Des grappes d’activit\u00e9s de menace affili\u00e9es aux \u00e9cosyst\u00e8mes cybercriminels chinois et russe ont \u00e9t\u00e9 observ\u00e9es en utilisant un nouveau logiciel malveillant con\u00e7u pour charger Cobalt Strike sur des machines infect\u00e9es.<\/p>\n
Doubl\u00e9 CHARGEUR DE SOIE<\/strong> par la soci\u00e9t\u00e9 finlandaise de cybers\u00e9curit\u00e9 WithSecure, le logiciel malveillant exploite Techniques de chargement lat\u00e9ral de DLL<\/a> fournir un logiciel commercial de simulation d’adversaires.<\/p>\n Le d\u00e9veloppement intervient alors que les capacit\u00e9s de d\u00e9tection am\u00e9lior\u00e9es contre Cobalt Strike, un outil de post-exploitation l\u00e9gitime utilis\u00e9 pour les op\u00e9rations de l’\u00e9quipe rouge, obligent les acteurs de la menace \u00e0 rechercher des options alternatives ou \u00e0 concocter de nouvelles fa\u00e7ons de propager le cadre pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n “Les plus courants d’entre eux incluent l’ajout de complexit\u00e9 aux charges utiles de balise ou de stager g\u00e9n\u00e9r\u00e9es automatiquement via l’utilisation de packers, de crypteurs, de chargeurs ou de techniques similaires”, ont d\u00e9clar\u00e9 les chercheurs de WithSecure. a dit<\/a>.<\/p>\n SILKLOADER rejoint d’autres chargeurs tels que KoboldLoader, MagnetLoader et LithiumLoader qui ont \u00e9t\u00e9 r\u00e9cemment d\u00e9couvert<\/a> incorporant des composants Cobalt Strike.<\/p>\n Il partage \u00e9galement des chevauchements avec LithiumLoader dans la mesure o\u00f9 les deux utilisent la m\u00e9thode de chargement lat\u00e9ral DLL pour d\u00e9tourner une application l\u00e9gitime dans le but d’ex\u00e9cuter une biblioth\u00e8que de liens dynamiques distincte et malveillante (DLL<\/a>).<\/p>\n SILKLOADER y parvient via des fichiers libvlc.dll sp\u00e9cialement con\u00e7us qui sont d\u00e9pos\u00e9s avec un binaire de lecteur multim\u00e9dia VLC l\u00e9gitime mais renomm\u00e9 (Charmap.exe).<\/p>\n WithSecure a d\u00e9clar\u00e9 avoir identifi\u00e9 le chargeur de shellcode \u00e0 la suite d’une analyse de “plusieurs intrusions op\u00e9r\u00e9es par l’homme” ciblant diverses entit\u00e9s couvrant un large \u00e9ventail d’organisations situ\u00e9es au Br\u00e9sil, en France et \u00e0 Ta\u00efwan au quatri\u00e8me trimestre 2022.<\/p>\n Bien que ces attaques aient \u00e9chou\u00e9, l’activit\u00e9 est soup\u00e7onn\u00e9e d’avoir pr\u00e9c\u00e9d\u00e9 le d\u00e9ploiement de ran\u00e7ongiciels, les tactiques et les outils \u00ab se chevauchant fortement \u00bb avec ceux attribu\u00e9s aux op\u00e9rateurs du Jouer aux ran\u00e7ongiciels<\/a>.<\/p>\n Lors d’une attaque visant une organisation sociale fran\u00e7aise anonyme, l’acteur mena\u00e7ant a pris pied dans le r\u00e9seau en exploitant une appliance Fortinet SSL VPN compromise pour mettre en sc\u00e8ne des balises Cobalt Strike.<\/p>\n “L’acteur mena\u00e7ant a maintenu un pied dans cette organisation pendant plusieurs mois”, a d\u00e9clar\u00e9 WithSecure. “Pendant ce temps, ils ont effectu\u00e9 des activit\u00e9s de d\u00e9couverte et de vol d’informations d’identification, suivies du d\u00e9ploiement de plusieurs balises Cobalt Strike.”<\/p>\n Mais lorsque cette tentative a \u00e9chou\u00e9, l’adversaire est pass\u00e9 \u00e0 l’utilisation de SILKLOADER pour contourner la d\u00e9tection et livrer la charge utile de la balise.<\/p>\n Ce n’est pas tout. Un autre chargeur connu sous le nom de BAILLOADER, qui est \u00e9galement utilis\u00e9 pour distribuer des balises Cobalt Strike, a \u00e9t\u00e9 li\u00e9 \u00e0 des attaques impliquant Ran\u00e7ongiciel quantique<\/a>GootLoader et le cheval de Troie IcedID ces derniers mois.<\/p>\n BAILLOADER, pour sa part, pr\u00e9senterait des similitudes avec un crypteur nomm\u00e9 Tron<\/a> qui a \u00e9t\u00e9 utilis\u00e9 par diff\u00e9rents adversaires pour distribuer Emotet, TrickBot, BazarLoader, IcedID, Conti ransomware et Cobalt Strike.<\/p>\n Cela a donn\u00e9 lieu \u00e0 la possibilit\u00e9 que des acteurs de la menace disparates partagent des balises, des crypteurs et une infrastructure Cobalt Strike fournis par des affili\u00e9s tiers pour traiter plusieurs intrusions en utilisant diff\u00e9rentes tactiques.<\/p>\n En d’autres termes, SILKLOADER est probablement propos\u00e9 en tant que chargeur standard via un programme Packer-as-a-Service aux acteurs de la menace bas\u00e9s en Russie.<\/p>\n “Ce chargeur est fourni soit directement aux groupes de ran\u00e7ongiciels, soit \u00e9ventuellement via des groupes proposant Cobalt Strike\/Infrastructure-as-a-Service \u00e0 des affili\u00e9s de confiance”, a d\u00e9clar\u00e9 WithSecure.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la mani\u00e8re de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n “La plupart de ces affili\u00e9s semblent avoir fait partie ou avoir eu des relations de travail \u00e9troites avec le groupe Conti, ses membres et sa prog\u00e9niture apr\u00e8s sa pr\u00e9tendue fermeture.”<\/p>\n Les \u00e9chantillons de SILKLOADER analys\u00e9s par la soci\u00e9t\u00e9 montrent que les premi\u00e8res versions du logiciel malveillant remontent au d\u00e9but de 2022, le chargeur \u00e9tant exclusivement utilis\u00e9 dans diff\u00e9rentes attaques ciblant des victimes en Chine et \u00e0 Hong Kong.<\/p>\n On pense que le passage des cibles d’Asie de l’Est \u00e0 d’autres pays tels que le Br\u00e9sil et la France s’est produit vers juillet 2022, apr\u00e8s quoi tous les incidents li\u00e9s \u00e0 SILKLOADER ont \u00e9t\u00e9 attribu\u00e9s \u00e0 des acteurs cybercriminels russes.<\/p>\n Cela a en outre c\u00e9d\u00e9 la place \u00e0 l’hypoth\u00e8se selon laquelle “SILKLOADER a \u00e9t\u00e9 initialement \u00e9crit par des acteurs de la menace agissant au sein de l’\u00e9cosyst\u00e8me cybercriminel chinois” et que “le chargeur a \u00e9t\u00e9 utilis\u00e9 par les acteurs de la menace au sein de ce lien au moins d\u00e8s mai 2022 jusqu’en juillet 2022”.<\/p>\n “Le constructeur ou le code source a ensuite \u00e9t\u00e9 acquis par un acteur de la menace au sein de l’\u00e9cosyst\u00e8me cybercriminel russe entre juillet 2022 et septembre 2022”, a d\u00e9clar\u00e9 WithSecure, ajoutant que “l’auteur chinois d’origine a vendu le chargeur \u00e0 un acteur de la menace russe une fois qu’il n’en avait plus utiliser pour cela.”<\/p>\n SILKLOADER et BAILLOADER ne sont que les derniers exemples d’acteurs malveillants affinant et r\u00e9organisant leurs approches pour garder une longueur d’avance sur la courbe de d\u00e9tection. <\/p>\n “Alors que l’\u00e9cosyst\u00e8me cybercriminel devient de plus en plus modulaire via offres de services<\/a>il n’est plus possible d’attribuer des attaques \u00e0 des groupes de menaces simplement en <\/p>\n en les reliant \u00e0 des composants sp\u00e9cifiques au sein de leurs attaques \u00bb, ont conclu les chercheurs de WithSecure.<\/p>\n <\/p>\n![\"Logiciels](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1678983611_802_Des-pirates-chinois-et-russes-utilisent-le-logiciel-malveillant-SILKLOADER.png\" "\\"Logiciels")
<\/div>\n