Pour commencer ce tour d'horizon hebdomadaire, CTI examine comment les cybercriminels utilisent de nouvelles variantes du logiciel malveillant Truebot pour cibler des organisations aux États-Unis et au Canada. CTI se penche ensuite sur une campagne récente impliquant le groupe de cybermenace iranien Charming Kitten, soutenu par l'État. Cette campagne met en évidence l'évolution de l'arsenal de logiciels malveillants de l'acteur malveillant ainsi que ses nouvelles TTP — notamment le fait qu'il cible désormais de nouveaux systèmes d'exploitation, dont macOS. Enfin, CTI conclut par un aperçu d'un rapport récent mettant en lumière une campagne de hameçonnage en cours, baptisée « SmugX ».
1. CISA : l'intensification de l'activité de Truebot touche des réseaux situés aux États-Unis et au Canada
L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), le Bureau fédéral d'enquête (FBI), le Centre multi-États de partage et d'analyse des informations (MS-ISAC) et le Centre canadien de cybersécurité (CCCS) ont publié un avis conjoint en matière de cybersécurité en réponse au déploiement, par des acteurs malveillants, de nouvelles variantes du logiciel malveillant TrueBot (s'ouvre dans un nouvel onglet) à l'encontre de diverses organisations aux États-Unis et au Canada.
Qu'est-ce que TrueBot ?
TrueBot est un programme de téléchargement de logiciels malveillants qui a été associé à un groupe de cybercriminels russophones connu sous le nom de Silence. Il a été utilisé par des pirates informatiques appartenant au groupe de menaces « » TA505 (s'ouvre dans un nouvel onglet) (qui était également lié au groupe cybercriminel FIN11 ) pour déployer le ransomware CL0P . (s'ouvre dans un nouvel onglet)
Extrait du communiqué conjoint :
Truebot est un botnet qui a été utilisé par des groupes cybercriminels tels que le gang CL0P Ransomware pour collecter et exfiltrer des informations auprès de leurs victimes ciblées... Les variantes précédentes du logiciel malveillant Truebot étaient principalement diffusées par des cybercriminels via des pièces jointes malveillantes contenues dans des e-mails de hameçonnage ; toutefois, les versions plus récentes permettent également aux cybercriminels d’obtenir un accès initial en exploitant CVE-2022-31199 (s’ouvre dans un nouvel onglet) — (une vulnérabilité d’exécution de code à distance dans l’application Netwrix Auditor), ce qui facilite le déploiement à grande échelle du logiciel malveillant au sein de l’environnement compromis.
Le groupe CL0P a récemment été à l’origine de l’attaque massive de type « zero-day » visant la chaîne d’approvisionnement de MOVEit, (s’ouvre dans un nouvel onglet), ainsi que des attaques par chantage qui ont suivi et qui continuent aujourd’hui de cibler les utilisateurs en aval de l’application et de causer des ravages financiers.
Résumé des activités
Selon l'avis conjoint, les organismes à l'origine de ce document ont constaté une augmentation du nombre d'acteurs malveillants déployant de nouvelles versions de Truebot, notamment en 31 May 2023.
Sur la base d'informations confirmées issues de sources ouvertes et d'une analyse des récentes variantes de TrueBot, les auteurs du rapport estiment que les auteurs de ces menaces diffusent désormais de nouvelles variantes de ce logiciel malveillant par le biais de campagnes de hameçonnage comportant des liens de redirection malveillants, ainsi que par l'exploitation de la faille CVE-2022-3119.
Activité de hameçonnage de TrueBot
L'avis conjoint souligne que les auteurs de menaces ont principalement eu recours à des e-mails de hameçonnage comme moyen privilégié de diffusion du logiciel malveillant TrueBot. Ces e-mails visent généralement à inciter les destinataires à cliquer sur un lien hypertexte afin d'exécuter un logiciel malveillant, mais les chercheurs ont également constaté que certains acteurs malveillants dissimulaient des fichiers exécutables dans des pièces jointes d'e-mails se présentant comme des notifications légitimes de mise à jour logicielle.
Lorsque les utilisateurs interagissent avec le fichier exécutable, celui-ci les redirige vers des domaines malveillants et déclenche l'exécution de scripts malveillants. L'avis conjoint souligne que Truebot peut se dissimuler dans un large éventail de formats de fichiers légitimes.
Exploitation de la route CVE-2022-3119
Si le phishing reste la plus courante des deux méthodes de diffusion de Truebot évoquées dans l'avis conjoint, les chercheurs ont également constaté que les acteurs malveillants changeaient de tactique et commençaient à exploiter « CVE-2022-3119 », une vulnérabilité permettant l'exécution de code à distance dans Netwrix Auditor.
En exploitant cette vulnérabilité, les acteurs malveillants peuvent obtenir un accès initial et se déplacer latéralement au sein des environnements compromis.
Qu'est-ce que « FlawedGrace » ?
Une fois le logiciel malveillant téléchargé, Truebot se renomme et télécharge le cheval de Troie d'accès à distance (RAT) FlawedGrace (s'ouvre dans un nouvel onglet) sur l'hôte infecté. FlawedGrace peut modifier le registre et les programmes du spouleur d'impression qui gèrent le flux de documents vers la file d'attente d'une imprimante. En exploitant ces deux vulnérabilités, FlawedGrace peut obtenir des privilèges supérieurs et s'assurer une présence persistante.
Les charges utiles chiffrées sont stockées dans le registre pendant la phase d'exécution de FlawedGrace. Il est également capable de créer des tâches planifiées et d'injecter des charges utiles dans les fichiers msiexec.exe et svchost.exe. Chacun de ces processus aide FlawedGrace à mettre en place un canal de communication de type « commandement et contrôle » (C2), tout en permettant au RAT de charger les DLL qui lui permettent de procéder à une élévation de privilèges.
Selon l'avis conjoint, les chercheurs ont également observé que Truebot injectait des balises Cobalt Strike dans la mémoire, en mode dormant pendant les premières heures, avant de lancer d'autres opérations après la compromission du système.
Recherche, contournement des mesures de défense
La première étape du processus d'exécution de Truebot consiste à vérifier la version actuelle du système d'exploitation à l'aide de la fonction RtlGetVersion et à analyser les caractéristiques du processeur à l'aide de la fonction GetNativeSystemInfo.
Dans ce qui semble s'inscrire dans une tendance de plus en plus courante dans le secteur des logiciels malveillants de masse, certaines variantes de TrueBot contiennent une grande quantité de code de remplissage. Comme l'explique l'avis conjoint, l'échantillon de Truebot analysé contenait plus d'un gigaoctet de code indésirable destiné à compliquer, voire à rendre impossibles dans certains cas, les efforts de détection et d'analyse.
Une fois les vérifications susmentionnées effectuées, Truebot peut répertorier tous les processus en cours d'exécution, collecter des données sensibles sur l'hôte et transmettre ces données sous la forme d'un flux de données chiffré afin de préparer le terrain pour l'exécution de la deuxième phase. De plus, compte tenu de la nature des IOC associés à l'activité décrite ici, il semble que Truebot soit également capable d'identifier des protocoles de sécurité logicielle et des indicateurs liés à l'heure système. Ces fonctionnalités visent sans doute à aider le logiciel malveillant à échapper aux mesures de défense, mais elles peuvent également s'avérer utiles pour lui permettre de se synchroniser avec l'horloge interne d'un système compromis, ce qui facilite la planification précise des tâches.
Extrait de l'avis conjoint :
Ensuite, il utilise une extension .JSONIP (par exemple, IgtyXEQuCEvAM.JSONIP) pour créer un identifiant unique global (GUID) de treize caractères — une chaîne de texte de 128 bits que Truebot utilise pour étiqueter et organiser les données qu'il collecte... Après avoir généré le GUID, Truebot compile et répertorie les données des processus en cours d'exécution sous la forme d'une chaîne de caractères base64 ou d'une chaîne hexadécimale unique… L'objectif principal de Truebot est de détecter la présence d'outils de débogage de sécurité. Toutefois, la présence d’outils de débogage identifiés ne modifie en rien le processus d’exécution de Truebot : les données sont compilées sous la forme d’une chaîne codée en base64 à des fins de suivi et pour contourner les mesures de défense.
Collecte et exfiltration de données
Une fois les étapes décrites ci-dessus menées à bien, Truebot envoie l'adresse de l'ordinateur et le nom de domaine de l'hôte compromis, ainsi que le GUID nouvellement généré, vers une URL codée en dur sous la forme d'une requête POST (comme l'indique la chaîne « user-agent »).
La requête POST lance et établit une connexion C2 permettant un échange bidirectionnel. Une fois cette connexion établie, le logiciel malveillant utilise un deuxième domaine obscurci à diverses fins, notamment, mais sans s’y limiter, pour télécharger des charges utiles supplémentaires, se répliquer dans l’environnement et/ou supprimer les fichiers qui ont permis le bon déroulement de l’opération jusqu’à ce stade.
Autres méthodes et outils de diffusion
La liste suivante présente d'autres vecteurs de diffusion et outils auxquels Truebot a été associé :
- Raspberry Robin (logiciel malveillant) : Raspberry Robin est un logiciel malveillant capable de se propager par ver, présentant des liens avec d’autres familles de logiciels malveillants et recourant à diverses méthodes d’infection, notamment l’installation via une clé USB.
Raspberry Robin est devenu l'une des plus grandes plateformes de diffusion de logiciels malveillants et a été observé en train de déployer Truebot, ainsi que d'autres charges utiles post-compromission telles que les logiciels malveillants IcedID et Bumblebee.
- Teleport (outil) : Des acteurs malveillants ont été observés en train d'utiliser un outil personnalisé d'exfiltration de données, que Talos désigne sous le nom de « Teleport ».
On sait que Teleport parvient à échapper à la détection lors de l'exfiltration de données en utilisant une clé de chiffrement intégrée dans le fichier binaire ainsi qu'un protocole de communication personnalisé qui chiffre les données à l'aide de la norme AES (Advanced Encryption Standard) et d'une clé intégrée.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Compte tenu des liens entre TrueBot et des organisations cybercriminelles telles que le groupe CL0P , spécialisé dans l’extorsion et les ransomwares, ainsi que certaines de ses filiales les plus dangereuses, il serait imprudent de ne pas considérer TrueBot et les activités décrites ci-dessus comme une menace grave — d’autant plus que ses opérations semblent cibler les organisations de manière aussi aveugle. »
2. Découverte de l'incursion de « Charming Kitten » dans le domaine des LNK et des logiciels malveillants pour Mac
Le dernier rapport de Proofpoint , intitulé « » (s'ouvre dans un nouvel onglet), examine une campagne récente menée par Charming Kitten, un groupe malveillant soutenu par l'État iranien. Cette campagne met en évidence l'évolution de l'arsenal de logiciels malveillants de l'acteur malveillant ainsi que ses nouvelles TTP — notamment le fait qu'il cible désormais de nouveaux systèmes d'exploitation, dont macOS.
Aperçu des menaces
Dans l'article « mai 2023 », Proofpoint a observé que Charming Kitten envoyait un message d'appât inoffensif en se faisant passer pour un chercheur senior du Royal United Services Institute (RUSI).
Cet e-mail anodin a été envoyé au responsable des relations avec les médias d'un expert en sécurité nucléaire travaillant au sein d'un groupe de réflexion américain spécialisé dans les affaires étrangères. Cet e-mail visait à recueillir des commentaires sur un projet spécifique et demandait l'autorisation d'envoyer un projet de document pour examen.
Charming Kitten utilise divers fournisseurs d'hébergement cloud pour mettre en œuvre une chaîne d'infection inédite qui déploie une porte dérobée PowerShell récemment identifiée , connue sous le nom de GorjolEcho. L'acteur malveillant a également adapté son logiciel malveillant et a tenté de lancer une chaîne d'infection visant des appareils macOS. Proofpoint désigne cette chaîne d'infection et cette porte dérobée sous le nom de « NokNok ».
Ciblage à l'aide de messages inoffensifs
« Charming Kitten » utilise souvent des messages anodins pour cibler ses victimes. Alors que les négociations sur le Plan d'action global conjoint (JCPOA) se poursuivent et que Téhéran se retrouve de plus en plus isolé au sein de sa sphère d'influence, Charming Kitten concentre la grande majorité de ses efforts de ciblage contre les experts susceptibles d'influencer ces politiques étrangères.
Lors d'un des incidents récemment observés, l'auteur de la menace a contacté sa cible par le biais d'un e-mail anodin, avant de recourir par la suite à une stratégie d'usurpation d'identité à plusieurs personnages, en citant d'autres experts afin de tenter d'établir un lien de confiance avec la victime.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les TTP et les nouvelles portes dérobées observées dans le cadre de cette campagne mettent en évidence la capacité de Charming Kitten à adapter ses chaînes d’infection afin de continuer à mener à bien ses opérations d’espionnage. »
Le changement le plus notable dans cette campagne réside dans l'adaptation de leur logiciel malveillant pour cibler les appareils macOS, ce qui permet à l'auteur de la menace d'élargir son éventail de cibles. »
Source : Proofpoint :
L'utilisation de Google Scripts, de Dropbox et de CleverApps montre que Charming Kitten continue d'adopter une approche multicloud dans le but, sans doute, de minimiser les perturbations causées par les chasseurs de menaces.
3. Des pirates informatiques présumés d'origine chinoise ciblent des entités gouvernementales européennes dans le cadre de la campagne « SmugX »
Un rapport récent publié par Check Point Research met en lumière une campagne de hameçonnage en cours, baptisée « SmugX », qui est liée à un acteur malveillant soutenu par l'État chinois.
L'objectif de cette campagne semble être l'espionnage ; elle s'appuie sur deux chaînes d'infection distinctes conçues pour déployer le cheval de Troie d'accès à distance (RAT) PlugX.
Détails de la campagne
La campagne SmugX aurait débuté à décembre 2022. Les cibles de cette opération sont les ministères des Affaires étrangères et les ambassades situés dans des pays européens tels que le Royaume-Uni, la France, la Suède, l'Ukraine, la République tchèque, la Hongrie et la Slovaquie.
Les documents utilisés comme appâts dans le cadre de cette campagne d'hameçonnage portent principalement sur les politiques intérieures et étrangères de l'Europe.
Extrait d'un article de BleepingComputer consacré à cette campagne :
Parmi les échantillons recueillis par Check Point au cours de l'enquête, on trouve notamment :
- Une lettre de l'ambassade de Serbie à Budapest
- Un document présentant les priorités de la présidence suédoise du Conseil de l'Union européenne
- Une invitation à une conférence diplomatique émise par le ministère hongrois des Affaires étrangères
- Un article consacré à deux avocats chinois spécialisés dans la défense des droits de l'homme
Les leurres utilisés dans la campagne SmugX révèlent le profil des cibles de l’acteur malveillant et laissent supposer que l’espionnage est l’objectif probable de cette campagne.
Les recherches de Check Point révèlent que la campagne SmugX exploite deux nouvelles méthodes de diffusion (qui présentent chacune de faibles taux de détection) pour déployer une nouvelle variante de PlugX, un RAT principalement associé à plusieurs groupes chinois d’attaques persistantes avancées (APT) soutenus par l’État.
La plus notable des deux chaînes d'attaque repose sur la technique du « HTML smuggling » (d'où le nom de la campagne), une technique de plus en plus répandue tant chez les cybercriminels que chez les acteurs étatiques.
Le « smuggling » HTML : un petit rappel
Avant d’aborder les deux chaînes d’attaque observées dans le cadre de cette campagne, prenons un instant pour revenir sur la technique de « HTML smuggling », que Check Point décrit comme « une technique bien documentée… » « Les fichiers malveillants sont intégrés dans des documents HTML, ce qui leur permet de contourner les mesures de détection au niveau du réseau. »
Dans le cadre de la campagne SmugX, l'injection de code HTML permet de télécharger soit un fichier JavaScript, soit un fichier ZIP.
L'ouverture de l'un ou l'autre des documents HTML malveillants utilisés dans le cadre de cette opération déclenche la séquence d'événements suivante :
- Tout d'abord, la charge utile intégrée au code du document est décodée et enregistrée dans un blob JavaScript, où on lui attribue un type de fichier approprié (à savoir application/zip).
- Ensuite, au lieu d'utiliser l'élément HTML
<a>, le code JavaScript le crée de manière dynamique. - Le blob JavaScript susmentionné crée un objet URL à l'aide de la fonction createObjectURL.
- L'attribut « download » est défini avec le nom de fichier souhaité.
- Enfin, le code déclenche l'action de clic, simulant ainsi le fait qu'un utilisateur clique sur le lien et lance le téléchargement du fichier.
Check Point souligne que, pour les anciennes versions de navigateur, le code utilise la fonction msSaveOrOpenBlob pour enregistrer le blob sous le nom de fichier souhaité.
Deux chaînes d'attaque distinctes
La campagne SmugX repose sur deux chaînes d'infection principales, qui commencent toutes deux par un fichier HTML.
Ceci permet d'enregistrer la deuxième étape dans les dossiers de téléchargement des victimes. Il existe certaines variations en ce qui concerne la deuxième étape. L'une utilise un fichier ZIP contenant un fichier LNK malveillant, tandis que l'autre chaîne utilise JavaScript pour télécharger un fichier MSI depuis un serveur distant.
- La chaîne d'archives SmugX : dans le premier des deux scénarios décrits ci-dessus, le fichier HTML dissimule une archive ZIP contenant un fichier LNK malveillant conçu pour exécuter PowerShell. À l'aide de PowerShell, le pirate extrait une archive compressée intégrée au fichier LNK et l'enregistre dans le répertoire %temp%.
- La chaîne JavaScript SmugX : le deuxième des deux vecteurs d'infection PlugX utilise la technique de « HTML smuggling » pour télécharger un fichier JavaScript.
Lorsqu'il est exécuté, le fichier télécharge et exécute un fichier MSI fourni par le serveur distant des pirates. Le fichier MSI crée un nouveau dossier et l'enregistre dans le répertoire %appdata%\Local, dans lequel sont également stockés trois fichiers extraits du package MSI. Ces trois fichiers déposés comprennent un exécutable légitime détourné, la DLL de chargement et la charge utile chiffrée.
En ce qui concerne la technique de chargement choisie pour cette campagne, elle ne diffère guère de nombreuses autres infections par PlugX observées précédemment ; le logiciel malveillant utilise des techniques de chargement latéral de DLL.
PlugX, version révisée
La charge utile finale de cette campagne est PlugX, un implant utilisé depuis 2008 par des acteurs malveillants liés à la Chine. Il s'agit d'un logiciel malveillant modulaire, ce qui lui permet de fonctionner comme un outil d'accès à distance tout en prenant en charge une multitude de modules complémentaires, chacun doté d'une fonctionnalité distincte. C'est ce qui permet aux opérateurs de mener toute une série d'activités malveillantes sur les systèmes compromis. On peut citer, par exemple, le vol de fichiers, les captures d'écran, l'enregistrement des frappes clavier et l'exécution de commandes.
En ce qui concerne la persistance, PlugX copie le programme légitime et la DLL, puis les stocke dans un répertoire caché créé par l'implant. La charge utile chiffrée est placée dans un dossier caché distinct, et PlugX assure sa persistance en ajoutant le programme légitime à la clé de registre « Run ».
Chevauchement des activités des groupes APT
L'évaluation de Check Point selon laquelle la campagne SmugX est l'œuvre d'un acteur malveillant chinois ne repose pas uniquement sur l'utilisation par les attaquants de l'implant PlugX. Les chercheurs de cette entreprise fondent également leur théorie sur le fait que cette campagne présente « des similitudes significatives avec des activités que d’autres éditeurs de solutions de sécurité attribuent soit à RedDelta, soit à Mustang Panda ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Au vu des faits exposés ci-dessus, Check Point semble avoir raison d'associer la campagne SmugX à un acteur malveillant chinois. » L'objectif de cette campagne est clairement la collecte de renseignements et l'espionnage, et ses cibles correspondent aux intérêts nationaux du gouvernement chinois. « Le CTI continuera à suivre cette campagne ainsi que toutes celles qui y sont liées afin de se tenir informé de leur évolution. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
