Le groupe de hackers APT41 : une menace persistante
Le groupe de hackers APT41 , connu pour ses tactiques d’attaque sophistiquées, utilise désormais un nouveau logiciel malveillant appelé ToughProgress . Cette menace exploitante les fonctionnalités de Google Calendar pour ses opérations de command-and-control (C2) , dissimulant ainsi ses activités malveillantes derrière un service cloud de confiance. L’ équipe de renseignement sur les menaces de Google a récemment découvert cette campagne et a pris des mesures ciblées pour prévenir de telles abus à l’avenir.
Google a réussi à identifier et à démanteler l’infrastructure de Google Calendar et de Google Workspace contrôlée par les attaquants. Bien que l’utilisation de Google Calendar comme mécanisme C2 ne soit pas une technique entièrement nouvelle, elle montre l’ingéniosité des hackers dans leurs méthodes. Par exemple, un rapport récent de Veracode a également évoqué une package malveillant dans l’index Node Package Manager (NPM) qui utilisait une méthode similaire pour échapper à la détection.
Le groupe APT41 a auparavant abusé des services de Google, utilisant à la fois Google Sheets et Google Drive dans une campagne de malware Voldemort en avril 2023.
Source : Google
Le flux d’attaque de APT41
La phase initiale de l’attaque commence avec l’envoi d’un email malveillant aux cibles, contenant un lien vers une archive ZIP hébergée sur un site gouvernemental précédemment compromis. Une fois décompressée, l’archive révèle un fichier LNK qui prétend être un document PDF, ainsi qu’un payload principal camouflé en fichier JPG et un fichier DLL utilisé pour déchiffrer et exécuter le payload.
Comme l’explique Google, les fichiers “6.jpg” et “7.jpg” sont en réalité des images fausses. Le premier fichier est un payload crypté qui est déchiffré par le second fichier, un DLL qui est lancé lorsque la cible clique sur le fichier LNK. Ce DLL, nommé PlusDrop , a pour rôle de déchiffrer et d’exécuter l’étape suivante, PlusInject , entièrement en mémoire.
Ensuite, PlusInject lance un processus de hollowing sur le processus Windows légitime svhost.exe et injecte la dernière étape, ToughProgress . Ce malware se connecte alors à un endpoint Google Calendar codé en dur et consulte des dates d’événements spécifiques pour détecter des commandes ajoutées par APT41 dans le champ de description des événements cachés.
Source : Google
Après avoir exécuté ces commandes, ToughProgress retourne les résultats dans de nouveaux événements de calendrier, permettant aux attaquants d’ajuster leurs prochaines étapes en conséquence. Grâce à cette stratégie, les payloads ne touchent jamais le disque dur, et la communication C2 se fait via un service cloud légitime, réduisant ainsi considérablement le risque d’être détecté par les produits de sécurité sur l’hôte infecté.
Neutraliser l’activité malveillante
Dans un effort pour contrer cette menace, Google a identifié les instances de Google Calendar contrôlées par les attaquants et a résilié tous les comptes Workspace associés ainsi que les événements de calendrier incriminés. La liste de blocage de Safe Browsing de Google a également été mise à jour, ce qui permet aux utilisateurs de recevoir un avertissement lorsqu’ils visitent des sites associés, tout en bloquant le trafic provenant de ceux-ci sur tous les produits du géant technologique.
Le rapport ne mentionne pas d’organisations ou de victimes spécifiques compromises, mais Google a informé ces dernières directement en collaboration avec Mandiant . De plus, Google a partagé des échantillons de ToughProgress et des journaux de trafic avec les victimes afin de les aider à identifier les infections dans leurs environnements.
Technologie