Une r\u00e9cente attaque de malware IcedID a permis \u00e0 l’auteur de la menace de compromettre le domaine Active Directory d’une cible anonyme moins de 24 heures apr\u00e8s avoir obtenu l’acc\u00e8s initial.<\/p>\n
“Tout au long de l’attaque, l’attaquant a suivi une routine de commandes de reconnaissance, de vol d’informations d’identification, de mouvement lat\u00e9ral en abusant des protocoles Windows et en ex\u00e9cutant Cobalt Strike sur l’h\u00f4te nouvellement compromis”, ont d\u00e9clar\u00e9 les chercheurs de Cybereason. m’a dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n IcedID, \u00e9galement connu sous le nom de BokBot, a commenc\u00e9 sa vie en tant que cheval de Troie bancaire en 2017 avant de devenir un compte-gouttes pour d’autres logiciels malveillants, rejoignant Emotet, TrickBot, Qakbot, Bumblebee et Raspberry Robin.<\/p>\n Les attaques impliquant la livraison d’IcedID ont utilis\u00e9 diverses m\u00e9thodes, en particulier \u00e0 la suite de la d\u00e9cision de Microsoft de bloquer les macros des fichiers Office t\u00e9l\u00e9charg\u00e9s sur le Web.<\/p>\n L’intrusion d\u00e9taill\u00e9e par Cybereason n’est pas diff\u00e9rente en ce sens que la cha\u00eene d’infection commence par un fichier image ISO contenu dans une archive ZIP qui aboutit \u00e0 l’ex\u00e9cution de la charge utile IcedID.<\/p>\n Le logiciel malveillant \u00e9tablit ensuite la persistance sur l’h\u00f4te via une t\u00e2che planifi\u00e9e et communique avec un serveur distant pour t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires, y compris Cobalt Strike Beacon pour une activit\u00e9 de reconnaissance de suivi.<\/p>\n Il effectue \u00e9galement un mouvement lat\u00e9ral sur le r\u00e9seau et ex\u00e9cute la m\u00eame balise Cobalt Strike sur tous ces postes de travail, puis proc\u00e8de \u00e0 l’installation Agent Atera<\/a>un outil d’administration \u00e0 distance l\u00e9gitime, en tant que m\u00e9canisme d’acc\u00e8s \u00e0 distance redondant.<\/p>\n “L’utilisation d’outils informatiques comme celui-ci permet aux attaquants de se cr\u00e9er une “porte d\u00e9rob\u00e9e” suppl\u00e9mentaire au cas o\u00f9 leurs m\u00e9canismes de persistance initiaux seraient d\u00e9couverts et corrig\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs. “Ces outils sont moins susceptibles d’\u00eatre d\u00e9tect\u00e9s par un antivirus ou un EDR et sont \u00e9galement plus susceptibles d’\u00eatre consid\u00e9r\u00e9s comme des faux positifs.”<\/p>\n Le Cobalt Strike Beacon est en outre utilis\u00e9 comme conduit pour t\u00e9l\u00e9charger un outil C # surnomm\u00e9 Rubeus<\/a> pour le vol d’informations d’identification, permettant finalement \u00e0 l’auteur de la menace de se d\u00e9placer lat\u00e9ralement vers un serveur Windows avec des privil\u00e8ges d’administrateur de domaine.<\/p>\n Les autorisations \u00e9lev\u00e9es sont ensuite militaris\u00e9es pour mettre en sc\u00e8ne un Attaque DCSync<\/a>permettant \u00e0 l’adversaire de simuler le comportement d’un contr\u00f4leur de domaine (CC<\/a>) et r\u00e9cup\u00e9rez les informations d’identification d’autres contr\u00f4leurs de domaine.<\/p>\n D’autres outils utilis\u00e9s dans le cadre de l’attaque incluent un utilitaire l\u00e9gitime nomm\u00e9 netscan.exe pour analyser le r\u00e9seau \u00e0 la recherche de mouvements lat\u00e9raux ainsi que le logiciel de synchronisation de fichiers rclone pour exfiltrer les r\u00e9pertoires d’int\u00e9r\u00eat pour le service de stockage en nuage MEGA.<\/p>\n Les r\u00e9sultats viennent alors que les chercheurs de l’\u00e9quipe Cymru jettent plus de lumi\u00e8re sur le protocole BackConnect (BC) utilis\u00e9 par IcedID pour fournir des fonctionnalit\u00e9s suppl\u00e9mentaires apr\u00e8s compromis, y compris un Module VNC<\/a> qui fournit un canal d’acc\u00e8s \u00e0 distance.<\/p>\n “Dans le cas de la Colombie-Britannique, il semble y avoir deux op\u00e9rateurs qui g\u00e8rent l’ensemble du processus dans des r\u00f4les distincts”, ont d\u00e9clar\u00e9 les chercheurs. c’est not\u00e9<\/a> le mois dernier, ajoutant “une grande partie de l’activit\u00e9 […] survient au cours de la semaine de travail typique.<\/p>\n Le d\u00e9veloppement fait \u00e9galement suite \u00e0 un rapport de Proofpoint en novembre 2022 selon lequel une r\u00e9surgence de l’activit\u00e9 d’Emotet a \u00e9t\u00e9 li\u00e9e \u00e0 la distribution d’une nouvelle version d’IcedID.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/IcedID-Malware-frappe-a-nouveau-domaine-Active-Directory-compromis-en.png\")
<\/div>\n