Dans le résumé de cette semaine, CTI examine le cheval de Troie modulaire connu sous le nom de Zloader qui a réémergé avec une nouvelle itération après une interruption de presque deux ans. Ensuite, CTI enquête sur une nouvelle entité connue sous le nom de VexTrio qui a établi des partenariats avec des dizaines d’acteurs malveillants et de développeurs de logiciels malveillants dans le cadre d’un vaste programme d’affiliation criminelle. Enfin, CTI conclut avec un aperçu du ransomware Kasseika et de ses liens potentiels avec BlackMatter.
1. Zloader retourne de hiatus
Le cheval de Troie modulaire Zloader a réémergé avec une nouvelle itération après un hiatus qui a duré près de deux ans.
La nouvelle variante comprend des techniques d’obscurcissement mises à jour, un algorithme de génération de domaine (DGA) mis à jour, le chiffrement RSA pour les communications réseau et la prise en charge des versions 64 bits de Windows.
Qu’est-ce que Zloader ?
Le cheval de Troie Zloader provient du cheval de Troie bancaire Zeus qui a été découvert en 2007. Le logiciel malveillant est remarquable pour évoluer d’une campagne à l’autre et a continuellement reçu des mises à jour depuis son émergence.
En avril 2022, Microsoft a pris des mesures contre le logiciel malveillant Zloader, travaillant avec des fournisseurs de télécommunications pour perturber l’infrastructure du logiciel malveillant. Le logiciel malveillant a été mis en pause depuis.
Anti-analyse
La variante Zloader exploite le hachage d’importation d’API, le code indésirable, une vérification de nom de fichier et l’obscurcissement de chaîne pour l’anti-analyse. Cette variante n’importe que quelques fonctions de la bibliothèque kernel32 tandis que le reste des importations sont résolues pendant l’exécution via des sommes de contrôle. Bien que cette technique ait été observée dans les versions Zloader plus anciennes, la nouvelle variante a mis à jour sa mise en œuvre en ajoutant une constante XOR qui change avec chaque échantillon.
La nouvelle variante Zloader dispose également d’une fonctionnalité anti-sandbox. Lorsque le logiciel malveillant est exécuté avec un nom de fichier spécifique, il poursuit sa routine. Si le nom du fichier ne correspond pas, il cessera l’exécution pour échapper aux sandboxs qui renomment les fichiers.
Chiffrement de configuration statique
La configuration statique de Zloader dans cette variante est toujours cryptée de la même manière, mais avec une structure légèrement différente. Dans cette variante, l’ID de botnet, le nom de campagne et C2s sont définis sur des décalages fixes et une clé publique RSA remplace la seule clé RC4 précédemment utilisée pour le cryptage.
Des chercheurs ont observé 15 nouveaux échantillons Zloader qui ont tous la même clé publique RSA, ce qui pourrait suggérer qu’il n’y a qu’un seul acteur malveillant qui utilise actuellement le logiciel malveillant.
Algorithme de génération de domaine
Si le serveur C2 principal du logiciel malveillant n’est pas disponible, il reviendra à un DGA. L’algorithme DGA est passé d’anciennes variantes à la nouvelle variante et n’a désormais plus de point de départ différent par botnet.
Ce code générera 32 domaines chaque jour en utilisant l’heure du système local à minuit comme point de départ. Chacun des domaines générés mesure 20 caractères et utilise le fichier TLD .com.
Communications réseau
Zloader a légèrement modifié ses communications réseau. Il utilise toujours les demandes HTTP POST pour communiquer avec son C2 , mais exploite désormais 1 024-bit RSA avec RC4 et les algorithmes de « chiffrement visuel » Zeus.
Plus précisément, le logiciel malveillant exploite le format personnalisé Zeus BinStorage où les 128 premiers octets sont la clé cryptée RSA et les octets restants sont cryptés avec la clé Rc4 .
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Zloader était un logiciel malveillant populaire avant d’être perturbé en 2022. La réapparition du logiciel malveillant après un retrait opérationnel confirme que les retraits ne sont pas toujours un moyen définitif de démanteler une cybermenace et peuvent parfois encourager la menace à revenir encore plus sophistiquée à l’avenir.
Les fonctionnalités mises à jour de Zloader sont à la hauteur de nombreuses autres menaces de logiciels malveillants actuelles, ce qui en fait quelque chose à suivre et à surveiller.
2. VexTrio négocie les logiciels malveillants pour plus de 60 affiliés
Les chercheurs ont découvert une nouvelle entité appelée VexTrio qui a établi des partenariats avec des dizaines d’acteurs malveillants et de développeurs de logiciels malveillants dans le cadre d’un vaste programme d’affiliation criminelle.
Infoblox estime que l’échelle des activités VexTrio , ainsi que le nombre de connexions qu’il a dans le secteur de la cybercriminalité, font potentiellement de ce groupe le plus grand courtier en trafic malveillant.
À propos de VexTrio
VexTrio est actif depuis au moins 2017 ans, et Infoblox le suit depuis environ deux ans. Étant donné que VexTrio n’est pas lié à un logiciel malveillant spécifique et est un courtier en trafic, il n’est pas très surprenant qu’il n’ait pas été détecté pendant un certain temps.
Infoblox note que VexTrio est la menace la plus omniprésente dans les réseaux de ses clients, identifiant sa présence dans plus de la moitié de leurs réseaux clients au cours des deux dernières années.
L’objectif principal de VexTrio est de négocier le trafic pour les cybercriminels, et les chercheurs pensent qu’il s’est associé à au moins 60 sociétés affiliées. VexTrio exploite un système de distribution du trafic (TDS) qui achemine le trafic compromis vers diverses formes de contenu malveillant. Alors que de nombreuses filiales tirent parti de VexTrio, Infoblox a conclu que SocGholish et ClearFake transmettent les victimes à VexTrio.
Des chercheurs ont également observé que les chaînes d’attaque VexTrio peuvent inclure plusieurs acteurs et en ont été témoins quatre dans une seule séquence d’attaque.
Le rôle des serveurs TDS dans le réseau affilié de VexTrio
Les serveurs TDS jouent un rôle essentiel dans le réseau d’affiliation de VexTrio, et VexTrio les configure et les gère d’une manière qui est essentielle à sa réussite à long terme.
Un TDS analysera le profil d’une victime pour voir s’il correspond à un critère cible VexTrio. S’il existe une correspondance, le TDS redirigera la victime vers un contenu illégitime. Cela permet aux acteurs malveillants de filtrer le trafic afin que les visiteurs du contenu malveillant ne soient que ceux qui répondent à leur profil.
Une chaîne d’attaque VexTrio peut inclure plusieurs serveurs TDS qui contrôlent collectivement l’ensemble du flux de trafic Web du début à la fin.
Le modèle commercial de VexTrio
Le programme d’affiliation VexTrio fonctionne de la même manière que les réseaux d’affiliation marketing légitimes. Chaque attaque implique généralement une infrastructure détenue par plusieurs entités qui transmettra le trafic de leurs propres ressources aux serveurs TDS contrôlés par VexTrio.
VexTrio transmettra ensuite ce trafic à des sites malveillants d’autres acteurs malveillants. En raison de sa similarité comportementale avec le trafic publicitaire bénin, Infoblox pense que l’activité VexTrio peut être facilement rejetée par accident.
Filiales de VexTrio
VexTrio devrait avoir de nombreux participants dans son écosystème. VexTrio utilise des paramètres de requête d’URL, et en analysant des modèles d’URL, les chercheurs ont pu déterminer que certaines valeurs de paramètres représentent ensemble un membre affilié unique.
Infoblox a fourni un aperçu de deux filiales de VexTrio :
- ClearFake : ClearFake est un framework JavaScript malveillant qui présente dynamiquement aux visiteurs du site Web du contenu nuisible via un iframe HTML. Lorsque la victime clique sur un faux bouton de mise à jour du navigateur, elle reçoit une infection par un logiciel malveillant. Au cours des derniers mois, l’acteur malveillant derrière ClearFake a transféré le trafic des victimes vers un petit ensemble de domaines VexTrio TDS avec des valeurs de paramètres cohérentes. ClearFake tire parti d’un TDS commercial connu sous le nom de Keitaro et redirige le trafic vers l’URL VexTrio TDS.
- SocGholish : SocGholish est un logiciel malveillant connu basé sur JavaScript qui est actif depuis 2017. Ses opérateurs sont affiliés à VexTrio depuis au moins début 2022. L’acteur malveillant SocGholish capitalise sur le trafic Web en redirigeant les victimes vers les serveurs TDS VexTrio.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
VexTrio est un autre exemple de la manière dont l’écosystème cybercriminel peut ressembler à une entreprise. Son modèle commercial unique lui a permis de créer des partenariats avec une multitude d’acteurs malveillants, y compris ceux qui se cachent derrière des logiciels malveillants bien connus.
VexTrio crée la possibilité pour les chaînes d’attaque d’inclure plusieurs acteurs malveillants, augmentant la gravité potentielle de l’attaque et rendant l’attribution plus difficile qu’elle ne l’est déjà.
L’enquête d’Infoblox sur VexTrio est particulièrement impressionnante étant donné la complexité et l’imbrication de l’entité. Leur analyse est incroyablement approfondie et vaut la peine d’être lue.
3. Le ransomware Kasseika lance des attaques BYOVD
Trend Micro s’est penché en profondeur sur le ransomware Kasseika, en trouvant des indicateurs qui suggèrent que l’acteur malveillant derrière celui-ci aurait pu obtenir le code source du célèbre ransomware BlackMatter.
Le ransomware Kasseika est l’une des dernières opérations à suivre la tendance des attaques BYOD (apportez votre propre pilote vulnérable).
Chaîne d’infection et chevauchement avec BlackMatter
Kasseika commence son attaque par un e-mail et un lien d’hameçonnage hautement ciblés. Après avoir collecté des informations d’identification, il utilise des outils d’administration à distance pour obtenir un accès privilégié et se déplacer latéralement.
Comme d’autres opérations de ransomware, Kasseika abuse de PsExec pour exécuter ses fichiers malveillants. Kasseika rejoint désormais de nombreuses autres opérations de ransomware en cherchant à mettre fin aux processus et services antivirus pour déployer des ransomwares. Dans les dernières attaques Kasseika, l’opération utilise un script pour vérifier l’existence du processus appelé Martini.exe. Si ce processus est trouvé, le ransomware le mettra fin, garantissant qu’une seule instance du processus est exécutée sur la machine.
Trend Micro a vu plusieurs indicateurs qui ressemblent à ceux du ransomware BlackMatter. Certains de ces indicateurs incluent des extensions de pseudo-rançon et l’utilisation d’une extension spécifique comme nom/format de fichier de note de rançon. Une analyse approfondie a révélé que la majeure partie du code source de cette attaque provenait de BlackMatter.
Pour un certain contexte, BlackMatter est considérée comme une nouvelle marque de ransomware DarkSide, ce qui est considéré comme la base de l’opération de ransomware BlackCat.
Mécanisme KILLAV et martini.exe
Martini.exe vérifiera d’abord si le pilote Martini a été téléchargé avec succès sur la machine. Le pilote signé, Martini.sys, était à l’origine étiqueté viragt64.sys et fait partie du système d’agent VirIT. L’acteur malveillant a exploité les vulnérabilités pour utiliser ce pilote afin de désactiver divers outils de sécurité. Si Martini.sys n’existe pas sur la machine, le logiciel malveillant se mettra simplement fin.
Si Martini.sys est trouvé sur la machine, le logiciel malveillant poursuivra sa routine en créant et en initiant un service. Le pilote sera ensuite chargé par Martini.exe via la fonction CreateFileW. Martini.exe analysera en continu les processus actifs dans le système et, une fois qu’un processus répertorié est détecté, enverra ces informations au pilote. Une liste complète d’au moins 991 processus peut être consultée ici.
Le ransomware recherchera des applications liées à la surveillance des processus, à la surveillance du système et à divers outils d’analyse. Il découvre ensuite les processus en cours d’exécution liés à ces applications et se terminera automatiquement si les processus existent. Les fichiers obtenus sont exfiltrés d’un partage réseau vers un répertoire local avant le lancement du fichier binaire du ransomware, smartscreen_protected.exe.
Analyse de charge utile
Le ransomware Kasseika est un fichier PE Windows 32 bits compressé par Themida, qui est connu pour être plus difficile à effectuer l’ingénierie inverse.
Avant d’effectuer le chiffrement, le ransomware mettra fin à tous les processus et services qui accèdent à Windows Restart Manager. Il démarre ensuite une nouvelle session et commence à recenser les hachages de session ou les processus et services à partir des clés de la même liste. Kasseika supprime les copies fantômes, chiffre les fichiers cibles et ajoute une extension cryptée aux fichiers. Sa note de rançon sera déposée dans plusieurs répertoires avant que le ransomware ne modifie le fond d’écran du système.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ce qui est le plus préoccupant dans ce groupe, c’est que Kasseika utilise soi-disant une quantité décente de code source BlackMatter. Le ransomware Blackmatter a déjà été lié à BlackCat, une opération RaaS (Ransomware-as-a-Service) réputée et réussie.
Il n’est pas clair si un ancien membre de l’un de ces gangs de ransomware est désormais membre de Kasseika, ou si l’opération était simplement capable d’accéder au code source. Si la première est vraie, nous pourrions potentiellement voir plus de Kasseika à l’avenir.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
