Les chasseurs de menaces ont fait la lumière sur une nouvelle campagne ciblant le ministère des Affaires étrangères d’une nation sud-américaine sans nom avec des logiciels malveillants sur mesure capables d’accorder un accès à distance aux hôtes infectés.
L’activité, détectée en novembre 2024, a été attribuée par les laboratoires de sécurité élastiques à un cluster de menace qu’il suit comme REF7707. Certaines des autres cibles comprennent une entité de télécommunications et une université, toutes deux situées en Asie du Sud-Est.
“Alors que la campagne Ref7707 est caractérisée par un ensemble d’intrusion bien conçu et très capable, les propriétaires de campagnes ont montré une mauvaise gestion des campagnes et des pratiques d’évasion incohérentes”, les chercheurs en sécurité Andrew Pease et Seth Goodwin dit dans une analyse technique.
Le vecteur d’accès initial exact utilisé dans les attaques n’est actuellement pas clair, bien qu’il ait été observé que l’application CerUtil de Microsoft est utilisée pour télécharger des charges utiles supplémentaires à partir d’un serveur Web associé au ministère des Affaires étrangères.
Les commandes CERUTIL utilisées pour récupérer les fichiers suspects ont été réalisées via le plugin Shell Remote Shell de Windows Remote Management (Winrshost.exe) à partir d’un système source inconnu sur un réseau connecté.
“Cela indique que les attaquants possédaient déjà des références de réseau valides et les utilisaient pour un mouvement latéral à partir d’un hôte précédemment compromis dans l’environnement”, ont noté les chercheurs.
Le premier des fichiers à exécuter est un logiciel malveillant nommé Pathloader qui permet l’exécution de ShellCode crypté reçu d’un serveur externe. Le shellcode extrait, surnommé FinalDraft, est par la suite injecté dans la mémoire d’un processus “mspaint.exe” nouvellement créé.
Écrit en C ++, Final est un outil d’administration à distance complet qui est équipé de capacités pour exécuter des modules supplémentaires à la volée et abuse du service de messagerie Outlook via l’API Microsoft Graph à des fins de commande et de contrôle (C2). Il convient de noter que l’abus de l’API graphique a déjà été détecté dans une autre porte dérobée nommée Siestagraph.
Le mécanisme de communication consiste à analyser les commandes stockées dans le dossier des brouillons de la boîte aux lettres et à rédiger les résultats de l’exécution dans de nouveaux projets de courriels pour chaque commande. FinalDraft enregistre 37 gestionnaires de commandes conçus autour de l’injection de processus, de la manipulation de fichiers et des capacités de proxy réseau.
Il est également conçu pour démarrer de nouveaux processus avec des hachages NTLM volés et exécuter des commandes PowerShell d’une manière telle qu’elle n’invoque pas le binaire “powershell.exe”. Au lieu de cela, il corrige plusieurs API pour échapper au traçage des événements pour Windows (ETW) et lance Powerpickun utilité légitime Cela fait partie de la boîte à outils après l’exploitation de l’Empire.
Les artefacts binaires ELF téléchargés sur Virustotal du Brésil et des États-Unis indiquent la présence d’une variante Linux de FinalDraft qui présente une fonctionnalité C2 similaire. La version Linux, pour sa part, peut exécuter des commandes de shell via pivoter et se supprimer du système.
“L’exhaustivité des outils et le niveau d’ingénierie impliquée suggèrent que les développeurs sont bien organisés”, ont déclaré les chercheurs. “Le délai prolongé de l’opération et les preuves de notre télémétrie suggèrent qu’il s’agit probablement d’une campagne axée sur l’espionnage.”