Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium passe en revue certaines des principales évolutions en matière de cybersécurité identifiées par 2023 qui continuent de représenter des menaces en ce début d'année.
Pour commencer, CTI traite de « Chae$ 4 », la dernière variante du malware « Chaes » : (s'ouvre dans un nouvel onglet). CTI se penche ensuite sur le nouveau groupe « 03 H », qui cible désormais des entreprises internationales. Le CTI fournit également des informations actualisées sur le logiciel malveillant DarkGate et le groupe APT nord-coréen Andariel.
1. Le Chae$ 4 menace les secteurs de la finance et de la logistique
Les entreprises du secteur financier et de la logistique sont désormais exposées à Chae$ 4, une nouvelle variante du logiciel malveillant Chaes qui utilise un protocole Chrome DevTools personnalisé pour accéder aux fonctions du navigateur et voler des données. À ce jour, le groupe « Chae$ 4 » a pris pour cible (s'ouvre dans un nouvel onglet) les clients de banques et de plateformes telles que Mercado Libre, WhatsApp Web, Mercado Pago, la banque Itaú, MetaMask et la banque Caixa. Il a également pris pour cible des services de gestion de contenu tels que WordPress, Magento, Drupal et Joomla.
La version Chae$ 4 présente plusieurs améliorations par rapport à la menace originale du logiciel malveillant Chaes, notamment une architecture de code optimisée, une modularité améliorée, un chiffrement supplémentaire et des capacités de dissimulation. Cette variante a également été portée sur Python et utilise les WebSockets pour faciliter la communication entre le serveur C2 et ses modules.
Comment fonctionne Chae$ 4 ?
Selon Morphisec, une infection de type « Chae$ 4 » (s'ouvre dans un nouvel onglet) commence par l'exécution d'un programme d'installation MSI malveillant qui se fait passer pour un programme d'installation de JAVA JDE ou d'un antivirus. L'activation du programme d'installation malveillant permet au logiciel malveillant de se déployer et de télécharger ses fichiers dans un dossier dédié et codé en dur situé dans %Appdata%/. Ce dossier contient des bibliothèques Python, des fichiers exécutables et des scripts Python. Le logiciel malveillant décompresse également un module central appelé ChaesCore. Une fois l'initialisation terminée, ChaesCore continue de communiquer avec l'adresse C2 afin d'accéder aux modules externes et de les charger dans son système cible.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le logiciel malveillant Chaes existe depuis au moins novembre 2020. Cette dernière variante comporte de nombreuses améliorations, ainsi que des programmes d'installation MSI trompeurs qui permettent au logiciel malveillant de mener à bien des infections en plusieurs étapes.
La variante Chae$ 4 , basée sur Python, représente une menace importante pour les entreprises du secteur de la logistique et du secteur bancaire, en raison de sa capacité à contourner les mécanismes de défense traditionnels. Les entreprises de ces secteurs doivent rester en état d'alerte maximale.
2. Le ransomware « 03 H » continue de se propager
En septembre dernier, CTI avait mis en garde contre une nouvelle famille de logiciels malveillants appelée « » : 03 H (s'ouvre dans un nouvel onglet) — un exécutable Rust 64 bits capable de perturber des services, de chiffrer des fichiers et de supprimer des copies fantômes de volume. Les auteurs de la menace « 03 H » semblent utiliser ce nouveau ransomware de manière sélective, ce qui explique pourquoi on n'a observé qu'une poignée d'attaques à ce jour.
Parmi les exemples récents de ransomware de type « 03 H », on peut citer les attaques menées contre Woodruff Enterprises et Share & Harris LLC. Ces attaques ont entraîné le chiffrement et le clonage de données internes importantes. Après avoir pris le contrôle des ressources, le groupe « 03 H » a exigé le versement d'une rançon et a menacé de divulguer des informations au grand public. Le groupe « 03 H » a également ciblé DS Granit, une entreprise basée en France spécialisée dans la fourniture et la pose de surfaces en granit, en quartz et en céramique.
Qui est le groupe de ransomware « 03 H » ?
Symantec a découvert le ransomware « 03 H » (s'ouvre dans un nouvel onglet) en 2023 , à la suite d'un incident au cours duquel un affilié a déployé ce ransomware après une tentative infructueuse de déploiement de LockBit. Le nom « 03 H » provient de références figurant dans la note de rançon du groupe et du fait que l’attaque ajoute l’extension « .threeamtime » aux fichiers chiffrés.
À ce stade, on dispose encore de peu d'informations concernant 03 H et ses opérateurs. 03 H semble constituer un plan de secours en cas d'échec des attaques menées par LockBit. Toutefois, des recherches supplémentaires sont nécessaires pour parvenir à une conclusion.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le rapport initial de CTI sur le ransomware « 03 H » prévoyait que d'autres attaques de type « 03 H » allaient probablement se produire prochainement. Quelques mois plus tard, comme on pouvait s'y attendre, de nouveaux cas de malwares de type « 03 H » commencent à faire surface. CTI continuera à suivre de près cette évolution de la tendance en matière de ransomware au cours des prochains mois.
3. BattleRoyal déploie DarkGate et NetSupport
Les chercheurs de Proofpoint surveillent un nouvel opérateur du malware DarkGate, (s'ouvre dans un nouvel onglet) , surnommé BattleRoyal. Selon Proofpoint, BattleRoyal a déployé le logiciel malveillant DarkGate dans au moins 20 campagnes d'e-mails entre septembre et novembre 2023. Ce groupe a envoyé des dizaines de milliers d'e-mails et a ciblé des dizaines de secteurs d'activité aux États-Unis et au Canada.
Vers la fin du mois de novembre, BattleRoyal s'est tourné vers NetSupport (s'ouvre dans un nouvel onglet), un outil d'accès à distance, afin d'assurer la persistance sur les terminaux. BattleRoyal utilise désormais une combinaison d'e-mails, de sites web piratés et de fausses mises à jour pour inciter les victimes à télécharger des logiciels malveillants.
Comme l'explique Proofpoint, les raisons de ce passage de DarkGate à NetSupport restent floues. Toutefois, ce revirement pourrait s’expliquer par la montée en popularité de DarkGate, qui attire de plus en plus l’attention des chercheurs spécialisés dans les menaces et des professionnels de la sécurité.
BattleRoyal exploite une faille de sécurité de SmartScreen
Proofpoint a découvert que BattleRoyal exploitait massivement une vulnérabilité référencée sous le numéro CVE-2023-36025 pour diffuser des logiciels malveillants avant que Microsoft ne corrige ce problème en novembre.
Cette faille se trouve dans Windows SmartScreen, une fonctionnalité de sécurité qui empêche les utilisateurs d'accéder à des sites Web malveillants. Cette vulnérabilité permet à un pirate de contourner les protections SmartScreen en incitant un utilisateur à cliquer sur un fichier .URL personnalisé ou sur un lien hypertexte menant à un fichier .URL.
La campagne de DarkGate Teams cible les entreprises
DarkGate est l'un des chevaux de Troie d'accès à distance (RAT) les plus répandus sur le marché, et les cybercriminels y ont de plus en plus souvent recours pour cibler des organisations.
Dans un cas particulièrement médiatisé, des acteurs malveillants ont été observés à plusieurs reprises en train de cibler Microsoft Teams à l'aide du chargeur DarkGate (s'ouvre dans un nouvel onglet). Les auteurs ont envoyé des messages de discussion compromis vers des comptes Office 365 externes. Ils ont également eu recours à des techniques d'ingénierie sociale pour inciter les victimes à télécharger et à ouvrir des fichiers malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce qu'il faut retenir ici, c'est que BattleRoyal s'appuie à la fois sur DarkGate et sur NetSupport pour cibler ses victimes. BattleRoyal utilise NetSupport pour contrôler les hôtes, installer des logiciels malveillants et se déplacer latéralement au sein des environnements compromis (s'ouvre dans un nouvel onglet) et utilise DarkGate pour télécharger des charges utiles malveillantes et voler des informations.
Les chercheurs en sécurité s'attendent à ce que les déploiements de DarkGate et de NetSupport s'accélèrent dans les mois à venir, ce qui en fait une menace importante à surveiller de près. De plus, le passage récent de DarkGate à NetSupport laisse entrevoir la possibilité que cet acteur adopte une nouvelle charge utile à l'avenir.
4. Andariel dérobe des secrets de défense sud-coréens
Selon un nouveau rapport, , le groupe APT nord-coréen Andariel (s'ouvre dans un nouvel onglet) aurait dérobé environ 1,2 téraoctets de données en piratant des dizaines d'entreprises sud-coréennes du secteur de la défense. Le groupe APT Andariel a également transféré environ 360 000 dollars en bitcoins à titre de rançon vers la Corée du Nord.
L'Agence métropolitaine de Séoul chargée des politiques affirme qu'entre le décembre 2022 et le mars 2023, Andariel a accédé à 83 reprises à des entreprises sud-coréennes depuis le quartier de Ryugyong-dong à Pyongyang, par l'intermédiaire de services d'hébergement qui louent des serveurs à des clients non identifiés. Le Bureau d'enquête sur la sécurité de la Corée du Sud mène actuellement une enquête sur cette affaire, en collaboration avec le Federal Bureau of Investigation (FBI) américain.
Selon le Korea Times, la Corée du Nord diversifie actuellement ses tactiques en matière de cybercriminalité en raison de la chute de la valeur des cryptomonnaies et des hausses des taux d'intérêt américains. La Corée du Nord compte également sur les plateformes d'échange russes pour liquider ses cryptomonnaies.
Le groupe Andariel : un APT redoutable
Andariel — une branche du groupe nord-coréen Lazarus — fait preuve d’une sophistication croissante et cible divers secteurs, notamment les organismes gouvernementaux étrangers, les services financiers et les agences de défense, entre autres.
Ce groupe utilise divers outils pour mener des attaques contre ses cibles. Par exemple, on a récemment constaté qu’Andariel utilisait un cheval de Troie d’accès à distance de type « » jusqu’alors inconnu, appelé EarlyRAT (s’ouvre dans un nouvel onglet). En 2022, Andariel a utilisé EarlyRAT lors d'une série de cyberattaques qui exploitaient la vulnérabilité d' Log4j Log4Shell (s'ouvre dans un nouvel onglet).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme l’explique l’ e de Mandiant dans un article intitulé « » (s’ouvre dans un nouvel onglet), le régime nord-coréen est déterminé à poursuivre le développement de son programme offensif et à recourir à des cyberintrusions pour mener des activités d’espionnage et commettre des délits financiers. La capacité de ces groupes à mener des opérations de cyberespionnage tout en menant simultanément des campagnes de cybercriminalité à des fins financières en fait une menace plus complexe et plus nuancée.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
