• Évolution des tactiques – Les détections de menaces liées à Sandworm, collectif historiquement connu pour ses cyberopérations perturbatrices, ont enregistré une augmentation spectaculaire de 1 669 %, avec une variance de la contribution proportionnelle de 40 %. Cette hausse monumentale suggère une escalade sans précédent des cyberactivités du groupe affilié à la Russie.

• Étendue agressive des opérations – Les détections d'activités du groupe APT29, qui possède un long passif de cyberespionnage, ont bondi de 124 %. Les détections associées à APT34 et à Covellite ont également fortement progressé, de 97 % et 85 % respectivement, ce qui est signe de rythmes opérationnels accrus ou du lancement de nouvelles campagnes.

• Homéostasie – En revanche, les niveaux d'activité de groupes tels que Mustang Panda, Turla et APT28 ont peu évolué. On observe une légère diminution (-2 %) des détections associées à Mustang Panda et une modeste augmentation (3 %) de celles liées à Turla.

• Émergence de nouveaux acteurs – Il convient de noter l'émergence du groupe UNC4698, dont les détections ont bondi de 363 %, ce qui suggère l'essor d'un nouvel acteur potentiellement important dans le paysage des APT.

Les détections associées à des groupes moins connus ou non identifiés ont enregistré une hausse de 62 %, ce qui indique qu'il existe un éventail diversifié et croissant de menaces au-delà des entités APT bien documentées. Cette progression de 8 % de leur contribution proportionnelle par rapport au nombre total de détections met en lumière l'évolution et la diversification constantes des cybermenaces.

Groupes APT et pays d'origine

Les groupes cybercriminels soutenus par l'État chinois restent les auteurs les plus prolifiques d'activités APT

En ce qui concerne les pays d'origine, les données télémétriques collectées par Trellix entre octobre 2023 et mars 2024 montrent également des changements notables dans les activités des groupes cybercriminels étatiques.

• Escalade substantielle des opérations – Les motivations géopolitiques et les capacités de cybersécurité évoluent dans différents pays. Nos données télémétriques indiquent ce qui suit :

  • Les détections de menaces APT imputables à des groupes soutenus par l'État russe ont augmenté de manière significative (+31 %), tandis que leur contribution proportionnelle a progressé de 4 %. Ces chiffres sont le résultat d'une escalade substantielle des cyberopérations, qui pourrait refléter l'élargissement des objectifs stratégiques ou des réponses aux dynamiques de cybersécurité mondiales.

  • Les cyberactivités des groupes affiliés à l'Iran se sont également intensifiées, avec une hausse de 8 % des détections et une progression de 3,89 % de la contribution proportionnelle. Ces statistiques soulignent un développement considérable des cyberopérations de l'Iran, aligné avec ses objectifs géopolitiques et son implication dans la guerre Israël-Hamas.

• Plus grande diversification – La Chine reste l'auteur le plus prolifique d'activités APT, avec une légère hausse (1 %) des détections. Toutefois, sa contribution proportionnelle à l'ensemble des détections a légèrement diminué (-1 %), ce qui pourrait suggérer une plus grande diversification des origines des menaces APT pendant cette période. En février 2024, le groupe APT Volt Typhoon affilié à la Chine a également déployé des efforts considérables pour cibler des infrastructures critiques américaines. Nous approfondirons ce point dans la section suivante.

• Changement de stratégie – À l'inverse, les activités APT des groupes liés à la Corée du Nord, au Vietnam et à l'Inde ont considérablement diminué – les détections imputables à la Corée du Nord ayant chuté de 82 %, celles imputables au Vietnam de 80 % et celles imputables à l'Inde de 82 %. Le recul de la contribution proportionnelle de la Corée du Nord (-6 %) est particulièrement notable et pourrait indiquer une évolution de l'orientation, de la stratégie ou des capacités.

• Émergence d'autres pays – Les groupes affiliés au Pakistan et au Bélarus ont fortement augmenté leurs activités APT, avec une hausse des détections de 55 % et d'un extraordinaire 2 019 %, respectivement. Ces augmentations, en particulier l'explosion des activités associées au Bélarus, soulignent l'émergence d'acteurs nouveaux ou précédemment sous-reconnus dans l'arène des APT.

  La catégorie « Autres » fait état d'une hausse de 121 % des détections, indiquant que les activités APT ne se limitent pas aux pays les plus fréquemment cités. Cette diversité souligne la nature mondiale des cybermenaces et la nécessité d'adopter une approche de cybersécurité globale et adaptative.

Nous ne manquerons pas de suivre de près ces nouvelles tendances au cours des mois à venir.

Pays et régions ciblés par des activités APT

La Turquie a été ciblée par un nombre sans précédent de menaces APT

Cette section se concentre sur les pays et les régions où Trellix a détecté des activités menées par des groupes APT entre le 4e trimestre 2023 et le 1er trimestre 2024, révélant des changements significatifs de l'orientation et de la stratégie de ces cybercriminels sophistiqués.

Les experts de Trellix Advanced Research Center estiment avec une confiance modérée que les facteurs suivants ont influencé les activités détectées dans certains pays et certaines régions. 

• Objectifs opérationnels – Les détections de menaces ciblant la Turquie ont bondi de 1 458 %, ce qui se traduit par une hausse de 16 % de leur contribution proportionnelle à l'ensemble des détections. Cette augmentation spectaculaire dénote un renforcement important du ciblage de la Turquie, qui pourrait refléter des tensions géopolitiques plus larges ou des objectifs opérationnels spécifiques des groupes APT.

• Importance stratégique – Les menaces visant l'Inde et l'Italie ont également nettement augmenté, avec des détections en hausse de 614 % et 308 %, respectivement. La proéminence grandissante de ces pays dans la liste des cibles pourrait s'expliquer par leur importance stratégique croissante dans le cyberdomaine, qu'elle soit due à des facteurs économiques, politiques ou technologiques.

• Élargissement du paysage – Il est intéressant de noter que le Vietnam et les États-Unis, bien qu'ils génèrent un nombre important de détections APT, affichent des tendances différentes. Les détections de menaces ciblant le Vietnam ont progressé de 9 %, alors que leur contribution proportionnelle a diminué de 9 %, ce qui indique un élargissement du paysage de ciblage. Les détections de menaces visant les États-Unis ont connu une croissance modeste de 15 %, mais leur contribution proportionnelle a reculé de 7 %, ce qui suggère une diversification des stratégies de ciblage des groupes APT.

• Évolution géopolitique – Les détections de menaces ciblant l'Allemagne, la Chine, la Papouasie-Nouvelle-Guinée et le Brésil ont augmenté, l'Allemagne et la Chine enregistrant des changements importants de leur contribution proportionnelle. Cette diversification du ciblage reflète les ajustements stratégiques et opportunistes réalisés par les groupes APT en réponse aux approches de cybersécurité mondiales et aux développements géopolitiques.

• Amélioration de la sécurité nationale – À l'inverse, les détections de menaces ciblant l'Indonésie ont enregistré une chute notable de 48 %, associée à une contribution proportionnelle réduite de 4 %. Cette baisse pourrait s'expliquer par une dépriorisation temporaire ou par un renforcement efficace des mesures de cybersécurité nationales.

• Consolidation de l'orientation – La catégorie « Autres », qui représente plusieurs pays différents où génération a détecté des activités APT, a enregistré une baisse de 23 % des détections et un recul de 21 % de la contribution proportionnelle. Cette diminution met en évidence une consolidation potentielle de l'orientation des groupes APT sur des cibles de grande valeur spécifiques pendant cette période.

Le paysage pourrait continuer d'évoluer rapidement en raison des tendances géopolitiques.

Outils malveillants

L'analyse des outils malveillants utilisés dans les campagnes APT entre le 4e trimestre 2023 et le 1er trimestre 2024 révèle des tendances notables dans les préférences et les tactiques opérationnelles des cybercriminels. La variance des taux de détection et de leurs contributions proportionnelles fournit des informations précieuses sur l'évolution du paysage des cybermenaces et les dynamiques changeantes de l'utilisation d'outils par ces groupes sophistiqués.

Les tendances suivantes ont été observées :

• Efficacité constante des outils d'attaque – Cobalt Strike demeure un outil privilégié de nombreux groupes cybercriminels, malgré une baisse de 17 % des détections. La diminution relativement limitée de la contribution proportionnelle (-1 %) suggère qu'il conserve sa popularité et son efficacité dans les cyberopérations, soulignant la difficulté de se défendre contre des outils d'attaque polyvalents et largement utilisés.

• Recours aux attaques web shell, PowerShell et d'accès à distance – Les détections de menaces utilisant China Chopper, PowerSploit et Gh0st RAT ont également nettement baissé – respectivement de 23 %, 24 % et 24 %. Malgré ces diminutions, les fluctuations minimes de la variance de la contribution proportionnelle indiquent qu'ils font toujours partie intégrante de l'arsenal des cybercriminels. Ces outils, connus pour leurs capacités à lancer des attaques web shell, des exploits PowerShell et des attaques d'accès à distance, mettent en lumière le recours croissant à des outils éprouvés et polyvalents pour les cyberopérations.

• Outils moins détectables – Les détections imputables à Empire, Derusbi, BADFLICK, JJdoor/Transporter, JumpKick et MURKYTOP affichent des tendances de recul similaires, avec des diminutions supérieures à 25 %. Ce recul uniforme pourrait refléter un changement plus important des outils privilégiés des groupes cybercriminels ou une adaptation aux contre-mesures et aux techniques de détection, encourageant la migration vers des outils plus récents et moins détectables.

• Innovation constante – La catégorie « Autres » des outils malveillants a enregistré une baisse importante des détections, allant jusqu'à 30 %, et une augmentation de 6 % de la contribution proportionnelle. Cette hausse souligne l'innovation et l'adaptation constantes dont font preuve les cybercriminels, qui explorent de nouveaux outils et des techniques inédites pour échapper à la détection et atteindre leurs objectifs.

Les préférences changeantes en ce qui concerne les outils malveillants utilisés sont la preuve de leur capacité d'adaptation aux progrès de la cybersécurité.

L'adoption d'un plus large éventail d'outils, dénotée par l'augmentation des détections dans la catégorie « Autres », souligne la nécessité de mener des recherches en continu, de disposer d'une Threat Intelligence pertinente et de déployer des stratégies de défense adaptatives afin d'atténuer le risque posé par ces cybermenaces en constante évolution.

Outils non malveillants

L'utilisation d'outils non malveillants dans les cyberopérations par des groupes APT entre le 4e trimestre 2023 et le 1er trimestre 2024 met en lumière un aspect important des cybermenaces modernes : l'utilisation d'outils système légitimes à des fins malveillantes. Cette pratique, connue sous le nom d'exploitation des ressources locales (LOTL, Living Off The Land), complique les efforts de détection et souligne la sophistication de ces cybercriminels. Les statistiques révèlent des variations considérables dans l'utilisation de ces outils, reflétant leur importance stratégique dans les cyberopérations..

• Polyvalence – Les détections imputables à PowerShell ont augmenté de façon spectaculaire (105 %), avec une variance de la contribution proportionnelle de 1 %. Cette poussée souligne sa polyvalence et son efficacité dans l'automatisation d'un large éventail d'activités malveillantes – de la reconnaissance à la distribution de charges actives.

• Manipulation des réseaux en point de mire – Les détections imputables à Netsh et à IPRoyal Pawns ont enregistré une baisse significative, de 99 % et 102 % respectivement. Ces outils sont souvent utilisés pour la configuration des réseaux et le trafic proxy, indiquant une orientation stratégique axée sur la manipulation des réseaux et les techniques de contournement.

• Automatisation à grande échelle – Schtasks.exe a enregistré le plus haut pourcentage de variance parmi les outils répertoriés, avec 138 %. Cela reflète le recours croissant à des tâches planifiées à des fins de persistance et d'exécution de charges actives malveillantes sans intervention directe de l'utilisateur.

• Ajustements tactiques – À l'inverse, l'utilisation de Rundll32 et de WMIC a progressé, mais les variances de leur contribution proportionnelle ont diminué, indiquant une évolution des préférences tactiques des groupes APT malgré l'utilité de ces outils.

• Diversification des outils – Nos données montrent une augmentation importante de l'emploi de Cmd, le traditionnel interpréteur de commandes sous Windows, avec une hausse de 65 % des détections.  Malgré son utilisation accrue, sa variance de la contribution proportionnelle a diminué de 2,5 %, suggérant une plus grande diversification des outils utilisés par les groupes APT.

  La catégorie « Autres », qui représente divers outils moins courants ou plus spécialisés, a enregistré une hausse de 42 % des détections. Toutefois, elle a subi une diminution importante de sa variance de contribution proportionnelle (-21 %), soulignant l'expansion de l'arsenal d'outils à la disposition des cybercriminels.

L'évolution du paysage des outils non malveillants employés par des groupes APT illustre la complexité de la détection et de la neutralisation des cybermenaces sophistiquées. La sélection et l'application stratégiques de ces outils révèlent une compréhension fine des environnements ciblés ainsi que les efforts déployés pour échapper à la détection.

Conseil pour les RSSI – Les défenses de cybersécurité doivent donc dépasser le stade de la détection traditionnelle des malwares, pour inclure une analyse comportementale et une détection des anomalies afin de contrer l'utilisation d'outils légitimes dans les cyberopérations.

Les données collectées grâce aux capteurs mondiaux Trellix ATLAS sont associées aux informations stratégiques des rapports validés par le secteur et publiées par Trellix Advanced Research Center, pour permettre à nos clients d'identifier les cybercriminels ciblant leurs secteurs respectifs et d'utiliser notre analyse comportementale pour détecter les comportements anormaux au sein de leur environnement.

Conclusion

L'analyse des activités APT entre le 4e trimestre 2023 et le 1er trimestre 2024 a mis en lumière la nature dynamique et de plus en plus complexe du paysage des cybermenaces. Notre étude des statistiques concernant les origines des groupes APT, les pays ciblés et l'utilisation d'outils malveillants et non malveillants révèle plusieurs tendances clés qui soulignent l'évolution des stratégies des cybercriminels.

Les groupes APT continuent à :

1. faire preuve d'adaptabilité et de sophistication ;

2. utiliser une variété d'outils malveillants ;

3. exploiter des utilitaires système légitimes pour mener des opérations d'espionnage, créer des perturbations et voler des informations sensibles.

Les variations importantes du ciblage et des tactiques opérationnelles de ces groupes reflètent leurs objectifs stratégiques et leur réponse aux avancées en matière de cybersécurité et aux mesures défensives à l'échelle mondiale.

Les changements considérables des pratiques de ciblage, avec certains pays subissant des hausses importantes des activités APT, dénotent les motivations géopolitiques derrière ces cyberopérations. De même, l'évolution des outils utilisés, y compris l'essor remarquable des tactiques d'exploitation des ressources locales, souligne la difficulté à détecter et à neutraliser les menaces APT dans un paysage où les activités légitimes et malveillantes s'entremêlent de plus en plus.

Par ailleurs, la diversification des origines des groupes APT et l'élargissement de leurs stratégies de ciblage indiquent une prolifération mondiale des cybercapacités et la nécessité d'adopter une approche de cybersécurité unifiée et collaborative.

Tactiques, techniques et procédures (TTP)

Nos données suggèrent que depuis la reprise de ses opérations vers la mi-janvier 2024, Volt Typhoon a eu systématiquement recours à un certain nombre d'outils et fonctionnalités natifs aux systèmes Windows pour exécuter des commandes à des fins malveillantes. Ces outils d'exploitation des ressources locales permettent un double usage, car il s'agit de logiciels et fonctions légitimes intégrés au système, et sont devenus populaires auprès des groupes affiliés à la Chine, notamment Volt Typhoon. Netsh.exe fait partie des outils qui peuvent être utilisés à diverses fins malveillantes, telles que la désactivation des paramètres de pare-feu ou la configuration d'un tunnel proxy pour autoriser l'accès à distance à un hôte infecté. Ldifde fait également partie des outils employés par Volt Typhoon pour collecter des informations.

Une fois qu'ils ont obtenu un accès à un contrôleur de domaine, les attaquants peuvent utiliser Ldifde.exe pour exporter des données sensibles ou apporter des modifications autorisées au répertoire. Les cyberpirates de Volt Typhoon peuvent également utiliser Ntdsutil pour accomplir leurs méfaits. Ntdsutil est un outil légitime qui sert à la maintenance des bases de données ; toutefois, il peut également être exploité pour effectuer un vidage d'Active Directory afin de collecter des identifiants et d'exfiltrer des données sensibles.

Le groupe cybercriminel Volt Typhoon a continué à utiliser des outils open source, comme FRP, Impacket et Mimikatz. Les données télémétriques de Trellix ont également détecté l'utilisation des outils et commandes LOTL (Living-Off-The-Land) suivants par Volt Typhoon entre février et mars 2023 :

• Comsvcs

• Dnscmd

• Ldifde

• MiniDump 

• Net

• Netsh

• Ntdsutil

• Reg

• ping

• PowerShell

• PsExec

D'après nos données télémétriques, les principaux outils MITRE ATT&CK utilisés par Volt Typhoon sont les suivants :

• Accès initial – T1190 : Exploitation d'applications publiques

• Exécution – T1106 : API native

• Persistance – T1546 : Exécution déclenchée par événement

• Élévation de privilèges – T1546 : Exécution déclenchée par événement

• Contournement des défenses – T1070.001 :  Effacement des journaux des événements Windows

• Contournement des défenses – T1070 : Suppression de fichiers

• Contournement des défenses – T1027 : Obfuscation de fichiers ou d'informations

• Accès aux informations d'identification – T1003.003 : NTDS

• Accès aux informations d'identification – T1003 : Capture d'informations d'identification à partir du système d'exploitation

• Accès aux informations d'identification – T1110 : Attaque en force brute

• Accès aux informations d'identification – T1555 : Informations d'identification extraites de référentiels de mot de passe

• Découverte – T1069.002 : Groupe de domaine

• Découverte – T1069.001 : Groupes locaux

• Découverte– T1083 : Découverte des fichiers et des répertoires

• Découverte – T1057 : Découverte des processus

• Découverte – T1010 : Découverte des fenêtres d'application 

• Collecte – T1560 : Archivage des données collectées

• Collecte – T1560.001 : Archivage via un utilitaire

• Commande et contrôle – T1090.002 : Proxy externe

• Commande et contrôle – T1105 : Transfert d'outils à l'entrée

• Commande et contrôle – T1132 : Codage de données

L'année dernière, notre rapport de février a identifié LockBit comme le groupe le plus agressif dans ses demandes de rançon. Ces cybercriminels ont recours à un large éventail de techniques pour exécuter leurs campagnes, notamment l'exploitation de vulnérabilités dont la découverte remonte à 2018. Tout au long de l'année 2023, LockBit a conservé son titre de groupe de ransomware le plus prévalent et affichant le plus grand nombre de victimes sur son site de divulgation. Il a principalement ciblé des organisations nord-américaines et européennes de divers secteurs, le secteur des biens et services industriels étant le plus touché. En 2023, LockBit n'a cessé d'évoluer et d'intégrer de nouveaux outils et de nouvelles méthodes à son programme de ransomware. Le groupe a notamment travaillé sur le développement du chiffreur LockBit Green, basé sur le code fuité du ransomware Conti, et de variantes de LockBit ciblant macOS. Par ailleurs, le RaaS LockBit a accueilli en 2023 les membres d'autres programmes RaaS tels qu'ALPHV et NoEscape, dont les opérations ont été démantelées.

Dans le sillage de l'opération coup de poing des forces de l'ordre, nous avons observé que le groupe LockBit mettait tout en œuvre pour essayer de sauver les apparences et de restaurer son opération lucrative. Il fallait s'y attendre étant donné la publicité faite autour des activités criminelles de LockBit. Cependant, sur le marché clandestin de la cybercriminalité, il est plus facile de restaurer un serveur que des années de confiance. Reste à savoir quelle quantité d'informations les forces de police ont obtenue sur le fonctionnement, le profil et les affiliés de LockBit.

Après l'opération policière, il est devenu évident que le monde de la cybercriminalité est impitoyable. Les experts de Trellix Advanced Research Center ont constaté que d'autres cybercriminels utilisaient la version divulguée de LockBit Black pour usurper l'identité du célèbre groupe afin d'en retirer un avantage financier.

Qu'il s'agisse ou non d'imposteurs, leurs victimes étaient bien réelles et tous ces événements des deux derniers trimestres sont dignes d'un film.

Perspective mondiale sur les ransomwares

Au cours de nos recherches sur l'activité des ransomwares au 1er trimestre 2024, nous avons analysé plusieurs sources : des sites de divulgation, des données télémétriques et des rapports publics. Voici quelques mots sur chacune de ces catégories.

• Sites de divulgation – Ces sites sont destinés à exposer les victimes d'extorsion qui n'ont pas payé la rançon exigée. Ils offrent ainsi un aperçu des activités du gang cybercriminel. Il est important de noter, cependant, que les sites de divulgation ne reflètent pas forcément le paysage des cybermenaces avec exactitude. Puisqu'ils sont gérés par des criminels, toutes les informations qui n'y trouvent ne sont pas nécessairement vraies ou correctes. Par ailleurs, si le gang tient effectivement ses promesses, les victimes qui paient la rançon ne sont pas répertoriées du tout, ce qui rend le tableau incomplet. Les données utilisées dans ce rapport se rapportent aux tendances globales des sites de divulgation et donnent une image représentative de la réalité.

• Données télémétriques – Les données télémétriques sont tirées de l'écosystème de capteurs Trellix. Une détection est enregistrée lorsqu'un fichier, une URL, une adresse IP ou un autre indicateur est détecté par l'un de nos produits et que nous en sommes alertés. Cela ne veut pas dire que toutes les détections représentent une infection, car les clients testent la détection de certains fichiers pour affiner leurs règles internes, et ces résultats particuliers apparaissent eux aussi dans les journaux agrégés. Ces données restent utiles si l'on considère la situation dans son ensemble, car elles permettent d'identifier des tendances.

• Rapports publics – Des rapports de fournisseurs et d'individus ont été traités par notre équipe Advanced Research Center afin d'en analyser les caractéristiques et d'identifier des tendances. Chaque rapport présente un biais inhérent, en raison par exemple de la présence dominante d'un fournisseur dans une région géographique par rapport à un autre. Cette différence se traduira également dans les types d'incidents rapportés. Compte tenu de la variété de biais présents dans les rapports inclus, nous n'appliquons pas de filtre spécifique.

Groupes de ransomware actifs

Bon nombre des publications agrégées des sites de divulgation du 1er trimestre 2024 présentent des signes d'activité. Il arrive que ces publications soient des annonces à caractère général, mais la plupart sont des « preuves » d'extorsion ou des fuites de données de leurs victimes. Il arrive souvent qu'une victime fasse l'objet de plusieurs publications, ce qui peut fausser les résultats car elle sera comptabilisée plus d'une fois dans les données.

Pays et régions ciblés

Compte tenu de l'activité continue des gangs de ransomware, nous pouvons dégager les détections de ransomwares à partir des données télémétriques de Trellix. Les États-Unis sont le pays qui génère le plus de détections, suivis par la Turquie, Hong Kong, l'Inde et le Brésil.

Étant donné que les ransomwares représentent une menace pour tous les secteurs, dans presque toutes les régions géographiques, les métriques de détection sont cohérentes avec la population de clients.

Les données télémétriques pour le trimestre précédent sont assez similaires, à l'exception de l'augmentation des détections en Inde et en Chine. Rien n'indique qu'une campagne spécifique a été menée contre ces régions. Nous suspectons la réalisation de tests de malwares d'être la cause de ce nombre plus élevé de détections.

Secteurs ciblés

L'agrégation des données télémétriques mondiales par secteur montre que la moitié des détections proviennent du secteur des transports et de la logistique, et qu'un peu plus d'un quart sont issues des services financiers. Ces deux secteurs sont à l'origine de plus de 72 % des détections, ce qui est logique : la disponibilité de leurs services est d'une importance primordiale. Si une société de transport ne peut pas acheminer des marchandises en raison d'une attaque de ransomware, son processus opérationnel est interrompu, ce qui entraîne d'énormes pertes financières. De même, le secteur financier repose sur la confiance. La divulgation de données sensibles et/ou les temps d'arrêt dus à une attaque de ransomware portent donc un préjudice fondamental aux entreprises de ce domaine.

Au 4e trimestre 2023, le classement des secteurs les plus ciblés était légèrement différent, à l'exception des deux premières places. Ces deux secteurs étaient à l'origine d'une part encore plus importante des détections – 78 % à eux deux pour la période considérée. Les détections associées aux secteurs des technologies et de la santé ont diminué au 1er trimestre 2024 par rapport au trimestre précédent, mais cette différence ne peut pas être imputée à un ou plusieurs événements spécifiques.

Outils et techniques

Les rapports publics sont la dernière des trois sources mentionnées. Ils permettent de dégager des techniques MITRE, ainsi que les outils et lignes de commande associés utilisés lors des attaques.

Conseil pour les RSSI – Ces rapports de détections peuvent être utiles aux équipes de sécurité : connaître les techniques et outils les plus employés aide à prévenir plusieurs types d'attaques perpétrées par différents cybercriminels, en commençant par les plus efficaces.  En outre, les exercices de simulation d'attaques peuvent se concentrer sur ces techniques afin de tester les mesures de détection en place.

Ce tableau répertorie les techniques les plus fréquentes, par ordre décroissant.

Compte tenu de l'objectif des ransomwares, il n'est pas surprenant que les techniques de type Chiffrement de données et Découverte des fichiers et des répertoires arrivent en tête du classement. Si l'on compare ces techniques à celles qui étaient les plus prévalentes au 4e trimestre 2023, on remarque que la plupart des techniques en haut du classement sont similaires, même si leur rang spécifique peut varier.

À l'instar des modus operandi des menaces ATP, les cybercriminels continuent à utiliser des outils légitimes à des fins malveillantes. Les outils utilisés influencent les techniques observées, étant donné qu'ils sont un moyen au service d'un objectif (ici, une technique). Par exemple, PowerShell et Windows Command Shell sont souvent utilisés pour exécuter des commandes supplémentaires sur le système, comme la suppression des clichés instantanés – une stratégie majoritairement associée à la technique Prévention de la restauration du système. C'est également la raison pour laquelle ils sont les outils les plus utilisés, comme illustré ci-dessous.

L'utilisation de VSSAdmin, de BCDEdit et de wevtutil indique que le ransomware s'assure que le système de la victime ne peut pas revenir à l'état normal précédant l'attaque. L'utilisation de l'outil reg montre les modifications apportées au Registre, ce qui peut être fait pour diverses raisons. Les malwares utilisent souvent le Registre pour établir une persistance, mais les ransomwares y accordent une moindre importance, car elle n'a plus de raison d'être une fois le chiffrement terminé. À la place, ils peuvent altérer d'autres paramètres pour autoriser certaines actions qui n'auraient normalement pas été possibles. Rundll32 est fréquemment utilisé pour charger et exécuter une DLL, mais il est souvent la cible d'injections de processus.

Tout comme au trimestre précédent, PowerShell et Cmd arrivent en tête du classement pour la même raison. VSSAdmin et BCDEdit sont également présents, même si wevtutil (Windows Event Log Utility) ne figure pas dans la liste des outils les plus populaires. Compte tenu du faible nombre d'occurrences des outils mentionnés, la fréquence la plus élevée étant de 13 quel que soit le trimestre, il n'est pas étonnant que toutes les campagnes n'utilisent pas les mêmes outils. Une légère variation peut entraîner l'exclusion de tels outils.

Campagne de janvier utilisant l'outil Terminator de Spyboy

Une technique d'attaque courante, baptisée BYOVD (Bring Your Own Vulnerable Driver), consiste à exploiter des pilotes vulnérables pour l'exécution de code avec élévation de privilèges.

Un exemple de cette méthode est l'outil de désactivation d'EDR Terminator, développé par le cyberpirate Spyboy. L'outil Terminator exploite un pilote Windows légitime mais vulnérable, appartenant à l'outil antimalware Zemana, pour exécuter du code arbitraire à partir du noyau Windows, vraisemblablement en exploitant la vulnérabilité CVE-2021-31728. Terminator a fait son apparition en ligne vers le milieu de l'année 2023 et Trellix a publié un article détaillé dans sa base de connaissances à propos des produits affectés, disponible ici.

Depuis la semaine du 11 au 17 janvier 2024, Trellix Advanced Research Center a relevé des détections inhabituelles de l'outil Terminator de Spyboy dans les données télémétriques de Trellix, ce qui semble indiquer le lancement d'une nouvelle campagne. Au cours de la semaine, la campagne Terminator a connu un pic pendant trois jours et a été détectée à plusieurs reprises dans une seule organisation gouvernementale, une entreprise de services d'utilité publique et une société de communication par satellite. Compte tenu de la spécificité des cibles, Trellix estime avec un haut degré de confiance que l'attaque est liée au conflit Russie-Ukraine.

Les 3 secteurs les plus ciblés lors de l'attaque visant à désactiver les EDR (janvier)

Multiplication des outils de désactivation d'EDR

Plus tôt dans l'année 2023, AuKill, un outil aux objectifs similaires, a été décrit par Sophos. Il utilisait, lui aussi, un pilote vulnérable (BYOVD). Les pilotes utilisés par Terminator et AuKill sont différents, mais il s'agit dans les deux cas de pilotes inoffensifs en tant que tels.  Par contre, dans certaines campagnes lancées en 2022, des outils similaires avaient utilisé des pilotes malveillants personnalisés qu'il fallait charger.

L'exploitation de pilotes légitimes pour de telles attaques les rend plus difficiles à détecter et coïncide avec l'utilisation des fichiers LOLBin susmentionnés. Bien qu'un fichier binaire et un pilote présentent des différences techniques, l'intention et les motivations sont similaires, voire identiques. Le malware HermeticWiper apparu en 2022 est un autre exemple de l'utilisation d'un pilote légitime. Dans ce cas, le pilote a été utilisé pour effacer une machine et non pour désactiver l'antivirus. Un autre point commun entre l'outil Terminator mentionné ci-dessus et HermeticWiper est qu'ils sont tous deux attribués à un acteur cybercriminel pro-russe.

Nous avons également observé un cas d'utilisation du réseau Discord pour la distribution d'un malware chez un de nos clients d'Amérique latine. Notre équipe a constaté que Discord continuait d'être utilisé pour la distribution de malwares dans le cadre d'attaques.

Conseil pour les RSSI – Les SOC doivent impérativement surveiller de près leur solution EDR. Les alertes et la journalisation doivent être configurées de sorte qu'en cas de désactivation des outils EDR, le SOC soit immédiatement averti et puisse prendre les mesures qui s'imposent. L'arrêt des outils EDR peut être le signe d'un piratage et il est essentiel d'intervenir rapidement pour limiter l'accès d'un cybercriminel à votre réseau. Il est également crucial d'utiliser une stratégie de défense en profondeur qui permet de faire appel à d'autres outils, tels que la plate-forme NDR (Network Detection and Response), pour détecter les incidents potentiels.

Phishing fiscal

Dans le contexte fiscal, les attaques de phishing sont particulièrement inquiétantes. Les escrocs se font passer pour des agences gouvernementales, des administrations fiscales ou des fiscalistes ayant pignon sur rue pour inciter les personnes ciblées à divulguer leurs informations personnelles. Les sujets invoqués sont multiples : dette envers une administration fiscale, déclaration de revenus non renvoyée ou droit à un remboursement d'impôts, par exemple. Leur objectif ultime est d'obtenir votre numéro d'identification fiscale, des détails du compte bancaire ou d'autres données de valeur. L'e-mail inclut des liens qui semblent vous amener à des sites web de l'administration publique ou fiscale, mais qui vous redirigent en réalité vers des sites frauduleux, conçus pour voler des données.

Au premier trimestre 2024, Trellix a observé une augmentation d'e-mails de ce type qui semblaient émaner de l'administration fiscale australienne, et les a correctement détectés.

Vous pouvez voir ci-dessous un échantillon de la campagne qui montre clairement le sentiment d'urgence que tentent de susciter les attaquants pour convaincre les destinataires de cliquer sur le lien relatif à un remboursement d'impôts.

Le 31 janvier 2024, xatab a proposé 2 000 USD pour son projet « ChatGPT in Jabber » sur le forum XSS. Si l'on en croit les allégations sur XSS du cybercriminel germans, qui avait développé le robot demandé mais avait été initialement ignoré par xatab, il semble que germans ait finalement accepté de développer un robot pour la somme de 1 500 USD. Créé pour les serveurs Jabber des forums Exploit (@exploit[.]im) et XSS (@thesecure[.]biz), le robot a été publié par xatab sur les forums du Darknet Exploit et XSS prétendument pour le tester et connaître l'avis des membres de ces forums. Le robot pourrait être basé sur le projet xmppgpt.

Dans les messages publiés sur les forums Exploit et XSS, xatab se présente comme une équipe APT (connue dans certains milieux comme des spécialistes en tests d'intrusion) à la recherche d'un courtier en accès d'entreprise pour les États-Unis/Royaume-Uni/Canada/Australie en vue d'une collaboration fructueuse. Il a offert de reverser 20 % des revenus générés par chaque accès et a déposé un bitcoin sur chaque forum, Exploit et XSS, pour prouver le sérieux de son offre.

En proposant un outil ChatGPT 4.0 gratuit à la communauté cybercriminelle, xatab réalise deux objectifs :

1. Il joue un rôle de catalyseur et de facilitateur, désireux d'aider les cybercriminels à innover et à adopter l'IA générative dans leurs opérations.

2. Il cherche à créer un vivier / une base de connaissance d'IA générative pour profiter des connaissances d'autres cybercriminels, voire s'approprier leurs idées et outils innovants.

Trellix a testé le projet « ChatGPT in Jabber » conformément aux instructions données, et il semble qu'il fonctionne de la façon prévue par l'acteur cybercriminel.

Intégration de l'IA générative aux infostealers

Le 21 février 2024, le cybercriminel MetaStealer a proposé une nouvelle version remaniée de MetaStealer sur le forum XSS. MetaStealer est un infostealer (outil d'exfiltration d'informations) apparu pour la première fois en 2021 ; il s'agirait d'un dérivé du célèbre Redline. Plusieurs versions de MetaStealer ont été observées en environnement réel. Toutefois, la nouvelle version détectée par Trellix possède une fonctionnalité basée sur l'IA générative pour éviter la détection.

Dans la capture d'écran ci-dessous, le texte orange après 35) peut se traduire comme suit : « Des signatures uniques sont générées pour chaque build. Comme l'IA est utilisée, la build échappe à la détection pendant plus longtemps ». Cela laisse penser que les développeurs de MetaStealer ont incorporé une nouvelle fonctionnalité basée sur l'IA générative dans leur outil, ce qui leur permet de créer des builds uniques de MetaStealer afin d'échapper à la détection des solutions antivirus/EDR bien plus longtemps qu'avant.

LummaStealer est un autre exemple d'infostealer bien établi. Depuis août 2023, l'équipe LummaStealer teste une fonctionnalité basée sur l'IA qui permet aux utilisateurs de cet infostealer de détecter des robots dans la liste de journaux. Le système basé sur l'IA incorporé dans LummaStealer pourrait être un réseau neuronal personnalisé, entraîné à détecter si un journal utilisateur suspect est un robot ou non. LummaStealer utilise une étiquette AI!Bot. pour classer le journal détecté comme un robot. La variable , dont la plage semble être comprise entre 0 et 100 représente la certitude de détection d'un robot :

LummaStealer a averti ses utilisateurs que le réseau neuronal était toujours en cours d'apprentissage et qu'il lui faudrait un certain temps pour améliorer la précision de sa détection. De plus, en janvier 2024, LummaStealer a fait savoir que la fonctionnalité basée sur l'IA générative est désactivée par défaut car elle ralentit les performances d'exécution de LummaStealer.

Projet « Telegram Pro Poster »

Au début du mois de mars 2024, le cybercriminel pepe a publié son projet « Telegram Pro Poster » sur le forum XSS dans le cadre d'un concours d'outils/logiciels malveillants. Telegram Pro Poster est un robot destiné à « l'automatisation poussée des messages Telegram ». Ce robot développé avec Python permet aux utilisateurs de gérer un nombre important (voire illimité) de canaux Telegram de façon autonome en copiant automatiquement les messages des canaux Telegram « distributeurs » vers les canaux cibles. Parmi ses nombreuses fonctionnalités de filtrage de messages, ce robot possède deux fonctions d'IA générative intégrées, destinées à traduire les messages Telegram et à paraphraser un message donné à l'aide de ChatGPT.

Trellix a obtenu le code source de l'outil Telegram Pro Poster et identifié les segments de code ci-dessous, responsables de la traduction des messages copiés des canaux distributeurs via l'API de ChatGPT dans les huit langues indiquées avant de les envoyer aux canaux Telegram cibles :

La seconde fonctionnalité, destinée à personnaliser de façon unique le message, est désactivée par défaut. Toutefois, lorsqu'elle est activée, elle utilise OPEN_AI_KEY pour demander à ChatGPT de paraphraser le texte dans la langue voulue et, le cas échéant, d'ajouter un emoji.

Les commentaires de la communauté XSS de cybercriminels ont une opinion très favorable du projet « Telegram Pro Poster », affirmant qu'il est intéressant et qu'entre des mains compétentes, il sera très certainement utile. Dans un thread du forum XSS, un autre cybercriminel a indiqué avoir constaté l'adoption de ce robot sur divers canaux Telegram.

Conclusion

La course contre la montre

La Threat Intelligence opérationnelle fournit des informations sur la nature, l'intention et les périodes d'activité de cybermenaces spécifiques. Elle est plus détaillée et contextuelle que la Threat intelligence tactique, car elle offre notamment des renseignements pertinents sur les tactiques, techniques et procédures (TTP) des cybercriminels.

Les entreprises peuvent s'appuyer sur cette Threat Intelligence opérationnelle pour comprendre le contexte plus large des cyberattaques, notamment les motivations des cybercriminels et les méthodes utilisées, afin d'aider les équipes de sécurité à anticiper et à se préparer à des types d'attaques spécifiques.

Mes nombreuses missions auprès de clients m'ont donné l'occasion de constater que le premier objectif d'un RSSI est de limiter le risque pour leur organisation. L'utilisation de la Threat Intelligence opérationnelle est un moyen tangible de limiter ce risque dès lors qu'il permet aux RSSI et à leurs équipes SecOps d'anticiper et de mettre en place les bases nécessaires. Elle leur permet d'identifier les failles dans leurs mesures de sécurité pour toute la surface d'attaque de l'entreprise et de se mettre à la place de leurs adversaires afin de mieux les déstabiliser.

Nous partageons notre Threat Intelligence afin de vous fournir les renseignements objectifs nécessaires aux décisions capitales que vous serez amené à prendre. Notre objectif est de vous aider à renforcer considérablement vos capacités de cyberdéfense et de prendre une longueur d'avance sur les cybercriminels.

Allons-y !

Ashok Banerjee
Chief Technologist, Trellix