Rapport mondial de veille sur les menaces

Le renseignement sur les menaces peut être considéré comme "l'art de prendre l'adversaire par surprise". Anticiper, atténuer et prévenir les surprises sous la forme de cyberattaques est la mission première d'un programme pratique de renseignement sur les menaces.

Pour atteindre cet objectif, il faut adopter une approche proactive qui réponde à des questions essentielles telles que les suivantes : Quels sont les acteurs de la menace les plus susceptibles d'avoir un impact sur mon organisation ? Quels sont leurs motivations, leurs objectifs et leurs capacités ? Comment se comportent-ils et quelles cyber-armes utilisent-ils pour atteindre leurs objectifs ? Et surtout, quelles contre-mesures concrètes puis-je déployer pour améliorer les capacités de cyberdéfense de mon organisation ?

Notre équipe est fière de publier son premier rapport mondial sur la cybersécurité ( BlackBerry Cybersecurity Global Threat Intelligence Report). La mission de ce rapport est de fournir des informations exploitables sur les attaques ciblées, les acteurs de la menace motivés par la cybercriminalité et les campagnes visant des organisations telles que la vôtre, afin que vous puissiez prendre des décisions en connaissance de cause et mener rapidement des actions efficaces.

Dans cette première édition, vous trouverez des rapports rédigés par certains des meilleurs chercheurs en menaces et analystes du renseignement de l'équipe de recherche et de renseignement sur les menaces de BlackBerry , des experts de classe mondiale qui comprennent non seulement les menaces techniques, mais aussi les évolutions géopolitiques locales et mondiales et leur impact sur les modèles de menaces organisationnelles dans chaque région. Pour produire ce rapport (couvrant les 90 jours entre le 1er septembre et le 30 novembre 2022), l'équipe a exploité les données et la télémétrie obtenues à partir de nos propres produits et capacités d'analyse basés sur l'intelligence artificielle (IA), complétés par d'autres sources de renseignements publiques et privées.

Voici quelques-uns des points saillants de ce rapport :

• 90 jours en chiffres. Une vue d'ensemble de la période de 90 jours en statistiques, y compris le nombre d'échantillons uniques de logiciels malveillants que BlackBerry a empêché d'avoir un impact sur nos clients et la répartition géographique de ces attaques. Voici un aperçu : notre technologie a arrêté en moyenne 62 nouveaux échantillons malveillants par heure, soit environ un nouvel échantillon par minute.

• Armes les plus courantes. Informations sur les armes les plus courantes utilisées dans les cyberattaques, y compris la résurgence de chargeurs malveillants comme Emotet, la présence étendue de Qakbot dans le paysage des cybermenaces et l'augmentation des téléchargeurs comme GuLoader.

• L'accès à distance augmente le nombre de voleurs d'informations. Avec l'essor post-pandémique du travail à distance et hybride, le besoin d'accéder aux réseaux internes depuis l'extérieur s'est généralisé. Les attaquants profitent des nouvelles possibilités d'accès à distance en utilisant des voleurs d'informations (infostealers) pour dérober les informations d'identification de l'entreprise et les vendre sur le marché noir. Notre rapport présente quelques-uns des voleurs d'informations les plus courants et les plus répandus que nous avons vus déployés au cours de cette période.

• Aucune plateforme n'est "sûre". Les acteurs de la menace ont de multiples stratégies pour cibler les différentes plateformes de serveurs, d'ordinateurs de bureau et de téléphones portables. Par exemple, malgré l'opinion dominante, macOS n'est pas une plateforme "plus sûre" : les logiciels malveillants et les vulnérabilités de macOS abondent. Parmi les autres sujets abordés figurent les tendances telles que le nombre croissant d'attaques contre les plateformes Linux, l'utilisation de langages de programmation moins courants tels que GoLang pour développer des logiciels malveillants multiplateformes, ainsi qu'une analyse approfondie des menaces qui pèsent sur les appareils mobiles fonctionnant sous Android et iOS.

• Une perspective sectorielle unique. En raison de sa forte présence dans les secteurs de la cybersécurité et de l'Internet des objets (IoT), BlackBerry est particulièrement bien placé pour découvrir les menaces qui pèsent sur des secteurs tels que l'automobile et qui ne sont pas souvent abordées dans d'autres rapports sur les menaces. Cette édition comprend des informations sur les tendances en matière de cybersécurité que nous avons observées et qui auront un impact sur l'industrie automobile ainsi que sur les secteurs de la santé et de la finance.

• Principaux acteurs de la menace et contre-mesures. Notre télémétrie a également révélé les activités de nombreux acteurs de la menace. Le rapport comprend des informations sur certaines de leurs tactiques, techniques et procédures (TTP) les plus courantes, ainsi que des liens vers des listes publiques de contre-mesures appliquées, mises en correspondance avec MITRE ATT&CK et MITRE D3FEND. Notre objectif est de faciliter la mise à jour des défenses organisationnelles et des modèles de menaces sur la base de ces informations exploitables.

• Conclusion et perspectives d'avenir. Enfin, nous présentons nos conclusions et nos prévisions en matière de cybermenaces pour 2023.

Je tiens à remercier les chercheurs d'élite de l'équipe de recherche et de renseignement sur les menaces de BlackBerry qui ont rendu ce rapport possible et qui continuent à produire de nombreux rapports de recherche "premiers sur le marché" tout en améliorant continuellement les produits et les services de BlackBerrybasés sur les données et Cylance basés sur l'IA.

Ismael Valenzuela
Vice-président, Threat Research & Intelligence à BlackBerry

Twitter : @aboutsecurity

BlackBerry Auteurs de renseignements sur les menaces de cybersécurité

• Dmitry Bestuzhev
• Pedro Drimel
• Jacob Faires
• Dean Given
• Eoin Healy
• Geoff O'Rourke
• Jose Luis Sanchez

L'industrie automobile, vieille d'un siècle, est au cœur d'une révolution technologique majeure. Des avancées technologiques décisives permettent de développer de nouveaux types de véhicules, de systèmes et de services. Cette transformation numérique offre de nombreux avantages, mais a également introduit de nouveaux défis en matière de cybersécurité.

À mesure que les véhicules deviennent plus connectés et autonomes, ils deviennent potentiellement plus vulnérables aux cybermenaces et aux acteurs de la menace. En outre, les systèmes de fabrication de plus en plus complexes qui produisent les véhicules sont également exposés à des cyberattaques.

Au cours des années précédentes, l'industrie automobile a été relativement épargnée par les menaces à grande échelle et fortement médiatisées. Cependant, des entités malveillantes ont commencé à cibler non seulement les constructeurs automobiles, mais l'industrie dans son ensemble, en s'efforçant de perturber les opérations, de voler des données sensibles et de compromettre les chaînes d'approvisionnement. En 2022, nous avons observé une augmentation du nombre d'entités malveillantes ciblant l'industrie automobile et de l'ampleur des perturbations qu'elles provoquent.

Pour se protéger contre ces menaces, les entreprises de l'industrie automobile doivent reconnaître les risques potentiels inhérents à un avenir automobile plus connecté et mettre en œuvre de solides mesures de cybersécurité pour protéger les véhicules et les conducteurs.

En raison de sa dimension mondiale, l'industrie automobile présente un nombre considérable de points finaux à surveiller et à protéger. Elle comprend toutes les organisations de la chaîne de valeur, depuis les entreprises qui s'approvisionnent en matériaux de construction bruts jusqu'aux concessionnaires et aux propriétaires d'automobiles. La vaste surface d'attaque numérique de cette chaîne d'approvisionnement complexe doit être sécurisée pour que cette importante activité mondiale reste opérationnelle.

Entre le 1er septembre et le 30 novembre 2022, les attaques allaient du spearphishing sophistiqué au malspam de base, ce qui montre que l'industrie automobile fait constamment l'objet d'attaques de la part de cyberadversaires avancés ou novices.

Les téléchargeurs de logiciels malveillants sont présents dans presque tous les types de cyberattaques et peuvent varier en termes d'apparence, de type de fichier et de sophistication relative des techniques qu'ils utilisent pour pénétrer dans les systèmes. Les auteurs de menaces trompeuses incitent les victimes involontaires à installer le téléchargeur dans le cadre de la première partie de la cyberattaque. Une fois le code exécuté, les téléchargeurs installent d'autres codes malveillants et charges utiles pour mener des cyberattaques de plus grande envergure.

GuLoader est un excellent exemple de téléchargeur qui a ciblé l'industrie automobile au cours de la période considérée. Ce logiciel malveillant a été identifié pour la première fois en 2019 et continue d'évoluer. GuLoader se fait souvent passer pour des documents numériques ou des exécutables légitimes avant de télécharger d'autres logiciels malveillants.

Les données précieuses et souvent exclusives de l'industrie automobile en font une cible de choix pour les cyber-voleurs. Ces données sont une marchandise qui peut souvent avoir plus de valeur que les véhicules eux-mêmes.

Les malwares infostealers sont un type de code malveillant qui recherche et exfiltre illicitement des données du système d'une victime, données qui peuvent ensuite être utilisées à des fins financières et/ou tactiques. Les infostealers peuvent être utilisés en conjonction avec des RAT comme Remcos en tant que logiciels malveillants de base qui sont souvent vendus en tant que service à d'autres acteurs de la menace pour obtenir un accès malveillant et le contrôle des systèmes des victimes.

Les ransomwares sont le cauchemar de toutes les équipes de sécurité, et les acteurs de la menace savent que les ransomwares ciblant les chaînes d'approvisionnement de l'industrie peuvent être dévastateurs. Dans l'industrie automobile, une attaque de ransomware à n'importe quel stade de la chaîne d'approvisionnement pourrait interrompre la production ou la distribution, entraînant une perte de revenus et de réputation dans l'ensemble des écosystèmes de l'industrie.

Le ransomware BlackCat a été observé dans certaines des attaques de ransomware les plus connues en 2022. S'attaquant souvent aux petites et moyennes entreprises, les groupes de cybercriminels qui utilisent ce RaaS particulier semblent être largement motivés par des considérations financières et ont largement ciblé l'industrie manufacturière. Le ransomware BlackCat s'infiltre dans un environnement, exfiltre des données précieuses, puis crypte les systèmes connectés.

ALPVH (le groupe de menace à l'origine du ransomware BlackCat) utilise fréquemment des stratagèmes de double extorsion, en publiant souvent les données des victimes compromises via leur site de fuite (un site web qui héberge des documents privés volés et potentiellement sensibles). Leur objectif est de faire pression sur l'organisation ciblée pour qu'elle paie la rançon, en capitalisant sur la crainte que des données plus précieuses soient publiées ou vendues à des ^{concurrentsxvi}.

Les applications à double usage sont généralement des outils et des logiciels légitimes qui offrent des caractéristiques ou des fonctions que les acteurs de la menace peuvent potentiellement utiliser à mauvais escient ou de manière abusive. Le terme "living off the land" (LotL) décrit les actions des acteurs de la menace qui abusent d'outils légitimes pour contourner les systèmes de sécurité et éviter d'être détectés.

Les acteurs de la menace s'appuient de plus en plus sur des outils à double usage plutôt que sur des codes malveillants pour se propager dans un environnement, exfiltrer des données précieuses ou même déployer des logiciels malveillants en tant qu'outil "autorisé". Les administrateurs système doivent supprimer tous les outils à double usage pour lesquels il n'existe pas de cas d'utilisation ou de justification commerciale valables.

La pandémie et l'invasion de l'Ukraine par la Russie ont révélé la fragilité des chaînes d'approvisionnement. L'industrie automobile n'est pas à l'abri des retards, des pénuries et des perturbations auxquels d'autres industries sont confrontées.

Compte tenu de la complexité du secteur, de nombreuses entreprises s'appuient sur une stratégie de chaîne d'approvisionnement en flux tendu pour maintenir leurs vastes écosystèmes de fournisseurs, de pièces et de fabricants, créant ainsi une surface d'attaque extrêmement vaste qui peut potentiellement être exploitée par des acteurs menaçants. La caractéristique de la stratégie JAT est que les produits ne sont pas fabriqués tant qu'ils ne sont pas nécessaires. Par conséquent, la fabrication peut être ralentie ou arrêtée si les composants et matériaux nécessaires ne sont pas immédiatement disponibles. Par conséquent, une cyberattaque au sein de la chaîne d'approvisionnement peut effectivement interrompre la production automobile.

Au lieu de cibler directement les constructeurs automobiles, qui peuvent être fortement protégés contre les intrusions, les adversaires malveillants peuvent s'attaquer à leurs différents fournisseurs, en particulier ceux dont la cybersécurité est moindre. Par exemple, en mars 2022, la compromission des systèmes de fichiers d'un fournisseur de plastique et d'électronique a entraîné des retards de production pour environ 13 000 véhicules dans une entreprise automobile japonaise. Selon un porte-parole cité par Automotive News Europe, la chaîne d'approvisionnement de ce constructeur automobile comprend 60 000 entreprises réparties sur quatre ^niveauxxxvii. Des cyberattaques à n'importe quel endroit d'une chaîne d'approvisionnement de cette taille peuvent potentiellement avoir un impact sur la capacité des autres entreprises à recevoir les pièces et matériaux nécessaires.

Le secteur de la santé est confronté à un nombre croissant de cybermenaces, les acteurs de la menace ciblant les organismes de santé pour leurs données hautement confidentielles et leurs informations précieuses. Il s'agit d'un problème important pour les prestataires de soins de santé, car une cyberattaque réussie peut avoir de graves conséquences, notamment la perte ou la publication de données sensibles sur les patients, des pertes financières, voire des dommages physiques directs aux patients. Les soins de santé sont particulièrement vulnérables à ces menaces en raison d'une combinaison de facteurs, notamment l'utilisation généralisée de technologies médicales ayant une longue durée de vie, la nature complexe et souvent interconnectée des systèmes de soins de santé et les grandes quantités de données sensibles qui sont régulièrement collectées et stockées. Il est impératif que les prestataires de soins de santé comprennent les dangers du paysage actuel des cybermenaces et se protègent de manière proactive, ainsi que leurs patients, contre les dommages potentiels.

Dans l'ensemble, les ransomwares constituent toujours la plus grande menace pour le secteur de la santé, et les groupes de menace qui s'appuient sur les ransomwares le ciblent toujours très activement, comme le montre l'attaque de ransomwares contre CommonSpirit Health en octobre, où des données appartenant à plus de 600 000 patients ont été ^{compromisesxxix}. Dans le passé, certains groupes RaaS comme Maze ont indiqué qu'ils n'attaqueraient pas les hôpitaux, mais de telles promesses ne peuvent être garanties. Compte tenu de la diversité des groupes RaaS et de la prolifération des modèles d'affiliation, le groupe qui exécute une attaque peut ne pas être le même que celui qui a développé le logiciel malveillant, ce qui pose des problèmes de traçabilité et d'attribution.

Selon notre télémétrie, les solutions Cylance Endpoint Security ont bloqué 7 748 échantillons uniques de logiciels malveillants ciblant le secteur de la santé au cours de cette période, ce qui représente une moyenne de plus de 80 échantillons uniques de logiciels malveillants par jour. Le cheval de Troie le plus populaire est Qakbot, utilisé par les cybercriminels depuis au moins 2012 et qui représente un risque élevé pour le secteur de la santé. En 2022, Qakbot était principalement utilisé par des affiliés déployant le ransomware Black Basta. Étant donné qu'Emotet n'a pas mené beaucoup de campagnes après sa récente fermeture de quatre mois et que TrickBot semble se concentrer sur l'amélioration de son malware Bumblebee, nous pensons que Qakbot reste le cheval de Troie le plus actif facilitant l'accès au réseau de santé pour les affiliés RaaS et les IAB.

Meterpreter (une charge utile Metasploit qui fournit un shell interactif à l'attaquant) et BloodHound étaient également actifs pendant cette période. Nous avons détecté une attaque utilisant Meterpreter parallèlement à l'exécution de SharpHound, un collecteur pour BloodHound qui est généralement utilisé pour les déplacements latéraux à l'intérieur d'un réseau après une attaque. L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) recommande aux administrateurs de réseaux et de systèmes d'exécuter intentionnellement BloodHound eux-mêmes pour comprendre les chemins d'attaque possibles sur leurs ^{environnementsxxx}.

Nous avons également observé l'abandon du RAT Netwire par TinyNuke. Trojan bancaire à l'origine, doté de fonctions similaires à celles de ZeuS, TinyNuke est un cheval de Troie complet qui inclut le contrôleur de périphérique du serveur VNC et la fonctionnalité SOCKS inversée. TinyNuke a également été utilisé par le groupe ^Kimsukyxxxi et attribué à la République populaire démocratique de Corée (RPDC). En examinant cette attaque, nous avons constaté que TinyNuke téléchargeait et exécutait le RAT Netwire et se connectait à un domaine hébergé sur DuckDNS, qui est couramment utilisé par les RAT.

BlackBerry Les chercheurs ont également trouvé un cas où un acteur inconnu a déployé le RAT PlugX, qui est couramment utilisé par de nombreux acteurs étatiques, y compris Mustang Panda (pour en savoir plus, consultez notre rapport public), ce qui indique que les cybercriminels et les acteurs étatiques sont intéressés par les attaques contre le secteur de la santé. Et, bien que nous n'ayons pas vu d'infostealers comme Redline et Raccoon ciblant spécifiquement le secteur de la santé, nous avons rencontré une instance de GuLoader, un téléchargeur couramment utilisé par les cybercriminels pour déployer des infostealers.

Le secteur financier a toujours été ciblé par les cybercriminels ainsi que par les acteurs de la menace des États-nations qui résident dans des zones affectées par des sanctions financières. Au cours de cette période de 90 jours, les solutions Cylance Endpoint Security ont bloqué 9 721 échantillons uniques de logiciels malveillants lancés contre des cibles du secteur financier, avec une moyenne d'environ 108 échantillons malveillants uniques identifiés par jour.

Différents acteurs de la menace, y compris des États-nations, se sont appuyés sur des outils commerciaux de test de pénétration (pen testing) tels que Cobalt Strike et d'autres pour brouiller la ligne d'attribution entre les cybercriminels et les activités de test légitimes. Cette confusion donne aux cybercriminels plus de temps pour agir au sein d'un réseau après en avoir obtenu l'accès. En 2022, nous avons été témoins de plusieurs incidents au cours desquels des logiciels commerciaux de simulation d'adversaires, dont Cobalt Strike, et des logiciels de tests d'intrusion Metasploit, Mimikatz et Brute Ratel ont été utilisés à l'intérieur d'institutions financières. Brute Ratel est un outil de simulation d'attaques adverses, et les attaquants comme les professionnels de la sécurité utilisent couramment Mimikatz pour extraire de la mémoire d'un système des informations confidentielles telles que des mots de passe et des informations d'identification. À l'heure actuelle, on ne sait pas si la présence de Mimikatz et de Brute Ratel s'inscrit dans le cadre d'activités légitimes de tests d'intrusion ou d'attaques réelles.

Il est de notoriété publique que les outils d'accès initial sont très demandés car ils permettent d'accéder aux réseaux des victimes qui peuvent ensuite être vendus. De nombreux acteurs de la menace, dont le groupe Lapsus$, s'appuient sur les voleurs d'informations pour accéder aux entreprises. (Le groupe Lapsus$ est un groupe de menace international axé sur l'extorsion et connu pour ses nombreuses cyberattaques contre des entreprises et des agences gouvernementales).

Cylance Les solutions de sécurité des points finaux ont également mis un terme à diverses attaques liées à l'extraction de crypto-monnaie et à des attaques contre les écosystèmes Linux, qui sont des cibles attrayantes en raison de leur manque relatif de visibilité par rapport au monde Windows. Un exemple est la porte dérobée Rekoobe, un cheval de Troie Linux qui cible activement des victimes dans le monde entier depuis au moins sept ^ansxxxii.

Entre le 1er septembre et le 30 novembre 2022, l'équipe de recherche et de renseignement sur les menaces de BlackBerry a suivi, découvert, recherché et publié les dernières informations sur le paysage des cybermenaces dans le monde. L'économie mondiale se remet encore de la pandémie COVID-19, et les événements géopolitiques actuels en Europe de l'Est et les relations Est-Ouest restent incertaines. Ces facteurs convergent pour créer un terrain fertile pour les acteurs de la menace qui tentent des exploits à la fois politiques et financiers.

Ce trimestre, nous avons vu des groupes APT affiliés à des États, des gangs de ransomware à motivation financière et de nombreux autres acteurs de la menace de toutes tailles, capacités et motivations mener de multiples campagnes. Vous trouverez ci-dessous une sélection des attaques les plus importantes à l'échelle mondiale, ainsi que les découvertes les plus significatives que nous avons faites au cours du trimestre.

Le ransomware DJVU se fait passer pour des services ou des applications légitimes et est souvent regroupé avec des fichiers leurres pour paraître bénin. Evolution du célèbre ransomware STOP, DJVU a connu de nombreuses itérations depuis sa création en 2018. Le ransomware utilise la cryptographie stream cipher Salsa20 pour sa routine de chiffrement. Après avoir effectué de nombreuses vérifications anti-analyse et anti-sandbox pour confirmer qu'il s'exécute sur un système réel, le malware chiffre plusieurs types de fichiers avant de générer une note de rançon avec des instructions pour que la victime récupère ses fichiers. La menace s'est récemment aggravée lorsque les auteurs de la menace ont ajouté au ransomware des capacités de téléchargement avant chiffrement.

Ce trimestre, DJVU a téléchargé et déployé des logiciels malveillants de type infostealer en collaboration apparente avec les groupes de menace à l'origine des variantes Arkei, Vidar Stealer et Redline Stealer, créant ainsi des voies supplémentaires pour que les acteurs de la menace profitent du préjudice subi par les victimes.

Début octobre, nous avons publié les résultats de plusieurs mois de traque du groupe APT Mustang Panda. Également connu sous les noms de Bronze President, Red Delta et Honeymyte, ce groupe est publiquement attribué à la Chine.

Au cours de notre enquête, nous avons découvert une campagne visant le Myanmar. Cette campagne se faisait passer pour des organes de presse populaires du Myanmar et visait plusieurs entités, dont un portail VPN gouvernemental. Le vecteur d'infection de cette campagne utilisait des leurres d'hameçonnage avec des pièces jointes malveillantes qui incitaient les utilisateurs à les exécuter, ce qui permettait aux attaquants de s'implanter dans le système.

La chaîne d'exécution contenait plusieurs composants, dont un utilitaire bénin légitime susceptible de détourner l'ordre de recherche des DLL, un chargeur de DLL malveillant et une charge utile DAT chiffrée. Après le chargement latéral du chargeur de DLL malveillant, une charge utile PlugX est chargée en mémoire. Le vecteur d'infection, la chaîne d'exécution, l'utilisation de PlugX et l'ensemble des TTP sont conformes à la méthodologie de campagne éprouvée de Mustang Panda.

BianLian est un ransomware extrêmement rapide écrit dans le langage de programmation Go (GoLang). Dans ce livre blanc, nous avons prédit l'augmentation actuelle de l'utilisation malveillante de langages moins courants comme GoLang. Les acteurs de la menace reconnaissent le potentiel de ces langages pour créer des logiciels malveillants, en particulier des ransomwares sur mesure. GoLang offre une prise en charge particulièrement robuste de la concurrence, qui peut accélérer les attaques en permettant à plusieurs fonctions malveillantes de s'exécuter indépendamment en même temps.

BianLian est une menace relativement récente qui a ciblé un large éventail d'industries. Le groupe à l'origine du logiciel malveillant semble avoir des motivations purement financières, et les attaques liées à BianLian se sont poursuivies jusqu'à la fin de l'année 2022. Le groupe semble fortement exploiter les systèmes et les réseaux auxquels il accède. Leur méthode de déploiement typique est l'infiltration manuelle des systèmes pour obtenir l'accès initial, suivie de l'utilisation abusive de LOLBins pour explorer les réseaux et les systèmes. Après avoir recueilli ces informations, ils déploient leur ransomware à des fins lucratives.

En octobre, BlackBerry a découvert le RAT RomCom, jusqu'alors inconnu, ciblant les institutions militaires ukrainiennes. Le même acteur de la menace était connu pour déployer des versions usurpées du célèbre logiciel Advanced IP Scanner avant de se tourner vers PDF Filler (une autre application populaire) et pourrait avoir développé ces exploits lui-même.

Le RAT RomCom tente de prendre le contrôle malveillant des appareils affectés. Le vecteur d'infection initial que nous avons observé est un courriel contenant un lien vers un faux document en ukrainien appelé Наказ_309.pdf (Order_309.pdf en anglais), qui permet d'accéder au téléchargeur de l'étape suivante.

Au cours de la période couverte par le présent rapport, cet acteur de la menace a été observé en train de développer activement de nouvelles techniques ciblant des victimes du monde entier.

Après une série d'attaques contre l'Ukraine, le même groupe a lancé de nouvelles campagnes d'attaques qui tirent parti de marques de logiciels populaires. L'équipe de recherche et de renseignement sur les menaces de BlackBerry a découvert ces campagnes en analysant les artefacts du réseau identifiés lors de nos recherches antérieures sur RomCom RAT.

Nos chercheurs ont découvert que l'acteur de la menace se faisait passer pour SolarWinds Network Performance Monitor, KeePass Open-Source Password Manager et PDF Reader Pro dans ses campagnes. Les campagnes ont utilisé ces sociétés légitimes comme façades et ont conçu de faux sites web qui imitent les vrais sites afin d'inciter les victimes à télécharger le malware Remcos RAT. L'acteur de la menace RomCom a continué à déployer activement de nouvelles campagnes ciblant des victimes en Ukraine, et pourrait s'étendre à des cibles anglophones dans le monde entier dans sa dernière série d'attaques.

L'équipe d'enquête sur les menaces de BlackBerry a surveillé la famille de ransomwares ARCrypter tout au long de l'année 2022. En août, une variante inconnue baptisée ARCrypter parBlackBerry a été découverte dans des institutions latino-américaines. L'INVIMA (Institut national colombien de surveillance des aliments et des médicaments) a été temporairement fermé en octobre en raison d'une cyberattaque ^{signaléexxxvi}.

Grâce à nos efforts de chasse aux menaces, BlackBerry a identifié d'autres échantillons d'intérêt pour ce ransomware. Compte tenu du calendrier de l'attaque et du contenu de la note de rançon mentionnant INVIMA, nous avons conclu avec un degré élevé de certitude que le ransomware ARCrypter a été utilisé dans la cyberattaque INVIMA. Des recherches supplémentaires ont permis de découvrir deux ensembles de fichiers : un dropper de logiciel malveillant supplémentaire et un crypteur de fichiers.

En décembre, notre surveillance continue de Mustang Panda a permis de découvrir une campagne ciblant des entités de plusieurs pays et continents.

Cette campagne s'appuyait sur des leurres thématiques (tels qu'un fichier intitulé "Political Guidance for the New EU Approach Towards Russia.rar") liés aux événements géopolitiques actuels. Le leurre contenait un document leurre et un fichier LNK qui suivait la même convention de dénomination que le fichier RAR leurre. Les autres composants comprenaient des utilitaires légitimes susceptibles de détourner l'ordre de recherche des DLL, des chargeurs de DLL malveillants et des charges utiles DAT similaires aux composants utilisés par le groupe dans le passé.

L'objectif de la chaîne d'exécution est de livrer une charge utile PlugX dans la mémoire du système hôte qui fournit des capacités d'accès à distance complètes aux hôtes compromis.

Bien que la chaîne d'exécution principale et les TTP de cette campagne aient déjà été observées auparavant, ces attaques ont montré des changements subtils, notamment une petite modification du flux d'exécution afin que la fonction EnumSystemCodePagesW soit utilisée pour l'exécution du shellcode au lieu de EnumThreadWindows. Cette modeste modification a nécessité des ajustements au niveau de la sensibilisation à la défense et des contre-mesures afin d'assurer la protection la plus efficace.

En pivotant à partir d'un certificat SSL de domaine unique, nous avons pu découvrir 15 adresses IP supplémentaires, dont cinq étaient des serveurs C2 pour le groupe Mustang Panda, qui transmettent des fichiers similaires conformes à la même chaîne d'attaque et aux mêmes TTP à d'autres lieux et victimes.

La portée mondiale des campagnes indique que le groupe dispose de ressources et de capacités importantes. Nous ne pensons pas qu'il s'agisse de leur dernière attaque.

Le trimestre écoulé (et l'année 2022 en général) a révélé d'importantes tendances en matière de cybersécurité qui se poursuivront probablement tout au long de l'année 2023 et au-delà. Le nombre d'acteurs de menaces à motivation politique continue d'augmenter, avec des menaces comprenant la diffusion de fausses informations et de désinformation par le biais de sites de fake news, le suivi des actions et des comportements des journalistes et des dissidents, et des tentatives d'attaques directes contre des organisations gouvernementales et militaires.

Dans l'ensemble, les acteurs de la menace ont utilisé un éventail de méthodes comprenant des outils et des techniques nouvellement identifiés ainsi que des modifications d'outils existants qui leur permettent de mieux échapper à la détection. L'augmentation des attaques ciblées dans les secteurs de l'automobile, de la santé et de la finance a mis en lumière la nécessité de protéger les surfaces de menaces étendues et vulnérables de ces secteurs.

La défense de votre organisation contre les logiciels malveillants et les cyberattaques nécessite une connaissance approfondie de la manière dont les acteurs de la menace ciblent votre secteur, des outils qu'ils utilisent et de leurs motivations éventuelles. Cette connaissance détaillée fournit des renseignements contextuels, anticipatifs et exploitables sur les cybermenaces qui peuvent réduire l'impact des menaces sur votre organisation.

• Outre la motivation financière, un nombre croissant d'acteurs de la menace ciblent désormais des victimes individuelles et institutionnelles sur la base de considérations économiques, géopolitiques et sociétales. Les défenseurs doivent prendre en compte de manière proactive l'impact possible des développements économiques et politiques sur la cybersécurité.
• Les acteurs de la menace utilisent de plus en plus des langages de programmation moins courants ou exotiques, tels que GoLang et Rust, pour développer de nouveaux logiciels malveillants. Les chasseurs de menaces doivent rester vigilants et apprendre comment l'utilisation de nouveaux langages de programmation peut se manifester dans les attaques. GoLang prenant en charge le codage multiplateforme, les attaques contre Linux et macOS pourraient se multiplier à l'avenir.
• L'accès plus large aux outils d'accès initial a donné lieu à des incidents majeurs en 2022, tout comme la disponibilité des ransomwares en tant que service géré pour les groupes ne disposant pas des compétences techniques suffisantes pour créer leurs propres logiciels malveillants. En conséquence, l'utilisation de ransomwares par des acteurs étatiques s'est accrue.
• L'industrie automobile a été fortement touchée par une grande variété de cyberattaques en 2022. La compromission de grands fabricants et fournisseurs de l'industrie a entraîné l'arrêt d'un certain nombre de chaînes de production. Ces séries d'attaques devraient se poursuivre en 2023.
• Les attaques de la chaîne d'approvisionnement qui utilisent des applications légitimes pour diffuser des charges utiles malveillantes peuvent être atténuées, voire évitées, par la mise en œuvre de politiques de confiance zéro qui exigent une authentification et une autorisation permanentes pour accéder aux réseaux et aux applications.

• À ce jour, l'invasion de l'Ukraine par la Russie s'est caractérisée par des cyberattaques contre les infrastructures militaires et civiles ukrainiennes. Si les hostilités se poursuivent, il est probable que ce schéma de cyberattaques ciblées se répète.
• Les opérations de ransomware visant les hôpitaux et les organisations médicales se poursuivront, en particulier dans les pays qui soutiennent ou financent l'Ukraine.
• Les cyberattaques contre les infrastructures critiques vont se poursuivre. L'IA pourrait être de plus en plus utilisée non seulement pour l'automatisation des attaques, mais aussi pour développer des attaques avancées de type "deepfake".
• Les attaques contre les institutions financières européennes, comme celle de septembre 2022 contre la société Revolut, basée au Royaume-Uni (une société et une application de fintech populaire), qui a compromis plus de 50 000 dossiers de clients, pourraient également se poursuivre.
• Dans les Amériques, nous prévoyons une explosion des attaques commerciales de logiciels espions pour téléphones portables. Nous nous attendons à ce que les acteurs brésiliens de la menace étendent encore les attaques de chevaux de Troie bancaires des systèmes de bureau aux appareils mobiles et continuent de cibler les victimes en Amérique latine. En fait, décembre 2022 a révélé la famille ^de logiciels malveillants BrasDexxxxix, qui cible spécifiquement les services bancaires brésiliens, y compris PIX, un système de paiement similaire à Zelle aux États-Unis.
• Les attaques contre les systèmes Linux pourraient continuer à passer inaperçues, en particulier celles qui virtualisent les systèmes, introduisent des ransomwares et installent des portes dérobées sur les systèmes cibles.
• Nous nous attendons à une augmentation des attaques ciblées sur l'infrastructure en nuage dans tous les secteurs, car les acteurs de la menace cherchent à obtenir une visibilité accrue dans les organisations qu'ils veulent affaiblir ou dont ils veulent tirer profit.

©2023 BlackBerry Limited. Les marques commerciales, y compris, mais sans s'y limiter, BLACKBERRY, EMBLEM Design et CYLANCE sont des marques commerciales ou des marques déposées de BlackBerry Limited, de ses filiales et/ou de ses sociétés affiliées, utilisées sous licence, et les droits exclusifs sur ces marques sont expressément réservés. Toutes les autres marques sont la propriété de leurs détenteurs respectifs. BlackBerry n'est pas responsable des produits ou services de tiers. Ce document ne peut être modifié, reproduit, transmis ou copié, en partie ou en totalité, sans l'autorisation écrite expresse de BlackBerry Limited.

Clause de non-responsabilité : Les informations contenues dans ce rapport sont uniquement destinées à des fins éducatives. BlackBerry ne garantit pas et n'assume pas la responsabilité de l'exactitude, de l'exhaustivité et de la fiabilité des déclarations ou des recherches de tiers auxquelles il est fait référence dans le présent document. L'analyse exprimée dans ce rapport reflète la compréhension actuelle des informations disponibles par nos analystes de recherche et peut être sujette à des changements au fur et à mesure que des informations supplémentaires sont portées à notre connaissance. Il incombe aux lecteurs de faire preuve de diligence raisonnable lorsqu'ils appliquent ces informations à leur vie privée et professionnelle. BlackBerry ne tolère aucune utilisation malveillante ou abusive des informations présentées dans ce rapport.