Les acteurs de la menace associ\u00e9s au ran\u00e7ongiciel Cuba ont \u00e9t\u00e9 li\u00e9s \u00e0 des tactiques, techniques et proc\u00e9dures (TTP) non document\u00e9es auparavant, y compris un nouveau cheval de Troie d’acc\u00e8s \u00e0 distance appel\u00e9 ROM COM RAT<\/b> sur les syst\u00e8mes compromis.<\/p>\n
La nouvelles d\u00e9couvertes<\/a> viennent de l’\u00e9quipe de renseignement sur les menaces de l’unit\u00e9 42 de Palo Alto Networks, qui suit le groupe de ran\u00e7ongiciels \u00e0 double extorsion sous le surnom sur le th\u00e8me de la constellation<\/a> Scorpion tropical<\/strong>.<\/p>\n Cuba ransomware (alias TIRAGE \u00c0 FROID<\/a>), qui a \u00e9t\u00e9 d\u00e9tect\u00e9 pour la premi\u00e8re fois en d\u00e9cembre 2019, est r\u00e9apparu dans le paysage des menaces en novembre 2021 et a \u00e9t\u00e9 attribu\u00e9 \u00e0 des attaques contre 60 entit\u00e9s dans cinq secteurs d’infrastructure critiques, amassant au moins 43,9 millions de dollars en paiements de ran\u00e7on.<\/p>\n Sur les 60 victimes r\u00e9pertori\u00e9es sur son site de fuite de donn\u00e9es, 40 se trouvent aux \u00c9tats-Unis, ce qui indique une r\u00e9partition moins globale des organisations cibl\u00e9es que les autres gangs de ransomwares.<\/p>\n “Cuba ransomware est distribu\u00e9 via le malware Hancitor, un chargeur connu pour d\u00e9poser ou ex\u00e9cuter des voleurs, tels que les chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT) et d’autres types de ransomwares, sur les r\u00e9seaux des victimes”, selon un Alerte d\u00e9cembre 2021<\/a> du Federal Bureau of Investigation (FBI) des \u00c9tats-Unis.<\/p>\n “Les acteurs de logiciels malveillants Hancitor utilisent des e-mails de phishing, des vuln\u00e9rabilit\u00e9s Microsoft Exchange, des informations d’identification compromises ou des outils l\u00e9gitimes de protocole de bureau \u00e0 distance (RDP) pour obtenir un acc\u00e8s initial au r\u00e9seau d’une victime.”<\/p>\n Au cours des mois qui ont suivi, l’op\u00e9ration de ransomware a re\u00e7u une mise \u00e0 niveau dans le but \u00ab d’optimiser son ex\u00e9cution, de minimiser les comportements impr\u00e9vus du syst\u00e8me et de fournir une assistance technique aux victimes de ransomware si elles choisissent de n\u00e9gocier \u00bb, selon Trend Micro.<\/p>\n Le principal des changements consistait \u00e0 mettre fin \u00e0 davantage de processus avant le chiffrement (\u00e0 savoir Microsoft Outlook, Exchange et MySQL), \u00e0 \u00e9largir les types de fichiers \u00e0 exclure et \u00e0 r\u00e9viser sa note de ran\u00e7on pour offrir une assistance aux victimes via quTox.<\/p>\n On pense \u00e9galement que Tropical Scorpius partage des connexions avec un march\u00e9 d’extorsion de donn\u00e9es appel\u00e9 Industrial Spy, comme signal\u00e9<\/a> par Bleeping Computer en mai 2022, avec les donn\u00e9es exfiltr\u00e9es \u00e0 la suite d’une attaque de ransomware \u00e0 Cuba mises en vente sur le portail illicite au lieu de son propre site de fuite de donn\u00e9es.<\/p>\n Les derni\u00e8res mises \u00e0 jour observ\u00e9es par l’unit\u00e9 42 en mai 2022 concernent les tactiques d’\u00e9vasion de la d\u00e9fense employ\u00e9es avant le d\u00e9ploiement du ransomware pour voler sous le radar et se d\u00e9placer lat\u00e9ralement dans l’environnement informatique compromis.<\/p>\n “Tropical Scorpius a exploit\u00e9 un compte-gouttes qui \u00e9crit un pilote de noyau dans le syst\u00e8me de fichiers appel\u00e9 ApcHelper.sys”, a not\u00e9 la soci\u00e9t\u00e9. “Cela cible et met fin aux produits de s\u00e9curit\u00e9. Le dropper n’a pas \u00e9t\u00e9 sign\u00e9, cependant, le pilote du noyau a \u00e9t\u00e9 sign\u00e9 \u00e0 l’aide du certificat trouv\u00e9 dans la fuite LAPSUS $ NVIDIA.”<\/p>\n La t\u00e2che principale du pilote du noyau est de terminer les processus associ\u00e9s aux produits de s\u00e9curit\u00e9 afin de contourner la d\u00e9tection. Un outil d’escalade de privil\u00e8ges local t\u00e9l\u00e9charg\u00e9 \u00e0 partir d’un serveur distant pour obtenir des autorisations SYSTEM est \u00e9galement int\u00e9gr\u00e9 \u00e0 la cha\u00eene d’attaque. <\/p>\n Ceci, \u00e0 son tour, est r\u00e9alis\u00e9 en d\u00e9clenchant un exploit pour CVE-2022-24521 (score CVSS : 7,8), une faille dans le Windows Common Log File System (CLFS) qui a \u00e9t\u00e9 corrig\u00e9e par Microsoft comme une faille zero-day en avril 2022. .<\/p>\n L’\u00e9tape d’escalade des privil\u00e8ges est suivie par la r\u00e9alisation d’activit\u00e9s de reconnaissance du syst\u00e8me et de d\u00e9placement lat\u00e9ral via des outils tels que ADFind et Net Scan, tout en utilisant \u00e9galement un utilitaire ZeroLogon qui exploite CVE-2020-1472 pour obtenir des droits d’administrateur de domaine.<\/p>\n De plus, l’intrusion ouvre la voie au d\u00e9ploiement d’une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e ROMCOM RAT, qui est \u00e9quip\u00e9e pour d\u00e9marrer un reverse shell, supprimer des fichiers arbitraires, t\u00e9l\u00e9charger des donn\u00e9es sur un serveur distant et r\u00e9colter une liste des processus en cours d’ex\u00e9cution.<\/p>\n Le cheval de Troie d’acc\u00e8s \u00e0 distance, par unit\u00e9 42, serait en cours de d\u00e9veloppement actif, car la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9couvert un deuxi\u00e8me \u00e9chantillon t\u00e9l\u00e9charg\u00e9 dans la base de donn\u00e9es VirusTotal le 20 juin 2022.<\/p>\n La variante am\u00e9lior\u00e9e prend en charge un ensemble \u00e9largi de 22 commandes, comptant la possibilit\u00e9 de t\u00e9l\u00e9charger des charges utiles sur mesure pour capturer des captures d’\u00e9cran ainsi que d’extraire une liste de toutes les applications install\u00e9es \u00e0 renvoyer au serveur distant.<\/p>\n “Tropical Scorpius reste une menace active”, ont d\u00e9clar\u00e9 les chercheurs. “L’activit\u00e9 du groupe montre clairement qu’une approche de l’artisanat utilisant un hybride d’outils plus nuanc\u00e9s se concentrant sur les composants internes de Windows de bas niveau pour l’\u00e9vasion de la d\u00e9fense et l’escalade des privil\u00e8ges locaux peut \u00eatre tr\u00e8s efficace lors d’une intrusion.<\/p>\n Les d\u00e9couvertes surviennent alors que des groupes de ran\u00e7ongiciels \u00e9mergents tels que Orageux<\/a>, Vice-soci\u00e9t\u00e9<\/a>Luna, SolidBit<\/a>et BlueSky continuent de prolif\u00e9rer et d’\u00e9voluer dans l’\u00e9cosyst\u00e8me de la cybercriminalit\u00e9, tout en utilisant des techniques de cryptage et des m\u00e9canismes de diffusion avanc\u00e9s.<\/p>\n SolidBit se distingue par son ciblage des utilisateurs de jeux vid\u00e9o et de plateformes de m\u00e9dias sociaux populaires en se faisant passer pour diff\u00e9rentes applications comme un outil de v\u00e9rification de compte League of Legends et des outils comme Social Hacker et Instagram Follower Bot, permettant aux acteurs de lancer un large r\u00e9seau de victimes potentielles. .<\/p>\n “Le ransomware SolidBit est compil\u00e9 \u00e0 l’aide de .NET et est en fait une variante du ransomware Yashma, \u00e9galement connu sous le nom de Chaos”, a d\u00e9clar\u00e9 Trend Micro. c’est not\u00e9<\/a> dans un article la semaine derni\u00e8re.<\/p>\n “Il est possible que les acteurs du ransomware de SolidBit travaillent actuellement avec le d\u00e9veloppeur original du ransomware Yashma et aient probablement modifi\u00e9 certaines fonctionnalit\u00e9s du constructeur Chaos, le rebaptisant plus tard SolidBit.”<\/p>\n BlueSky, pour sa part, est connu pour utiliser le multithreading pour crypter les fichiers sur l’h\u00f4te pour un cryptage plus rapide, sans parler d’adopter des techniques anti-analyse pour obscurcir son apparence.<\/p>\n La charge utile du ransomware, qui d\u00e9marre avec l’ex\u00e9cution d’un script PowerShell r\u00e9cup\u00e9r\u00e9 \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un attaquant, se d\u00e9guise \u00e9galement en une application Windows l\u00e9gitime (“javaw.exe”).<\/p>\n “Les auteurs de ransomwares adoptent des techniques avanc\u00e9es modernes telles que le codage et le cryptage d’\u00e9chantillons malveillants, ou l’utilisation de la livraison et du chargement de ransomwares en plusieurs \u00e9tapes, pour \u00e9chapper aux d\u00e9fenses de s\u00e9curit\u00e9”, Unit\u00e9 42 c’est not\u00e9<\/a>.<\/p>\n “Le ransomware BlueSky est capable de chiffrer les fichiers sur les h\u00f4tes victimes \u00e0 des vitesses rapides avec un calcul multithread. En outre, le ransomware adopte des techniques d’obscurcissement, telles que le hachage d’API, pour ralentir le processus d’ing\u00e9nierie inverse pour l’analyste.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Cuba](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660224634_186_Les-pirates-informatiques-derriere-les-attaques-de-rancongiciels-a-Cuba.jpg\" "\\"Cuba")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n![\"Ran\u00e7ongiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660224634_308_Les-pirates-informatiques-derriere-les-attaques-de-rancongiciels-a-Cuba.jpg\" "\\"Ran\u00e7ongiciel")
<\/div>\n