Le premier résumé de cette semaine est un aperçu d’une nouvelle variante de programme malveillant XLoader pour macOS qui se présente comme une application de productivité de bureau. Ensuite, CTI enquête sur la dernière campagne du groupe Lazarus et la découverte d’une nouvelle menace appelée CollectionRAT. Enfin, CTI explique comment les acteurs malveillants abusent des promotions Facebook avec des modèles linguistiques volumineux (LLM) pour propager du code malveillant.
La variante macOS de XLoader se présente comme une application de productivité
Sentinel One a découvert une variante du XLoader malveillant macOS dans la nature. La campagne masque ses fonctionnalités malveillantes en se faisant passer pour une application de productivité de bureau appelée OfficeNote tout en regroupant la variante XLoader dans une image de disque Apple standard.
Qu’est-ce qu’un programme malveillant XLoader ?
Le programme malveillant XLoader est une nouvelle marque de logiciel malveillant Formbook. Il fonctionne principalement comme un infostealer pour Windows et macOS.
XLoader a fait surface dans des forums de cybercriminalité souterrains début 2020, peu après l’arrêt de Formbook par son auteur. La première variante macOS a été repérée en 2021 et a été notable pour être distribuée en tant que programme Java. Le logiciel malveillant est vendu sous forme d’accord de malware en tant que service (MaaS), donnant aux abonnés un accès au panneau administratif et aux builds exécutables.
La nouvelle variante macOS XLoader est écrite nativement dans les langages de programmation C et Objective C. Il est signé avec une signature de développeur Apple et se fait passer pour une application de productivité de bureau appelée OfficeNote.
Comment les programmes malveillants XLoader sont-ils distribués ?
La dernière variante XLoader est regroupée dans une image de disque Apple standard nommée OfficeNote.dmg. Cette variante est signée avec la signature du développeur MAIT JAKHU et a été signée le 17 juillet 2023. Apple a depuis révoqué la signature. Cependant, les tests de SentinelOne indiquent que l’outil de blocage des logiciels malveillants d’Apple n’a pas de signature pour empêcher l’exécution de ce logiciel malveillant.
Plusieurs échantillons de cette variante sont apparus sur VirusTotal tout au long du mois de juillet, indiquant qu’elle est probablement distribuée à l’état sauvage. Les forums sur la criminalité souterraine font la publicité de cette nouvelle variante macOS pour 199 USD par mois ou 299 USD pendant trois mois. Cela est relativement coûteux par rapport à la variante Windows XLoader, qui est répertoriée à 59 USD par mois.
Chute et persistance
Lorsque cette variante est exécutée, l’application OfficeNote est codée en dur pour afficher un message d’erreur indiquant à l’utilisateur que l’application ne peut pas être ouverte. En arrière-plan, le logiciel malveillant supprime sa charge utile et installe un agent de persistance. Ce message est codé en dur à l’aide d’une technique de chaîne d’empilage qui a été utilisée dans les variantes XLoader précédentes.
La charge utile est déposée dans le répertoire d’accueil de l’utilisateur comme ~/73a470tO et est exécutée. Il crée un répertoire masqué et une application minimale barebones dans le répertoire. Bien que le nom de la charge utile soit codé en dur dans le compte-gouttes, le nom du répertoire masqué, de l’application et de l’exécutable est randomisé pour chaque exécution. Un LaunchAgent est également déposé dans le dossier Bibliothèque de l’utilisateur afin que le binaire puisse faire la distinction entre sa première exécution et les exécutions suivantes.
Comportement de la charge utile
Le logiciel malveillant XLoader tente de voler des secrets dans le presse-papiers via l’API Apple NSPasteboard et generalPasteboard. Il peut également cibler les navigateurs Firefox et Chrome pour lire les fichiers de données de connexion. Curieusement pour une variante macOS, elle ne semble pas cibler le navigateur Safari.
Le logiciel malveillant utilisera des appels réseau factices pour masquer le C2 réel. SentinelOne a observé 169 résolutions de noms DNS et 203 demandes HTTP et a identifié quelques adresses IP suspectes à partir de cette activité. Il tente d’échapper à l’analyse de plusieurs manières. Le compte-gouttes et la charge utile tenteront d’empêcher les débogueurs de se joindre à Ptrace. Le logiciel malveillant exécutera également des commandes de veille pour retarder son activité.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La dernière variante macOS de XLoader cible clairement les utilisateurs au sein d’un environnement de travail, en raison du fait qu’elle masque une application de productivité de bureau. Son niveau de prix élevé sur les forums de cybercriminels souterrains par rapport à ses variantes Windows indique également que ses développeurs pensent qu’il y aura un intérêt/RSI plus important dans cette variante. Comme le souligne SentinelOne, XLoader continue de menacer les utilisateurs et les entreprises de macOS. »
2. North Korean Lazarus Group utilise de nouveaux logiciels malveillants
Cisco Talos a récemment étudié la dernière campagne du groupe Lazarus dans laquelle le groupe a exploité une vulnérabilité du centre de service ManageEngine pour déployer plusieurs menaces.
Leur enquête sur cette campagne, ainsi que sur les composants d’infrastructure réutilisés, les a conduits à la découverte d’une nouvelle menace appelée CollectionRAT. Le groupe Lazarus change également de tactique et s’appuie de plus en plus sur des outils open source dans la phase d’accès initiale.
Réutilisation de l’infrastructure
L’acteur de menace parrainé par l’État nord-coréen continue d’utiliser une grande partie de la même infrastructure lors de campagnes récentes, même si bon nombre de ces composants ont été documentés par des chercheurs au fil des ans.
Bien que cela puisse sembler une chose étrange à faire, cela met en évidence la confiance du groupe dans ses attaques. Cette dernière campagne sert de rappel de l’activité de ce groupe.
Un arsenal en évolution
Le logiciel malveillant CollectionRAT nouvellement découvert se compose d’une gamme de capacités RAT typiques, telles que la possibilité d’exécuter des commandes arbitraires et de gérer des fichiers sur l’appareil.
L’implant exploite un fichier binaire Windows basé sur la bibliothèque Microsoft Foundation Class (MFC) pour décrypter et exécuter le logiciel malveillant. Le cadre MFC ici est uniquement utilisé comme enveloppe et décrypteur pour le code malveillant réel.
Le logiciel malveillant collectera des informations système pour faire une empreinte digitale de l’infection et les enverra au serveur de commande et de contrôle (C2). Il recevra des commandes du serveur C2 pour effectuer diverses tâches. Il peut créer une enveloppe inversée, lire/écrire des fichiers à partir du disque et générer de nouveaux processus pour télécharger et déployer plus de charges utiles. Il peut également se retirer de l’appareil lorsqu’il lui est demandé de le faire par le C2.
CollectionRAT et son lien vers EarlyRAT
Cisco Talos a analysé les IOC associés à CollectionRAT et a trouvé un lien vers EarlyRAT, un logiciel malveillant qui a été attribué au sous-groupe Andariel de Lazarus.
CollectionRAT a été signé avec le même certificat utilisé pour signer une version plus ancienne de EarlyRAT à partir de 2021. Les deux programmes malveillants ont utilisé le même certificat avec le même numéro de série et la même empreinte. EarlyRAT est souvent déployé via l’exploitation réussie de la vulnérabilité Log4j .
Utilisation d’outils open source pendant l’accès initial
Le groupe Lazarus semble modifier ses tactiques en s’appuyant de plus en plus sur des outils et des cadres open source pendant la phase d’accès initiale de leurs attaques, plutôt que de ne les employer que dans la phase post-compromission.
Le groupe s’appuyait auparavant sur des implants personnalisés tels que MagicRAT pour établir un accès initial persistant sur une machine compromise. Les implants personnalisés ont ensuite été utilisés pour déployer des outils open source. Cette campagne est un exemple dans lequel l’acteur malveillant a utilisé le cadre open source DeimosC2 pour un accès initial et persistant.
Le groupe Lazarus est également observé à l’aide de l’outil de tunnelisation de coque inversée PuTTY Link (Plink). Auparavant, l’acteur malveillant utilisait Plink pour établir des tunnels distants. Cependant, l’acteur malveillant a commencé à générer des fichiers binaires Plink malveillants à partir du code source de l’outil pour intégrer des chaînes de commande de tunnel inverse dans le fichier binaire lui-même.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le fait que le groupe Lazarus utilise de nouveaux logiciels malveillants dans ses attaques est presque attendu à ce stade, étant donné l’activité et l’agilité du groupe. »
« Dans ce même contexte, l’acteur malveillant change de tactique pour tirer parti des outils open source dans la phase d’accès initiale des attaques. Le groupe a historiquement exploité des outils open source uniquement dans la phase post-compromission, marquant une évolution claire. La raison de ce changement n’est pas claire, mais il semble s’aligner sur l’évolution constante des acteurs malveillants et sur une grande partie de ce que nous voyons dans le paysage des menaces. »
3. Les auteurs de menaces abusent des promotions Facebook pour propager du code malveillant
Une étude récente de Trend Micro explique comment les acteurs malveillants abusent des promotions Facebook avec des LLM pour propager du code malveillant, dans le but d’installer un module complémentaire de navigateur malveillant et de voler des informations d’identification. L’acteur malveillant utilise des raccourcisseurs d’URL pour la redirection des liens URL, des sites Google pour l’hébergement Web et des services de stockage cloud tels que Google Drive et Dropbox pour héberger des fichiers malveillants.
Les promotions Facebook comme vecteur d’infection
L’acteur malveillant tire parti des promotions payantes de Facebook pour tromper les victimes potentielles avec des publicités présentant de faux profils d’entreprises de marketing. Ces faux profils comprennent souvent des abonnés achetés ou des bots, de faux avis d’autres profils détournés et un historique en ligne limité. Les publicités promettent de stimuler la productivité, d’augmenter la portée et les revenus, ou d’aider à l’enseignement, le tout à l’aide de l’intelligence artificielle. Dans certains cas, l’acteur malveillant a déclaré fournir un accès à Meta AI.
Une fois que l’utilisateur clique sur la publicité, il est redirigé vers un site Web de base qui décrit les avantages de l’utilisation de LLM. Le site comprend un lien pour télécharger le package IA. Pour éviter la détection par les solutions AV, l’acteur malveillant distribue le package sous forme d’archive cryptée avec des mots de passe simples tels que 999 ou 888.
Analyse des packages
Lorsque l’archive est ouverte et décryptée avec le mot de passe correct, elle contient un seul fichier d’installation MSI. Lorsque le programme d’installation est exécuté, le processus d’installation supprimera les fichiers appartenant à une extension Chrome. Il exécutera ensuite un script par lots pour tuer le navigateur en cours d’exécution et le redémarrer avec une extension malveillante qui usurpe l’identité de Google Translate.
Analyse d’extension malveillante
La logique principale de l’extension malveillante se trouve dans le script du travailleur du service d’extension. Après la désobscurcissement, Trend Micro a pu analyser ses capacités de vol.
Le script tente d’abord de voler des cookies Facebook, en vérifiant la présence de c_user. Il va ensuite voler le jeton d’accès et l’utiliser pour demander des informations supplémentaires à GraphQL de Facebook. Avec ce jeton, le script peut interroger l’API GraphQL de Facebook, en énumérant les pages gérées du compte et les informations les concernant. Le voleur tentera également d’obtenir l’adresse IP de la victime. Les informations volées sont concaténées, codées par URL, codées par base64 et exfiltrées vers un serveur C2 .
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne et cet acteur malveillant semblent cibler les responsables, les administrateurs et les spécialistes du marketing des réseaux sociaux d’entreprise, indiquant une attaque assez ciblée. »
« Meta a supprimé les pages et publicités frauduleuses après que Trend Micro a porté le problème à son attention, mais il s’agit souvent d’une situation de piratage qui est difficile à éliminer complètement. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
