Cette semaine, nous vous présentons les dernières informations concernant « CVE-2022-41352 », une faille permettant l'exécution de code à distance (RCE) qui permet aux attaquants d'implanter des « web shells » et d'autres contenus arbitraires au sein des serveurs de la suite collaborative Zimbra (ZCS).
Nous mettons également en avant une nouvelle variante d’Ursnif, qui marque le dernier aboutissement de l’évolution de cette famille de logiciels malveillants : d’un simple cheval de Troie bancaire, elle est désormais devenue une menace capable de faciliter les attaques par ransomware et le vol de données.
Pour finir, nous terminons par un résumé concernant une porte dérobée PowerShell qui se fait passer pour un élément d'un processus légitime de mise à jour Windows.
1. 900 serveurs (et ce n'est pas fini) ont été piratés via une faille de sécurité de Zimbra
Selon Kaspersky, une faille de sécurité dans Zimbra a entraîné la compromission d’environ 900 serveurs, suite à l’action de divers acteurs malveillants (dont ce que les experts du secteur qualifient d’« APT avancées ») qui ont détecté et exploité une vulnérabilité critique dans la suite Zimbra Collaboration de (ZCS) (s'ouvre dans un nouvel onglet) – une faille qui existait sous forme de « zero-day » sans correctif pendant près de 1,5 mois.
Cette faille de sécurité, référencée sous le numéro CVE-2022-41352, est une vulnérabilité de type « exécution de code à distance » (RCE) permettant à des acteurs malveillants d'implanter des « web shells » au sein des serveurs ZCS et de contourner les contrôles antivirus grâce à une pièce jointe malveillante de type archive, accompagnant un e-mail envoyé par l'attaquant.
Cette vulnérabilité a été signalée pour la première fois sur 10 septembre 2022 par un utilisateur du site , sur les forums officiels de Zimbra (s'ouvre dans un nouvel onglet), qui a indiqué que son équipe avait détecté un incident de sécurité provenant d'une instance de Zimbra entièrement mise à jour. Après avoir examiné les informations fournies par l'utilisateur, Zimbra a pu confirmer qu'une vulnérabilité inconnue permettait effectivement à des pirates de télécharger des fichiers arbitraires sur des serveurs ZCS à jour. Le problème est lié à la méthode utilisée par le moteur antivirus de Zimbra — appelé Amavis — pour analyser les e-mails entrants (Amavis utilisant pour cela une fonction de Zimbra appelée « cpio »).
Solution de contournement proposée par Zimbra pour le problème CVE-2022-41352
La solution de contournement temporaire proposée par Zimbra ( ) pour le problème CVE-2022-41352 (s'ouvre dans un nouvel onglet) consistait à installer l'utilitaire pax et à redémarrer les services Zimbra. Pax est installé par défaut sur Ubuntu ; par conséquent, les installations de Zimbra basées sur Ubuntu ne seraient pas vulnérables.
De son côté, Zimbra a reconnu le risque lié à l'utilisation de cpio dans un article de blog (s'ouvre dans un nouvel onglet) dans lequel la société a fourni des mesures d'atténuation recommandées.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien que l’identité de l’APT inconnue responsable d’une grande partie de ces attaques n’ait pas encore été établie, le CTI a déjà observé des attaques similaires, apparemment aléatoires, au cours desquelles des « web shells » ont été déployés sur autant de serveurs vulnérables que possible. » Dans ces cas précis (s'ouvre dans un nouvel onglet), les vulnérabilités provenaient des serveurs Microsoft Exchange, le shell web utilisé était China Chopper, et l'acteur responsable était HAFNIUM, un groupe lié à la Chine. »
« Il reste à déterminer quel groupe malveillant — s’il y en a un — est lié à cette vague actuelle d’attaques visant les serveurs Zimbra, en particulier ceux situés en Asie centrale, et si ces activités malveillantes s’inscrivent dans le cadre d’une campagne coordonnée. » Ce que l'on sait, c'est que cette activité présente indéniablement des similitudes avec les activités historiques des APT, tant en termes d'ampleur que d'intensité. Comme en témoignent plusieurs avis de la CISA, , ce n’est pas la première fois (s’ouvre dans un nouvel onglet) que les vulnérabilités de la solution ZCS de Zimbra ont fait l’objet d’un intérêt marqué de la part de divers groupes APT. »
2. Une nouvelle variante du logiciel malveillant Ursnif se concentre désormais sur les ransomwares et le vol de données
Un rapport récent publié par Mandiant analyse ce qui semble être un éloignement de l'objectif et des fonctionnalités d'origine du logiciel malveillant Ursnif, disponible à l'adresse . (s'ouvre dans un nouvel onglet)
Des chercheurs ont constaté qu'Ursnif était passé d'un cheval de Troie conçu pour faciliter la fraude bancaire à un logiciel malveillant plus polyvalent, capable de préparer le terrain pour des attaques par ransomware et des vols de données. Ursnif a évolué au cours des dernières années.
Qu'est-ce qu'Ursnif et cette nouvelle variante de logiciel malveillant ?
Ursnif (s'ouvre dans un nouvel onglet) (également connu sous le nom d'ISFB – plus d'informations à ce sujet ci-dessous) est l'une des familles de logiciels malveillants bancaires les plus anciennes et les plus efficaces encore actives aujourd'hui, plus d'une décennie après son apparition dans le paysage des cybermenaces. Les auteurs et les contributeurs de ce logiciel malveillant ont produit de nombreuses versions au fil des ans, et Ursnif est souvent associé à d'autres familles et variantes de logiciels malveillants. Son code source a fait l'objet de fuites à au moins deux reprises depuis sa première apparition majeure, ce qui a donné lieu à des versions supplémentaires qui circulent encore aujourd'hui.
À l'heure actuelle, Ursnif n'est plus considéré comme un simple logiciel malveillant, mais comme une famille de variantes. De nombreux chercheurs désignent aujourd'hui cette famille de logiciels malveillants sous les noms suivants : Gozi (s'ouvre dans un nouvel onglet)/ISFB (s'ouvre dans un nouvel onglet). Parmi ces variantes, on trouve :
- ISFB : Extrait du code source divulgué de Gozi, sur lequel reposent de nombreuses variantes d'Ursnif. En activité avant 2014.
- Dreambot : Mandiant considère qu'il s'agit de l'une des variantes les plus efficaces. Active 2014-2020.
- IAP : la branche de l'ISFB la plus activement développée et diffusée, à l'origine de fréquentes campagnes de logiciels malveillants ciblant l'Italie. En activité depuis 2014 jusqu'à aujourd'hui.
- RM2 : Également connu sous le nom de GoziAT, le groupe RM2 a débuté ses activités il y a plusieurs années avec le logiciel malveillant Chanitor (également appelé Hancitor). Active 2016-2021.
- RM3 « » : en raison de son format de fichier exécutable personnalisé, il s'agit de la version la plus sophistiquée à ce jour, qui a principalement touché l'Océanie et le Royaume-Uni depuis la version 2017. Active 2017-2021.
- LDR4 « » : la toute dernière variante, qui marque le passage de la fraude bancaire aux rançongiciels. Actif actuellement.
Le LDR4 a été observé pour la première fois par Mandiant sur 23 juin, tandis que le 2022being a été diffusé à l'aide d'un leurre d'attaque par hameçonnage lié au recrutement, , dont l'adresse était. Cet e-mail contient généralement un lien vers un site web piraté qui redirige l'utilisateur vers un domaine se faisant passer pour celui d'une entreprise légitime. Un test CAPTCHA télécharge un document Excel présenté aux victimes comme un fichier lié à l'appât de recrutement. Le document télécharge ensuite la charge utile « LDR4 » et l'exécute.
Contrairement à la variante précédente d'Ursnif, la variante LDR4 n'utilise plus le format d'exécutable personnalisé PX. Les chercheurs estiment que ce choix a peut-être été fait pour éviter de compliquer excessivement la phase de dépannage, car les développeurs de logiciels malveillants souhaiteraient probablement concentrer leurs efforts sur le perfectionnement des fonctionnalités les plus importantes de cette variante. Cette nouvelle variante constitue également très clairement une porte dérobée, ce qui fait d’Ursnif la dernière d’une longue série de familles de logiciels malveillants à suivre les traces d’Emotet et de TrickBot en matière de réorientation stratégique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le fait qu’Ursnif, ou l’une de ses variantes, reste d’actualité bien plus d’une décennie après son apparition initiale dans le paysage des menaces prouve clairement que ses développeurs sont capables de s’adapter aux tendances en constante évolution du secteur des logiciels malveillants. » « L'évolution de ce logiciel malveillant, qui est passé du statut de cheval de Troie bancaire à celui de porte dérobée, témoigne clairement de sa volonté de s'adapter aux nouvelles tendances. »
« Il semble toutefois que ses développeurs n’aient pas su tirer parti de deux occasions en or : la neutralisation de Trickbot et d’Emotet par des groupes de travail spécialisés des forces de l’ordre. » Si Ursnif avait changé d'orientation à un moment où il existait un certain vide de pouvoir dans le paysage des menaces, il aurait pu connaître un succès phénoménal, à l'instar de logiciels malveillants tels qu'IcedID. « Néanmoins, compte tenu de la sophistication historique et du succès considérable dont a fait preuve Ursnif, les chercheurs estiment que ce nouveau variant pourrait tout de même s’avérer tout aussi dangereux. »
3. Des experts mettent en garde contre une porte dérobée PowerShell furtive se faisant passer pour une mise à jour Windows
Un rapport récent de SafeBreach Labs révèle ce que de nombreux médias présentent comme une nouvelle porte dérobée PowerShell « totalement indétectable » . C'est pour le moins singulier, étant donné que cette porte dérobée a bel et bien été détectée, comme en témoignent les différents chercheurs qui ont signalé son existence. Cette porte dérobée, qui n'avait jusqu'à présent pas été répertoriée, parvient à atteindre un niveau de discrétion considérable en se faisant passer pour un élément d'un processus légitime de mise à jour de Windows.
À propos de la porte dérobée PowerShell
Le logiciel malveillant lui-même se consacre principalement à des activités d'exfiltration de données sur les hôtes compromis. L'attaque observée par SafeBreach Labs a débuté par un document Word malveillant contenant un code de macro destiné à lancer le script PowerShell. Le document Word s'intitulait « Apply Form.docm » et a été mis en ligne depuis une adresse IP située en Jordanie sur le site 25 août 2022. On pense que ce fichier est lié à une tentative de spear-phishing visant les candidatures à des postes sur LinkedIn, un phénomène que nous avons observé à maintes reprises ces derniers temps. Il convient de noter que les macros doivent être activées dans le document pour que ce point d'entrée initial fonctionne correctement.
La macro « dropper » — updater.vbs — crée une tâche planifiée qui se fait passer pour une mise à jour Windows classique. Le script s'exécutera à partir d'un faux dossier « update » situé dans %appdata%\local\Microsoft\Windows et lancera un script PowerShell.
Une erreur commise par un acteur malveillant a permis de découvrir la faille
SafeBreach Labs a relevé que le ou les auteurs de cette menace à l'origine de la porte dérobée avaient commis une erreur cruciale en utilisant des identifiants de victimes séquentiels et prévisibles. Les chercheurs ont réussi à développer un script qui se faisait passer pour différentes victimes dont les systèmes avaient été compromis et ont enregistré les C2 réponses dans un fichier de capture de paquets (pcap). Ils ont ensuite utilisé un deuxième outil pour extraire les commandes chiffrées de ce fichier pcap. Cette sortie a été redirigée vers CyberChef afin de déchiffrer la commande correspondant à chaque identifiant ou numéro de victime.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce n'est là que l'exemple le plus récent d'une utilisation malveillante d'un script PowerShell. » Au début du mois, nous avons publié un article sur une technique rare de « mouseover » utilisée pour la diffusion de logiciels malveillants. Cet épisode dans son ensemble devrait servir de rappel, tant aux cybercriminels qu'aux développeurs de bonne foi, qu'une erreur apparemment mineure — ou une fonctionnalité, comme cela semble être le cas ici — peut avoir des conséquences catastrophiques. Quoi qu’il en soit, même si le ou les auteurs de cette porte dérobée PowerShell ont commis une simple erreur lors de son développement, ce qui a conduit à sa découverte, cette porte dérobée n’en reste pas moins le fruit d’un travail sophistiqué. »
« La capacité de ce logiciel malveillant à se faire passer pour une mise à jour de Windows, ainsi que son recours à l'ingénierie sociale via LinkedIn, témoignent d'un certain niveau de compétence. » « Cette opération nous rappelle également qu’une menace n’a pas besoin de faire la une des journaux ni d’avoir un nom ronflant pour être efficace, puisque cette porte dérobée anonyme compte déjà plus de 60 victimes. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
