En tête du résumé de cette semaine, CTI examine comment les acteurs malveillants utilisent de nouvelles variantes de logiciels malveillants Truebot pour cibler les organisations aux États-Unis et au Canada. Ensuite, CTI explore une campagne récente impliquant le groupe de menaces parrainé par l’État iranien Charming Kitten. La campagne met en évidence l’arsenal malveillant mis à jour de l’acteur malveillant et les nouveaux TTP, notamment son ciblage de nouveaux systèmes d’exploitation, y compris macOS. Enfin, CTI conclut avec une vue d’ensemble d’un rapport récent mettant en évidence une campagne d’hameçonnage en cours appelée SmugX.
1. CISA : une activité Truebot accrue infecte les réseaux basés aux États-Unis et au Canada
La Cybersecurity and Infrastructure Security Agency (CISA), le Federal Bureau of Investigation (FBI), le Multi-State Information Sharing and Analysis Center (MS-ISAC) et le Canadian Centre for Cyber Security (CCCS) ont publié un conseil conjoint en cybersécurité en réponse aux cybermenaces déployant de nouvelles variantes de logiciels malveillants TrueBot contre diverses organisations aux États-Unis et au Canada.
Qu’est-ce que TrueBot ?
TrueBot est un téléchargeur de logiciels malveillants qui a été lié à un gang cybercriminel russophone connu sous le nom de Silence. Il a été utilisé par des pirates appartenant au groupe de menaces TA505 (qui était également lié au groupe de cybercriminels FIN11 ) pour déployer CL0P rançongiciels.
D’après l’avis conjoint :
Truebot est un botnet qui a été utilisé par des groupes cyber malveillants tels que CL0P Ransomware Gang pour collecter et exfiltrer des informations auprès de ses victimes cibles... Les précédentes variantes de logiciels malveillants Truebot ont été principalement fournies par des acteurs de cybermenaces via des pièces jointes d’e-mails d’hameçonnage malveillants ; cependant, les versions plus récentes permettent également aux acteurs de cybermenaces d’obtenir un accès initial en exploitant CVE-2022-31199 — (une vulnérabilité d’exécution de code à distance dans l’application Netwrix Auditor), permettant le déploiement du logiciel malveillant à grande échelle dans l’environnement compromis.
CL0P a récemment été responsable de l’attaque massive de la chaîne d’approvisionnement zero-day MOVEit, ainsi que des attaques d’extorsion ultérieures qui continuent de cibler les utilisateurs en aval de l’application et de faire des ravages financiers aujourd’hui.
Résumé de l’activité
Selon le conseil conjoint, les organisations de création ont observé une augmentation du nombre d’acteurs malveillants déployant de nouvelles versions de Truebot depuis 31 May 2023.
Sur la base de rapports et d’analyses open source confirmés des variantes récentes de TrueBot, les auteurs du rapport évaluent que les acteurs malveillants livrent désormais de nouvelles variantes du logiciel malveillant via des campagnes d’hameçonnage comportant des hyperliens de redirection malveillants et l’exploitation de CVE-2022-3119.
Activité d’hameçonnage TrueBot
L’avis conjoint indique que les acteurs malveillants ont principalement utilisé les e-mails d’hameçonnage comme méthode de livraison préférée des logiciels malveillants TrueBot. Les e-mails tentent généralement d’inciter les destinataires à cliquer sur un lien hypertexte pour exécuter un logiciel malveillant, mais les chercheurs ont également observé des acteurs malveillants dissimulant des exécutables dans des pièces jointes d’e-mail déguisées en notifications légitimes de mise à jour logicielle.
Lorsque les utilisateurs interagissent avec l’exécutable, il les redirige vers des domaines malveillants et déclenche des scripts malveillants. L’avis conjoint souligne que Truebot peut se cacher dans un large éventail de formats de fichiers légitimes.
Exploitation de CVE-2022-3119
Bien que l’hameçonnage reste la plus populaire des deux méthodes de livraison Truebot abordées dans le conseil conjoint, les chercheurs ont également observé des acteurs malveillants modifier les tactiques et commencer à exploiter CVE-2022-3119 , une vulnérabilité d’exécution de code à distance dans Netwrix Auditor.
En exploitant cette vulnérabilité, les acteurs malveillants peuvent obtenir un accès initial et se déplacer latéralement dans des environnements compromis.
Qu’est-ce que FlawedGrace ?
Une fois le logiciel malveillant téléchargé, Truebot se renomme et télécharge le cheval de Troie d’accès à distance (RAT) FlawedGrace sur l’hôte infecté. FlawedGrace peut modifier le registre et les programmes du spouleur d’impression qui gèrent le flux de documents dans la file d’attente d’une imprimante. En manipulant ces deux fonctionnalités, FlawedGrace peut faire remonter les privilèges et obtenir une persistance.
Les charges utiles chiffrées sont stockées dans le registre pendant la phase d’ exécution de FlawedGrace. Il est également capable de créer des tâches planifiées et d’injecter des charges utiles dans msiexec.exe et svchost.exe. Chacun de ces processus aide FlawedGrace à faciliter un canal de communication de commande et de contrôle (C2), ainsi qu’à permettre au RAT de charger les DLL qui lui permettent d’obtenir une escalade de privilège.
Selon l’avis conjoint, les chercheurs ont également observé Truebot injecter des balises Cobalt Strike en mémoire, en mode dormant pendant les premières heures avant de commencer des opérations post-compromission supplémentaires.
Découverte, évasion de la défense
La première étape du processus d’ exécution de Truebot consiste à vérifier la version actuelle du système d’exploitation via RtlGetVersion et à analyser les attributs du processeur via GetNativeSystemInfo.
Dans ce qui semble faire partie d’une tendance de plus en plus courante dans l’industrie des logiciels malveillants de base, certaines variantes TrueBot sont fournies avec tout un tas de code de remplissage. Comme l’explique le conseil conjoint, l’ échantillon Truebot analysé a été mis en selle avec plus d’un gigaoctet de code indésirable conçu pour rendre les efforts de détection et d’analyse difficiles, voire impossibles dans certains cas.
Après avoir effectué les vérifications susmentionnées, Truebot peut énumérer tous les processus en cours d’exécution, collecter des données sensibles de l’hôte et transmettre ces données à un flux de données codé pour préparer le terrain pour l’exécution de la deuxième étape. Et en s’appuyant sur la nature des IOC associés à l’activité décrite dans les présentes, il semble que Truebot soit également capable de découvrir des protocoles de sécurité logicielle et des mesures relatives au temps système. Ces fonctionnalités sont probablement destinées à faciliter l’évasion de la défense, mais peuvent également être utiles pour permettre au logiciel malveillant de se synchroniser avec l’horloge interne d’un système compromis, ce qui facilite la planification précise des tâches.
À partir de l’avis conjoint :
Ensuite, il utilise une extension .JSONIP, (par ex., IgtyXEQuCEvAM.JSONIP), pour créer un identificateur unique global (GUID) de treize caractères, une chaîne de texte de 128 bits que Truebot utilise pour étiqueter et organiser les données qu’il collecte... Après avoir créé le GUID, Truebot compile et énumère les données de processus en cours d’exécution dans une chaîne encodée hexadécimale base64 ou unique... L’objectif principal de Truebot est d’identifier la présence d’outils de débogueur de sécurité. Cependant, la présence d’outils de débogueur identifiés ne modifie pas le processus d’ exécution de Truebot : les données sont compilées dans une chaîne codée base64 à des fins de suivi et d’évasion de défense.
Collecte et exfiltration des données
Après les étapes décrites ci-dessus, Truebot envoie l’ordinateur et le nom de domaine de l’hôte compromis, ainsi que le GUID nouvellement généré, à une URL codée en dur sous la forme d’une demande POST (comme observé dans la chaîne utilisateur-agent).
La demande POST initie et établit une connexion C2 capable de prendre en charge le trafic bidirectionnel. Une fois cette connexion établie, le logiciel malveillant exploite un deuxième domaine masqué à diverses fins, y compris, mais sans s’y limiter, le téléchargement de charges utiles supplémentaires, l’auto-réplication dans l’environnement et/ou la suppression des fichiers qui ont pris en charge l’opération jusqu’à ce stade.
Méthodes et outils de livraison supplémentaires
La liste suivante représente des vecteurs de livraison et des outils supplémentaires auxquels Truebot a été associé :
- Raspberry Robin (logiciel malveillant) : Raspberry Robin est un logiciel malveillant vermifuge avec des liens vers d’autres familles de logiciels malveillants et diverses méthodes d’infection, y compris l’installation via une clé USB.
Raspberry Robin est devenue l’une des plus grandes plateformes de distribution de logiciels malveillants et a été observée en déployant Truebot, ainsi que d’autres charges utiles post-compromission telles que IcedID et les logiciels malveillants Bumblebee.
- Téléport (outil) : des cybermenaces ont été observées à l’aide d’un outil d’exfiltration de données personnalisé, que Talos appelle Teleport.
Teleport est connu pour échapper à la détection pendant l’exfiltration des données en utilisant une clé de chiffrement codée en dur dans le binaire et un protocole de communication personnalisé qui crypte les données à l’aide d’une norme de chiffrement avancée (AES) et d’une clé codée en dur.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Compte tenu de l’ association de TrueBot avec des organisations cybercriminelles telles que le groupe CL0P d’extorsion/rançongiciels et certaines de ses filiales plus dangereuses, il serait imprudent de caractériser TrueBot et l’activité décrite ci-dessus comme quoi que ce soit de moins qu’une menace grave, en particulier lorsque ses opérations semblent cibler les organisations d’une manière aussi discrète. »
2. Explorer l’avènement de Charming Kitten dans les logiciels malveillants LNK et Mac
Le dernier rapport de Proofpoint explore une campagne récente menée par Charming Kitten, qui est un groupe de menaces parrainé par l’État iranien. La campagne met en évidence l’arsenal malveillant mis à jour de l’acteur malveillant et les nouveaux TTP, notamment son ciblage de nouveaux systèmes d’exploitation, y compris macOS.
Vue d’ensemble des menaces
À mai 2023 Proofpoint, nous avons observé Charming Kitten envoyer un attrait bénin en se faisant passer pour un senior au Royal United Services Institute (RUSI).
L’e-mail bénin a été envoyé au contact des médias publics pour un expert en sécurité nucléaire dans un groupe de réflexion basé aux États-Unis et axé sur les affaires étrangères. L’e-mail cherchait des commentaires sur un projet spécifique et demandait la permission d’envoyer une ébauche pour examen.
Charming Kitten utilise une variété de fournisseurs d’hébergement cloud pour fournir une nouvelle chaîne d’infection qui déploie une porte dérobée PowerShell nouvellement identifiée connue sous le nom de GorjolEcho. L’acteur malveillant a également porté ses logiciels malveillants et tenté de lancer une chaîne d’infection contre les appareils macOS. Proofpoint fait référence à cette chaîne d’infection et backdoor sous le nom de NokNok.
Ciblage avec des messages bénins
Charming Kitten utilise fréquemment des messages bénins pour cibler les victimes. Alors que les négociations du Plan d’action global conjoint (JCPOA) se poursuivent et que Téhéran se trouve de plus en plus isolé dans sa sphère d’influence, Charming Kitten concentre une grande majorité de ses efforts de ciblage contre les experts susceptibles d’éclairer ces politiques étrangères.
Dans l’un des incidents récemment observés, l’acteur malveillant a contacté sa cible avec un e-mail bénin avant d’utiliser plus tard l’usurpation d’identité multipersona, énumérant des experts supplémentaires pour essayer d’établir un lien avec la victime.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Les TTP et les nouvelles portes dérobées observés dans cette campagne soulignent la capacité de Charming Kitten à adapter ses chaînes d’infection pour continuer à réussir dans ses opérations d’espionnage.
Le changement le plus notable dans cette campagne est le portage de leurs logiciels malveillants pour cibler les appareils macOS, ce qui permet à l’acteur malveillant d’avoir une gamme plus large de cibles. »
De Proofpoint :
L’utilisation de Google Scripts, Dropbox et CleverApps démontre que Charming Kitten continue de s’abonner à une approche multi-cloud dans ses efforts pour minimiser probablement les perturbations des chasseurs de menaces.
3. Les pirates informatiques chinois suspectés ciblent les entités gouvernementales européennes dans la campagne SmugX
Un rapport récent publié par Check Point Research met en évidence une campagne d’hameçonnage en cours appelée SmugX, qui a des liens avec un acteur malveillant parrainé par l’État chinois.
L’objectif de la campagne semble être l’espionnage et comporte deux chaînes d’infection différentes conçues pour fournir le cheval de Troie d’accès à distance (Remote Access Trojan, RAT) PlugX.
Détails de la campagne
La campagne SmugX aurait commencé en décembre 2022. La victimologie de l’opération est composée de ministères et d’ambassades des Affaires étrangères situés dans des pays européens tels que le Royaume-Uni, la France, la Suède, l’Ukraine, la République tchèque, la Hongrie et la Slovaquie.
Les documents Lure déployés dans le cadre de la campagne d’hameçonnage sont principalement thématiques autour des politiques nationales et étrangères européennes.
À partir d’un article BleepingComputer couvrant la campagne :
Parmi les échantillons que Check Point a collectés pendant l’enquête :
- Une lettre de l’ambassade serbe à Budapest
- Un document indiquant les priorités de la Présidence suédoise du Conseil de l’Union européenne
- Une invitation à une conférence diplomatique émise par le ministère hongrois des Affaires étrangères
- Un article sur deux avocats chinois spécialisés dans les droits de l’homme
Les atouts utilisés dans la campagne SmugX trahissent le profil cible de l’acteur malveillant et indiquent que l’espionnage est l’objectif probable de la campagne.
Les recherches de Check Point révèlent que la campagne SmugX exploite deux nouvelles méthodes de livraison (chacune entraînant de faibles taux de détection) pour déployer une nouvelle variante de PlugX, un RAT principalement associé aux multiples groupes de menaces persistantes avancées (APT) parrainés par l’État chinois.
La plus notable des deux chaînes d’attaque utilise la contrebande HTML (d’où le nom de la campagne), une technique de plus en plus populaire chez les cybercriminels et les acteurs nationaux.
Contrebande HTML : un rappel
Avant de nous plonger dans les deux chaînes d’attaque observées dans cette campagne, prenons un moment pour nous familiariser à nouveau avec la contrebande HTML, que Check Point décrit comme « une technique bien documentée... Les fichiers malveillants sont intégrés dans les documents HTML, ce qui leur permet d’échapper aux mesures de détection basées sur le réseau. »
Dans la campagne SmugX, la contrebande HTML facilite le téléchargement d’un fichier JavaScript ou ZIP.
L’ouverture de l’un des documents HTML malveillants présentés dans l’opération déclenche la séquence d’événements suivante :
- Tout d’abord, la charge utile intégrée dans le code du document est décodée et enregistrée dans un blob JavaScript, où elle est désignée comme un type de fichier approprié (c.-à-d. application/zip).
- Ensuite, au lieu d’utiliser l’ élément HTML, le code JavaScript le crée dynamiquement.
- La blob JavaScript susmentionnée crée un objet URL à l’aide de la fonction createObjectURL.
- L’attribut de téléchargement est défini avec le nom de fichier souhaité.
- Enfin, le code appelle l’action de clic, simulant un utilisateur en cliquant sur le lien et en initiant le téléchargement du fichier.
Check Point note que, pour les versions de navigateur plus anciennes, le code utilise msSaveOrOpenBlob pour enregistrer le blob avec le nom de fichier souhaité.
Deux chaînes d’attaque différentes
La campagne SmugX se compose de deux chaînes d’infection principales, toutes deux commençant par un fichier HTML.
Cela permet d’enregistrer la deuxième étape dans les dossiers de téléchargement des victimes. Il existe une certaine variation en ce qui concerne la deuxième étape. L’une utilise un fichier ZIP contenant un fichier LNK malveillant, tandis que l’autre chaîne utilise JavaScript pour télécharger un fichier MSI à partir d’un serveur distant.
- La chaîne d’archives SmugX : dans le premier des deux scénarios décrits ci-dessus, le fichier HTML passe en contrebande une archive ZIP contenant un fichier LNK malveillant conçu pour exécuter PowerShell. À l’aide de PowerShell, l’attaquant extrait une archive compressée intégrée au fichier LNK, l’enregistrant dans le répertoire %temp %.
- La chaîne JavaScript SmugX : le second des deux vecteurs d’infection PlugX utilise la contrebande HTML afin de télécharger un fichier JavaScript.
Lors de son exécution, le fichier télécharge et exécute un fichier MSI fourni par le serveur distant des attaquants. Un nouveau dossier est créé par le MSI et enregistré dans le répertoire %appdata %\Local, dans lequel trois fichiers extraits du package MSI sont également stockés. Ces trois fichiers abandonnés se composent d’un exécutable légitime détourné, du fichier DLL du chargeur et de la charge utile cryptée.
En ce qui concerne la technique de chargement choisie par cette campagne, il existe peu de différences par rapport à de nombreuses autres instances d’infection PlugX précédemment observées ; le logiciel malveillant exploite les techniques de chargement latéral DLL.
PlugX, révisé
La charge utile finale de cette campagne est PlugX, un implant que les acteurs de cybermenaces Chine-nexus utilisent depuis 2008. Il s’agit d’un logiciel malveillant modulaire qui lui permet de fonctionner comme un outil d’accès à distance tout en accueillant une multitude de plug-ins, chacun avec une fonctionnalité distincte. C’est ce qui permet aux opérateurs de faciliter un large éventail d’activités malveillantes sur les systèmes compromis. Par exemple, le vol de fichiers, les captures d’écran, l’enregistrement de clés et l’exécution de commandes.
En ce qui concerne la persistance, PlugX copie le programme légitime et la DLL, les stockant dans un répertoire masqué créé par l’implant. La charge utile cryptée est placée dans un dossier masqué séparé, et PlugX atteint la persistance en ajoutant le programme légitime à la clé de registre Exécuter.
Chevauchement de l’activité APT
L’évaluation de Check Point selon laquelle la campagne SmugX est le travail d’un acteur chinois malveillant ne repose pas uniquement sur l’utilisation de l’implant PlugX par les attaquants. Les chercheurs de l’entreprise fondent également leur théorie sur le fait que la campagne partage des « similarités significatives avec l’activité attribuée par d’autres fournisseurs de sécurité à RedDelta ou Mustang Panda ».
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« D’après les faits présentés ci-dessus, Check Point semble être exact en reliant la campagne SmugX à un acteur chinois malveillant. L’objectif de la campagne est clairement la collecte de renseignements et l’espionnage, et les objectifs de la campagne s’alignent sur les intérêts de l’État chinois. CTI continuera de surveiller cette campagne et toutes les autres campagnes qui y sont liées pour les développements. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
