Dans son tour d'horizon de cette semaine, CTI se penche sur le cheval de Troie modulaire connu sous le nom de Zloader, qui a refait surface avec une nouvelle version après une interruption de près de deux ans. Par la suite, CTI mène l'enquête sur une nouvelle entité dénommée VexTrio, qui a noué des partenariats avec des dizaines d'acteurs malveillants et de développeurs de logiciels malveillants dans le cadre d'un vaste programme d'affiliation criminel. Enfin, CTI conclut par un aperçu du ransomware Kasseika et de ses liens potentiels avec BlackMatter.
1. Zloader fait son retour après une pause
Le cheval de Troie modulaire « Zloader » d' , (s'ouvre dans un nouvel onglet) , a refait surface sous une nouvelle forme après une période d'inactivité de près de deux ans.
Cette nouvelle variante intègre des techniques d'obfuscation améliorées, un algorithme de génération de domaines (DGA) mis à jour, un chiffrement RSA pour les communications réseau, ainsi que la prise en charge des versions 64 bits de Windows.
Qu'est-ce que Zloader ?
Le cheval de Troie Zloader est issu du cheval de Troie bancaire Zeus, découvert en 2007. Ce logiciel malveillant se distingue par sa capacité à évoluer d'une campagne à l'autre et a fait l'objet de mises à jour régulières depuis son apparition.
Dans le cadre de l'opération « avril 2022 », Microsoft a pris des mesures contre le logiciel malveillant Zloader de l' (s'ouvre dans un nouvel onglet), en collaboration avec des opérateurs de télécommunications afin de perturber l'infrastructure de ce logiciel malveillant. Depuis lors, ce logiciel malveillant est resté inactif.
Anti-analyse
Cette variante de Zloader utilise le hachage des importations d'API, du code factice, une vérification des noms de fichiers et l'obfuscation des chaînes de caractères pour empêcher toute analyse. Cette variante n'importe que quelques fonctions de la bibliothèque kernel32 , tandis que les autres importations sont résolues lors de l'exécution à l'aide de sommes de contrôle. Bien que cette technique ait déjà été observée dans d'anciennes versions de Zloader, cette nouvelle variante a amélioré sa mise en œuvre en ajoutant une constante XOR qui varie à chaque échantillon.
La nouvelle variante de Zloader dispose également d'une fonctionnalité anti-sandbox. Lorsque le logiciel malveillant est exécuté sous un nom de fichier spécifique, il exécute alors sa routine. Si le nom du fichier ne correspond pas, l'exécution sera interrompue afin de contourner les environnements de test qui renomment les fichiers.
Chiffrement de la configuration statique
Dans cette variante, la configuration statique de Zloader est toujours chiffrée de la même manière, mais sa structure est légèrement différente. Dans cette variante, l'identifiant du botnet, le nom de la campagne et la valeur C2s sont définis à des décalages fixes, et une clé publique RSA remplace la seule clé RC4 précédemment utilisée pour le chiffrement.
Des chercheurs ont identifié 15 nouveaux échantillons de Zloader qui possèdent tous la même clé publique RSA, ce qui pourrait indiquer qu'un seul acteur malveillant utilise actuellement ce logiciel malveillant.
Algorithme de génération de domaines
Si le serveur principal « C2 » du logiciel malveillant n'est pas disponible, celui-ci se rabattra sur un DGA. L'algorithme DGA a évolué, passant des anciennes variantes à la nouvelle variante, et ne dispose désormais plus d'une graine différente pour chaque botnet.
Ce code générera 32 domaines chaque jour en utilisant l'heure système locale à minuit comme valeur de départ. Chacun des domaines générés comporte 20 caractères et utilise l'extension .com.
Communications réseau
Zloader a légèrement modifié ses communications réseau. Il utilise toujours des requêtes HTTP POST pour communiquer avec son C2 , mais exploite désormais le RSA 1 024-bit avec le RC4 et les algorithmes de « chiffrement visuel » de Zeus.
Plus précisément, ce logiciel malveillant utilise le format personnalisé « Zeus BinStorage », dans lequel les 128 premiers octets correspondent à la clé chiffrée en RSA, tandis que les octets restants sont chiffrés à l'aide de la Rc4 e clé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Zloader était un logiciel malveillant très répandu avant d'être neutralisé en 2022. La réapparition du logiciel malveillant après une opération de démantèlement confirme que ces opérations ne constituent pas toujours un moyen définitif de mettre fin à une cybermenace et peuvent parfois inciter celle-ci à réapparaître sous une forme encore plus sophistiquée à l'avenir.
Les fonctionnalités mises à jour de Zloader sont comparables à celles de nombreuses autres menaces de logiciels malveillants actuellement en circulation, ce qui en fait un élément à suivre et à surveiller.
2. VexTrio distribue des logiciels malveillants pour le compte de plus de 60 affiliés
Des chercheurs ont mis au jour une nouvelle entité baptisée « VexTrio » ( ), qui a noué des partenariats avec des dizaines d'acteurs malveillants et de développeurs de logiciels malveillants dans le cadre d'un vaste programme d'affiliation criminel.
Infoblox estime que l'ampleur des activités d' , VexTrio (s'ouvre dans un nouvel onglet) — ainsi que le nombre de ses liens au sein du milieu de la cybercriminalité — font potentiellement de ce groupe le plus grand courtier en trafic malveillant.
À propos de VexTrio
VexTrio est actif depuis au moins 2017, et Infoblox le suit depuis environ deux ans. Étant donné que VexTrio n'est pas lié à un logiciel malveillant spécifique et qu'il s'agit d'un courtier de trafic, il n'est pas vraiment surprenant qu'il soit passé inaperçu pendant un certain temps.
Infoblox souligne que VexTrio constitue la menace la plus répandue au sein des réseaux de ses clients, sa présence ayant été détectée dans plus de la moitié de ces réseaux au cours des deux dernières années.
L'objectif principal de VexTrio est de servir d'intermédiaire pour le trafic destiné aux cybercriminels, et les chercheurs estiment que ce groupe a établi des partenariats avec au moins 60 affiliés. VexTrio exploite un système de répartition du trafic (TDS) qui redirige le trafic compromis vers divers types de contenus malveillants. Alors que de nombreux affiliés exploitent VexTrio, Infoblox a conclu que SocGholish et ClearFake redirigeaient leurs victimes vers VexTrio.
Les chercheurs ont également constaté que les chaînes d'attaques VexTrio peuvent impliquer plusieurs acteurs et en ont recensé jusqu'à quatre au cours d'une même séquence d'attaque.
Le rôle des serveurs TDS au sein du réseau d'affiliation de VexTrio
Les serveurs TDS jouent un rôle essentiel au sein du réseau d'affiliation de VexTrio, et VexTrio les configure et les gère d'une manière qui est déterminante pour son succès à long terme.
Un TDS analysera le profil d'une victime afin de vérifier s'il correspond aux critères de ciblage de VexTrio. En cas de correspondance, le TDS redirigera la victime vers un contenu illicite. Cela permet aux auteurs d'attaques de filtrer le trafic de manière à ce que seuls les visiteurs correspondant à leur profil accèdent au contenu malveillant.
Une chaîne d'attaque VexTrio peut inclure plusieurs serveurs TDS qui contrôlent collectivement l'intégralité du flux de trafic Web, du début à la fin.
Le modèle économique de VexTrio
Le programme d'affiliation VexTrio fonctionne de manière similaire à celle des réseaux d'affiliation légitimes. Chaque attaque implique généralement des infrastructures appartenant à plusieurs entités, qui transfèrent le trafic provenant de leurs propres ressources vers des serveurs TDS contrôlés par VexTrio.
VexTrio acheminera ensuite ce trafic vers les sites malveillants d'autres acteurs malveillants. En raison de sa similitude avec le trafic publicitaire inoffensif, Infoblox estime que l'activité de VexTrio risque d'être facilement ignorée par inadvertance.
Les filiales de VexTrio
On estime que l'écosystème de VexTrio compte de nombreux participants. VexTrio utilise des paramètres de requête dans les URL, et en analysant les modèles d'URL, les chercheurs ont pu déterminer que certaines combinaisons de valeurs de paramètres correspondent à un membre affilié unique.
Infoblox a présenté deux filiales de VexTrio :
- de ClearFake : ClearFake est un framework JavaScript malveillant qui présente de manière dynamique du contenu nuisible aux visiteurs d'un site web via une balise iframe HTML. Lorsque la victime clique sur un faux bouton de mise à jour du navigateur, elle est infectée par un logiciel malveillant. Au cours des derniers mois, l'acteur malveillant à l'origine de ClearFake a redirigé le trafic de ses victimes vers un petit ensemble de domaines TDS de VexTrio, en utilisant des valeurs de paramètres constantes. ClearFake exploite un TDS commercial appelé « Keitaro » et redirige le trafic vers l'URL du TDS VexTrio.
- de SocGholish : SocGholish est un logiciel malveillant notoire basé sur JavaScript, actif depuis 2017. Ses exploitants sont affiliés à VexTrio depuis au moins le début de l'année 2022. L'acteur malveillant SocGholish exploite le trafic Web en redirigeant ses victimes vers les serveurs TDS de VexTrio.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
VexTrio est un nouvel exemple illustrant à quel point l'écosystème cybercriminel peut fonctionner comme une véritable entreprise. Son modèle économique unique lui a permis de nouer des partenariats avec une multitude d'acteurs malveillants, y compris ceux à l'origine de certains logiciels malveillants bien connus.
VexTrio permet de mettre en place des chaînes d'attaques impliquant plusieurs acteurs malveillants, ce qui accroît la gravité potentielle de l'attaque et rend l'attribution encore plus difficile qu'elle ne l'est déjà.
L'enquête menée par Infoblox sur VexTrio est d'autant plus impressionnante que cette entité est complexe et que ses différentes composantes sont étroitement liées. Leur analyse est d'une grande rigueur et mérite d'être lue.
3. Le ransomware Kasseika lance des attaques de type BYOVD
Trend Micro a mené une analyse approfondie du ransomware Kasseika d' (s'ouvre dans un nouvel onglet), et a mis en évidence des indices suggérant que l'auteur de cette menace aurait pu se procurer le code source du célèbre ransomware BlackMatter.
Le ransomware Kasseika est l'une des dernières opérations à s'inscrire dans la tendance des attaques de type « bring-your-own-vulnerable-driver » (BYOVD).
Chaîne d'infection et recoupements avec BlackMatter
Kasseika lance son attaque à l'aide d'un e-mail de hameçonnage très ciblé de type « » et d'un lien vers. Après avoir recueilli les identifiants, il utilise des outils d'administration à distance pour obtenir un accès privilégié et se déplacer latéralement.
À l'instar d'autres opérations de ransomware, Kasseika exploite PsExec pour exécuter ses fichiers malveillants. Kasseika rejoint désormais de nombreuses autres opérations de ransomware en cherchant à mettre fin aux processus et services antivirus afin de déployer son ransomware. Dans le cadre des dernières attaques de type Kasseika, l'opération utilise un script pour vérifier la présence d'un processus nommé Martini.exe. Si ce processus est détecté, le ransomware le fermera, afin de s'assurer qu'une seule instance de ce processus est en cours d'exécution sur la machine.
Trend Micro a relevé plusieurs indices qui ressemblent à ceux du ransomware BlackMatter. Parmi ces indicateurs, on peut citer les extensions de pseudo-rançongiciel et l'utilisation d'une extension spécifique comme nom de fichier ou format de la note de rançon. Une analyse plus approfondie a révélé que la majeure partie du code source utilisé dans cette attaque provenait de BlackMatter.
Pour vous donner un peu de contexte, BlackMatter serait une nouvelle version du ransomware DarkSide, sur lequel l'opération BlackCat aurait été fondée.
Le mécanisme KILLAV et martini.exe
Martini.exe vérifiera tout d'abord si le pilote Martini a bien été téléchargé sur l'ordinateur. Le pilote signé, Martini.sys, portait à l'origine le nom de viragt64.sys et fait partie du système VirIT Agent. L'auteur de la menace a exploité des failles de sécurité pour utiliser ce pilote afin de désactiver divers outils de sécurité. Si le fichier Martini.sys n'existe pas sur la machine, le logiciel malveillant se fermera tout simplement.
Si le fichier Martini.sys est détecté sur la machine, le logiciel malveillant poursuivra son exécution en créant et en lançant un service. Le pilote sera ensuite chargé par Martini.exe via la fonction CreateFileW. Martini.exe analysera en permanence les processus actifs du système et, dès qu'un processus figurant dans la liste sera détecté, enverra cette information au pilote. Vous pouvez consulter ici la liste complète d'au moins 991 processus : . (s'ouvre dans un nouvel onglet)
Le ransomware recherchera les applications liées à la surveillance des processus, à la surveillance du système et à divers outils d'analyse. Il détecte ensuite les processus en cours d'exécution liés à ces applications et se ferme automatiquement si ces processus existent. Les fichiers obtenus sont transférés depuis un partage réseau vers un répertoire local avant le lancement du fichier binaire du ransomware, smartscreen_protected.exe.
Analyse de la charge utile
Le ransomware Kasseika est un fichier PE Windows 32 bits compressé à l'aide de Themida, un outil réputé pour compliquer la rétro-ingénierie.
Avant de procéder au chiffrement, le ransomware mettra fin à tous les processus et services qui accèdent au Gestionnaire de redémarrage de Windows. Il lance ensuite une nouvelle session et commence à répertorier les hachages de session ou les processus et services à partir des clés figurant dans cette même liste. Kasseika supprime les clichés d'ombre, chiffre les fichiers cibles et ajoute une extension chiffrée à ces fichiers. Sa note de rançon sera placée dans plusieurs répertoires avant que le rançongiciel ne modifie le fond d'écran du système.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce qui est le plus préoccupant à propos de ce groupe, c'est que Kasseika utiliserait apparemment une partie non négligeable du code source de BlackMatter. Le ransomware Blackmatter a déjà été associé à BlackCat (s'ouvre dans un nouvel onglet), une opération de type « ransomware-as-a-service » (RaaS) notoire et prospère (s'ouvre dans un nouvel onglet).
On ignore si un ancien membre de l'un de ces groupes de ransomware fait désormais partie de Kasseika, ou si cette organisation a simplement réussi, d'une manière ou d'une autre, à accéder au code source. Si cette hypothèse s'avère exacte, nous pourrions bien voir d'autres réalisations de Kasseika à l'avenir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
