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet acteur malveillant fait preuve d'un haut niveau de sophistication, en s'appuyant sur toute une série d'étapes, de fonctions et d'outils jusqu'à la diffusion finale de la charge utile.
L'attaque se solde également par la diffusion de XMRig, ce qui, comme le souligne Avast, « est quelque peu inattendu pour une opération aussi bien ficelée », étant donné que ce logiciel est facilement détectable.
Les similitudes en matière d'infrastructure et de techniques, de tactiques et de procédures (TTP) avec le célèbre acteur « Kimsuky » ne font qu'accroître le niveau de cette menace.
3. APT28 exploite une faille du spouleur d'impression de Windows
Microsoft signale que le site Russian APT28 exploite une ancienne vulnérabilité du spouleur d'impression de Windows pour déployer un outil de piratage jusqu'alors inconnu, appelé GooseEgg.
On pense que le groupe « APT28 » utilise GooseEgg depuis au moins mi-2020 et, plus récemment, pour exploiter CVE-2022-38028. Ce logiciel malveillant sert à lancer des applications spécifiques depuis la ligne de commande avec des droits élevés, ce qui permet à l'auteur de l'attaque de mener diverses activités après avoir compromis le système.
APT28 : Une révision
APT28 — également répertorié sous le nom de « Forest Blizzard » par Microsoft — utilise souvent, dans le cadre de ses attaques, des failles de sécurité accessibles au public.
L'APT a été associée à la Direction générale du renseignement de l'état-major russe (GRU) et, à ce titre, mène des attaques axées sur la collecte de renseignements stratégiques. L'utilisation par l'acteur du logiciel malveillant GooseEgg constitue une nouvelle découverte.
Comment APT28 utilise GooseEgg
- APT28 utilise GooseEgg pour obtenir des privilèges élevés et voler des informations sur le système ciblé.
- Cet outil est utilisé une fois que l'on a obtenu un premier accès à l'appareil.
- On a constaté que GooseEgg était déployé à l'aide d'un script batch nommé soit « execute.bat », soit « doit.bat ».
- Le script créera un fichier contenant des commandes permettant de sauvegarder et de compresser les branches du registre. Ce fichier lancera l'exécutable GooseEgg et assurera la persistance via une tâche planifiée.
Analyse détaillée du fichier binaire GooseEgg
Le fichier binaire GooseEgg a porté plusieurs noms au cours de différentes attaques, notamment « justice.exe » et « DefragmentSrv.exe ».
Le fichier binaire peut accepter l'une des quatre commandes suivantes, chacune ayant un chemin d'exécution différent.
- La première commande renverra un code de retour personnalisé, puis se fermera.
- Les deux commandes suivantes déclencheront l'exploit et lanceront une DLL ou un fichier exécutable avec des privilèges élevés.
- La dernière commande permettra de tester l'exploit et de vérifier qu'il a bien abouti à l'aide de la commande « whoami ».
Selon Microsoft, le nom du fichier DLL malveillant intégré contient souvent l'expression « wayzgoose ». La DLL est déployée dans l'un des sous-répertoires d'installation situés sous C:\ProgramData, notamment ceux de Microsoft, Adobe, Comms, Intel, Kaspersky Lab, Bitdefender, ESET, NVIDIA, UbiSoft et Steam.
Un sous-répertoire dont le nom est une chaîne de caractères générée aléatoirement est également créé ; il servira de répertoire d'installation. Voici un exemple de ce répertoire créé : « C[:]\ProgramData\Adobe\v2,116,4405. » Des clés de registre sont ensuite créées pour enregistrer un nouveau CLSID.
L'exploit remplacera le lien vers le lecteur C: dans le gestionnaire d'objets afin qu'il pointe vers le répertoire créé précédemment. Ainsi, lorsque PrintSpooler tente de charger certains composants, il est redirigé vers le répertoire créé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'application rapide des correctifs constitue la meilleure défense contre le APT28. Cet acteur est connu pour exploiter les failles de sécurité assez rapidement après leur divulgation publique.
Au cours des derniers mois, on a pu observer que cet acteur exploitait notamment une faille de sécurité dans Microsoft Outlook (CVE-2023-23397) et une autre dans WinRAR (CVE-2023-38831), pour ne citer que quelques exemples. La capacité de ce groupe à intégrer des exploits publics dans ses attaques explique sans doute en partie pourquoi il a pu rester actif pendant plus d'une décennie.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
