Un groupe de menaces persistantes avancées (APT) basé en Chine déploie peut-être des familles de rançongiciels de courte durée comme leurre pour dissimuler les véritables objectifs opérationnels et tactiques derrière ses campagnes.
Le cluster d’activités, attribué à un groupe de piratage surnommé Lumière des étoiles en bronze par Secureworks, implique le déploiement de rançongiciels post-intrusion tels que LockFile, Atom Silo, Rook, Night Sky, Pandora et LockBit 2.0.
« Le ransomware pourrait empêcher les intervenants d’identifier la véritable intention des acteurs de la menace et réduire la probabilité d’attribuer l’activité malveillante à un groupe de menace chinois parrainé par le gouvernement », ont déclaré les chercheurs. a dit dans un nouveau rapport. « Dans chaque cas, le ransomware cible un petit nombre de victimes sur une période de temps relativement brève avant de cesser ses opérations, apparemment de façon permanente. »
Bronze Starlight, actif depuis la mi-2021, est également suivi par Microsoft sous le nom de cluster de menaces émergentes DEV-0401, le géant de la technologie soulignant son implication à toutes les étapes du cycle d’attaque du ransomware dès l’accès initial au déploiement de la charge utile.
Contrairement à d’autres groupes RaaS qui achètent l’accès auprès des courtiers d’accès initiaux (IAB) pour entrer dans un réseau, les attaques montées par l’acteur se caractérisent par l’utilisation de vulnérabilités non corrigées affectant Exchange Server, Zoho ManageEngine ADSelfService Plus, Atlassian Confluence (y compris la faille récemment révélée) , et Apache Log4j.
Depuis août 2021, le groupe aurait parcouru jusqu’à six souches de rançongiciels différentes telles que LockFile (août), Atom Silo (octobre), Rook (novembre), Night Sky (décembre), Pandora (février 2022) et plus récemment LockBit 2.0 (avril).
De plus, des similitudes ont été découvertes entre LockFile et Atom Silo ainsi qu’entre Rook, Night Sky et Pandora – ces trois derniers dérivés du rançongiciel Babuk, dont le code source a été divulgué en septembre 2021 – indiquant le travail d’un acteur commun.
« Parce que DEV-0401 maintient et renomme fréquemment ses propres charges utiles de ransomware, ils peuvent apparaître comme des groupes différents dans les rapports basés sur la charge utile et échapper aux détections et aux actions à leur encontre », Microsoft c’est noté le mois dernier.
Après avoir pris pied dans un réseau, Bronze Starlight est connu pour s’appuyer sur des techniques telles que l’utilisation de Cobalt Strike et Windows Management Instrumentation (WMI) pour le mouvement latéral, bien qu’à partir de ce mois-ci, le groupe ait commencé à remplacer Cobalt Strike par le cadre Sliver dans ses attaques.
D’autres artisanats observés concernent l’utilisation de Chargeur HUI pour lancer des charges utiles cryptées de la prochaine étape telles que PlugX et Cobalt Strike Beacons, cette dernière étant utilisée pour fournir le ransomware, mais pas avant d’avoir obtenu les informations d’identification privilégiées de l’administrateur de domaine.
« L’utilisation de HUI Loader pour charger Cobalt Strike Beacon, les informations de configuration de Cobalt Strike Beacon, l’infrastructure C2 et le chevauchement de code suggèrent que le même groupe de menaces est associé à ces cinq familles de rançongiciels », ont expliqué les chercheurs.
Il convient de souligner que HUI Loader et PlugX, aux côtés de ShadowPad, sont des logiciels malveillants historiquement utilisés par les collectifs antagonistes des États-nations chinois, ce qui donne du crédit à la possibilité que Bronze Starlight soit davantage axé sur l’espionnage que sur les avantages monétaires immédiats.
En plus de cela, le modèle de victimologie couvrant les différentes souches de ransomwares montre qu’une majorité des cibles sont susceptibles d’intéresser davantage les groupes parrainés par le gouvernement chinois qui se concentrent sur la collecte de renseignements à long terme.
Les principales victimes comprennent des sociétés pharmaceutiques au Brésil et aux États-Unis, une organisation médiatique basée aux États-Unis avec des bureaux en Chine et à Hong Kong, des concepteurs et fabricants de composants électroniques en Lituanie et au Japon, un cabinet d’avocats aux États-Unis et une division aérospatiale et défense de un conglomérat indien.
À cette fin, les opérations de ransomware, en plus de fournir un moyen d’exfiltrer des données dans le cadre du système de double extorsion « nom et honte », offrent également un double avantage en ce sens qu’elles permettent à l’auteur de la menace de détruire les preuves médico-légales de leurs activités malveillantes et agir comme une distraction contre le vol de données.
« Il est plausible que Bronze Starlight déploie un ransomware comme écran de fumée plutôt que pour un gain financier, avec la motivation sous-jacente de voler la propriété intellectuelle ou de mener de l’espionnage », ont déclaré les chercheurs.