Cette semaine, nous fournissons les dernières informations sur CVE-2022-41352, un bug d’exécution de code à distance (Remote Code Execution, RCE) qui permet aux attaquants de planter des web shells et d’autres contenus arbitraires dans les serveurs Collaboration Suite (ZCS) de Zimbra.
Nous mettons également en évidence une nouvelle variante Ursnif qui représente le dernier point culminant de l’évolution de la famille des logiciels malveillants, passant d’un simple cheval de Troie bancaire à une menace capable de faciliter les attaques par rançongiciel et vol de données.
Enfin, nous terminons par un résumé d’une porte dérobée PowerShell qui se déguise dans le cadre d’un processus de mise à jour Windows légitime.
1. 900 serveurs (et ce n’est pas le cas) piratés via l’exploitation de Zimbra
Selon Kaspersky, un exploit de Zimbra a entraîné la compromission d’environ 900 serveurs suite à la détection et l’exploitation d’une vulnérabilité critique dans Zimbra Collaboration Suite (ZCS), un défaut qui existait comme un jour zéro sans correctif depuis près de 1,5 mois.
Le bug de sécurité, suivi comme CVE-2022-41352, est une vulnérabilité RCE permettant aux acteurs malveillants de planter des web shells dans les serveurs ZCS et de contourner les contrôles antivirus via une pièce jointe d’archive malveillante accompagnant un e-mail envoyé par l’attaquant.
La vulnérabilité a été signalée pour la première fois le 10 septembre 2022, par un utilisateur sur les forums officiels de Zimbra, qui a publié que son équipe avait détecté un incident de sécurité provenant d’une instance entièrement corrigée de Zimbra. Après avoir examiné les détails fournis par l’utilisateur, Zimbra a pu confirmer qu’une vulnérabilité inconnue permettait effectivement aux attaquants de télécharger des fichiers arbitraires sur des serveurs ZCS à jour. Le problème est lié à la méthode par laquelle le moteur antivirus de Zimbra, appelé Amavis, analyse les e-mails entrants (Amavis utilisant une fonction au sein de Zimbra appelée cpio).
Solution de contournement de Zimbra pour CVE-2022-41352
La solution temporaire de Zimbra pour CVE-2022-41352 était d’installer l’utilitaire pax et de redémarrer les services Zimbra. Pax est installé par défaut sur Ubuntu, par conséquent les installations Zimbra basées sur Ubuntu ne sont pas vulnérables.
Pour sa part, Zimbra a reconnu le risque de s’appuyer sur cpio dans un article de blog dans lequel l’entreprise a fourni des mesures d’atténuation recommandées.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que l’attribution de l’APT inconnue responsable d’une grande partie de ces attaques n’ait pas encore été déterminée, CTI a précédemment observé des attaques similaires, apparemment aléatoires, dans lesquelles des shells Web ont été déployés contre autant de serveurs vulnérables que possible. Dans ces cas, les vulnérabilités existaient au sein des serveurs Microsoft Exchange, l’enveloppe Web impliquée était China Chopper, et l’acteur responsable était HAFNIUM lié à la Chine. »
« Il reste à voir quel groupe de menaces, le cas échéant, est lié à cette vague actuelle d’attaques sur les serveurs Zimbra, en particulier ceux situés en Asie centrale, et si cette activité contradictoire fait partie d’une campagne coordonnée. Ce qu’on sait, c’est que l’activité ressemble certainement à l’activité APT historique, à la fois en termes d’échelle et d’intensité. Comme en témoignent plusieurs avis CISA, ce n’est pas la première fois que les vulnérabilités au sein de la solution ZCS de Zimbra ont fait l’objet d’un intérêt intense de la part de divers APT. »
2. La nouvelle variante du logiciel malveillant Ursnif se concentre sur les rançongiciels et le vol de données
Un rapport récent publié par Mandiant analyse un décalage apparent par rapport à l’objectif et aux fonctionnalités d’origine des logiciels malveillants Ursnif.
Des chercheurs ont observé Ursnif évoluer d’un cheval de Troie conçu pour faciliter la fraude bancaire à un logiciel malveillant plus polyvalent capable de poser les bases des attaques de ransomware et de vol de données. Ursnif évolue depuis quelques années.
Qu’est-ce qu’Ursnif et cette nouvelle variante de logiciel malveillant ?
Ursnif (ou ISFB, plus d’informations ci-dessous) est l’une des familles de logiciels malveillants bancaires les plus anciennes et les plus performantes encore actives aujourd’hui plus d’une décennie après son émergence dans le paysage des cybermenaces. Les auteurs et contributeurs du logiciel malveillant ont produit plusieurs itérations au fil des ans, et Ursnif est souvent entrelacé avec d’autres familles et variantes de logiciels malveillants. Son code source a été divulgué au moins deux fois depuis sa première apparition majeure, ce qui a entraîné des versions supplémentaires qui restent en circulation aujourd’hui.
À ce stade, Ursnif n’est pas seulement considéré comme un logiciel malveillant unique, mais comme une famille de variantes. De nombreux chercheurs appellent aujourd’hui la famille des logiciels malveillants Gozi/ISFB. Ces variantes comprennent :
- ISFB : à partir du code source divulgué de Gozi, et sur quoi sont basées de nombreuses variantes Ursnif. Actif avant 2014.
- Dreambot : Mandiant remarque que c’est l’une des variantes les plus réussies. Actif 2014-2020.
- IAP : l’agence ISFB la plus activement développée et distribuée avec des campagnes fréquentes de logiciels malveillants ciblant l’Italie. Actif 2014-actuel.
- RM2 : Également connu sous le nom de GoziAT, RM2 a commencé son activité il y a des années avec le logiciel malveillant Chanitor (ou Hancitor). Actif 2016-2021.
- RM3 : En raison de son format de fichier exécutable personnalisé, il s’agit de la version la plus sophistiquée à ce jour, qui a principalement affecté l’Océanie et le Royaume-Uni depuis 2017. Actif 2017-2021.
- LDR4 : La toute dernière variante et ce qui marque le passage de la fraude bancaire au ransomware. Actif maintenant.
LDR4 ont été observés pour la première fois par Mandiant le 23 juin, 2022being ont été livrés à l’aide d’une attaque de phishing liée au recrutement. L’e-mail contient généralement un lien vers un site Web compromis qui redirige l’utilisateur vers un domaine se faisant passer pour une entreprise légitime. Un défi CAPTCHA télécharge un document Excel présenté aux victimes sous forme de fichier lié à l’attrait du recrutement. Le document télécharge et exécute ensuite la charge utile LDR4 .
Contrairement à la variante Ursnif précédente, la variante LDR4 n’utilise plus le format exécutable PX personnalisé. Les chercheurs pensent que ce choix a pu être fait pour éviter de trop compliquer la phase de dépannage, car les développeurs de logiciels malveillants voudraient probablement concentrer leurs efforts sur le réglage précis des fonctionnalités les plus importantes de la variante. Cette nouvelle variante est également très clairement une porte dérobée, ce qui fait d’Ursnif la dernière d’une longue gamme de familles de logiciels malveillants à suivre dans les traces d’Emotet et de TrickBot lorsqu’il s’agit de pivots de stratégie.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Le fait qu’Ursnif ou une variante de celui-ci reste pertinent bien plus d’une décennie après son émergence initiale dans le paysage des menaces prouve clairement que ses développeurs peuvent suivre les tendances en constante évolution du secteur des logiciels malveillants. L’évolution du logiciel malveillant de cheval de Troie bancaire à porte dérobée est un indicateur principal de ses tentatives de suivre le rythme du temps. »
« Cependant, il semble que ses développeurs n’aient pas tiré parti de deux opportunités majeures : la perturbation de Trickbot et d’Emotet aux mains de groupes de travail dédiés aux forces de l’ordre. Si Ursnif avait pivoté à une époque où il y avait un peu de vide de puissance dans le paysage des menaces, il aurait pu connaître un énorme succès, dans le contexte des logiciels malveillants tels queIcedID. Néanmoins, compte tenu de la sophistication historique et du degré de réussite significatif qu’Ursnif a connu, les chercheurs pensent que cette nouvelle variante pourrait toujours être tout aussi dangereuse. »
3. Les experts avertissent de la dissimulation furtive de la porte dérobée PowerShell en tant que mise à jour Windows
Un rapport récent de SafeBreach Labs révèle ce que de nombreux points de vente prétendent être une nouvelle porte dérobée PowerShell « entièrement indétectable ». Cela est plus qu’un peu idiosyncrasique, étant donné que la porte dérobée a en fait été détectée, comme en témoignent les différents chercheurs rapportant son existence. La porte dérobée précédemment non documentée est en mesure d’atteindre son niveau significatif de discrétion en se déguisant dans le cadre d’un processus de mise à jour Windows légitime.
À propos du backdoor PowerShell
Le logiciel malveillant lui-même s’engage principalement dans des activités d’exfiltration de données sur des hôtes compromis. L’attaque observée par SafeBreach Labs a commencé par un document Word malveillant qui comprenait un code macro pour lancer le script PowerShell. Le document Word était intitulé « Apply Form.docm » et a été téléchargé à partir d’une adresse IP en Jordanie le 25 août 2022. On pense que ce fichier est lié à un appât de spear-phishing basé sur LinkedIn, que nous avons vu beaucoup récemment. Il convient de noter que les macros devront être activées dans le document pour que ce point d’entrée initial réussisse.
Le compte-gouttes macro, updater.vbs, crée une tâche planifiée qui prétend faire partie d’une mise à jour Windows régulière. Le script s’exécutera à partir d’un dossier de mise à jour factice sous %appdata %\local\Microsoft\Windows et exécute un script PowerShell.
L’erreur de l’acteur malveillant conduit à la découverte
SafeBreach Labs a noté que le ou les acteur(s) de menace derrière la porte dérobée ont commis une erreur cruciale en utilisant des identifiants séquentiels prévisibles des victimes. Les chercheurs ont pu développer un script qui prétendait être diverses victimes compromises et ont enregistré les C2 réponses dans un fichier de capture de paquets (pcap). Ils ont ensuite exécuté un deuxième outil pour extraire les commandes cryptées de ce pcap. Cette sortie a été insérée dans CyberChef pour décrypter la commande pour chaque ID/numéro de victime.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce n’est que l’exemple le plus récent d’utilisation malveillante du script PowerShell. Plus tôt ce mois-ci, nous avons fait état d’une technique rare de « souriseover » pour la livraison de logiciels malveillants. L’ensemble de cet épisode doit servir de rappel aux cybercriminels et aux développeurs légitimes qu’une erreur ou une fonctionnalité apparemment mineure, comme cela semble dans ce cas, peut avoir des résultats catastrophiques. Quoi qu’il en soit, même si le ou les acteur(s) de menace derrière ce backdoor PowerShell ont fait une simple erreur dans son développement qui a conduit à sa découverte, le backdoor est un effort sophistiqué. »
« La capacité du logiciel malveillant à se masquer dans le cadre du processus de mise à jour de Windows, ainsi que son utilisation de l’ingénierie sociale via LinkedIn, indiquent un certain niveau de compétence. Cette activité est également un excellent rappel qu’une menace n’a pas besoin d’être diffusée dans toutes les actualités et d’avoir un nom fantaisie pour la réussir, car cette porte dérobée sans nom compte déjà plus de 60 victimes. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
