Rapport mondial de veille sur les menaces

Les menaces internes sont celles que BlackBerry identifie et contre lesquelles elle se protège au sein de sa propre clientèle. Les menaces externes (abordées dans la section suivante) sont celles qui sont signalées par des tiers, par exemple dans des publications d'actualité du secteur, par des fournisseurs de sécurité ou par des agences gouvernementales.

Type : Voleur d'informations

Cibles : Télécommunications, soins de santé

Régions : Amérique latine (LATAM), Amérique du Nord

Vidar est un voleur d'informations qui existe depuis 2018. Probablement issu du célèbre voleur d'informations Arkei, Vidar est resté extrêmement actif et est souvent vendu par le biais de logiciels malveillants en tant que service (MaaS) sur des forums clandestins. Le logiciel malveillant est très flexible et peut être introduit sur l'appareil d'une victime de différentes manières, notamment par le biais de documents d'hameçonnage, de malvertising (publicité qui diffuse des logiciels malveillants) et d'une distribution secondaire par le biais d'autres logiciels malveillants. Au début de l'année 2024, nous avons observé que Vidar était également utilisé pour cibler des infrastructures critiques. Au cours de la période couverte par ce rapport, nous avons observé que Vidar s'attaquait principalement aux secteurs des télécommunications et de la santé, en particulier dans les pays du LATAM, et qu'il ciblait également le secteur de la santé en Amérique du Nord.

Type : Téléchargeur

Cibles : Alimentation et agriculture, soins de santé

Régions : LATAM, Amérique du Nord

Opérationnel depuis 2011, SmokeLoader est un mécanisme de livraison de premier plan pour les charges utiles malveillantes de deuxième étape, y compris une variété de chevaux de Troie, d'infostealers et même de ransomwares. SmokeLoader, qui est vendu en tant que MaaS, peut également collecter les informations d'identification des utilisateurs. Il est populaire auprès d'un certain nombre de groupes de menace de premier plan en raison de sa capacité à déployer des logiciels malveillants supplémentaires. En mai 2024, Europol a coordonné l'opération Endgame pour cibler les téléchargeurs malveillants. Plus de 100 serveurs de logiciels malveillants ont été mis hors service ou interrompus et plus de 2 000 domaines ont été saisis par les forces de l'ordre. Bien que ces actions aient sérieusement paralysé les opérations des groupes de menace à l'origine de SmokeLoader, des binaires liés au logiciel malveillant ont encore été observés ce trimestre dans le secteur de la santé en Amérique du Nord et dans l'industrie alimentaire et agricole en Amérique latine et dans les Caraïbes.

Type : Voleur d'informations

Cibles : Télécommunications, alimentation et agriculture, soins de santé

Régions : LATAM, Amérique du Nord

RisePro est un voleur d'informations multifonctionnel souvent vendu comme MaaS sur les forums clandestins. RisePro a été observé pour la première fois fin 2022. Puis, fin 2023 et début 2024, BlackBerry a remarqué une forte augmentation de l'activité de RisePro.

Le voleur d'informations RisePro peut être déposé sur l'appareil d'une victime de différentes manières, souvent par le biais de liens malveillants ou de pièces jointes à des courriels. Il a également été déployé via PrivateLoader, un logiciel malveillant payant par installation (PPI) souvent utilisé comme service de distribution de logiciels malveillants.

Une fois sur l'appareil de la victime, RisePro communique avec son serveur de commande et de contrôle (C2) où il reçoit l'ordre de voler des données, d'installer d'autres logiciels malveillants et d'exfiltrer des informations de l'appareil. Ce trimestre, RisePro a été observé en train de cibler des entreprises des secteurs de l'alimentation, de l'agriculture et des télécommunications dans les pays du LATAM, ainsi que des services de santé en Amérique du Nord.

Type : Téléchargeur

Cibles : Éducation, transports, soins de santé, alimentation et agriculture

Régions : APAC, Amérique du Nord

GuLoader (également connu sous le nom de CloudEyE) est un téléchargeur important qui distribue d'autres logiciels malveillants. Depuis 2020, le groupe de menace à l'origine de GuLoader a ajouté des techniques anti-analyse pour rendre plus difficile l'identification de ses attaques par les services de sécurité ou la mise au point de contre-mesures. GuLoader fonctionne généralement en tandem avec d'autres logiciels malveillants, notamment des voleurs d'informations tels que FormBook, Agent Tesla et Remcos.

Au cours de ce cycle, GuLoader a semblé cibler principalement des organisations nord-américaines dans les secteurs des transports, de l'alimentation et de l'agriculture, et de l'éducation. Toutefois, des binaires GuLoader ont également été trouvés dans des entreprises de transport des pays de l'APAC.

Type : Voleur d'informations

Cibles : Alimentation et agriculture, énergie, finances

Régions : APAC, LATAM, Amérique du Nord

Lumma Stealer (alias LummaC2) est un voleur d'informations basé sur la technologie C qui, pour la deuxième période de rapport consécutive, a ciblé des entreprises du secteur alimentaire et agricole dans la région LATAM et du secteur de l'énergie dans la région APAC. Lumma Stealer est un MaaS spécialisé dans l'exfiltration de données sensibles telles que les identifiants de connexion et les coordonnées bancaires pour commettre des fraudes bancaires. En outre, Lumma Stealer a ciblé des sociétés de services financiers en Amérique du Nord et dans la région APAC.

Les menaces internes sont celles que BlackBerry identifie et contre lesquelles elle se protège au sein de sa propre clientèle. Les menaces externes (abordées dans la section suivante) sont celles qui sont signalées par des tiers, par exemple dans des publications d'actualité du secteur, par des fournisseurs de sécurité ou par des agences gouvernementales.

Type : Bot/Infosseur

Cibles : Industrie manufacturière, services commerciaux, biens d'équipement

Les régions : Europe, Moyen-Orient et Afrique (EMEA), APAC, LATAM

Apparu pour la première fois en 2018, Amadey est un malware modulaire toujours actif dans le paysage des menaces. Grâce à des changements itératifs, il est resté pertinent avec des avancées récentes dans ses communications. Amadey peut recueillir des renseignements et sonder les machines victimes avant d'exfiltrer des données vers son C2. Il est souvent utilisé comme réseau de zombies pour diffuser massivement d'autres logiciels malveillants et facilite fréquemment le déploiement de voleurs d'informations et de cryptomineurs malveillants.

Au cours de la période considérée, Amadey a ciblé les services manufacturiers et commerciaux dans les régions EMEA, APAC et LATAM, ainsi que les services de biens d'équipement spécifiquement dans les pays de la région LATAM.

Type : Téléchargeur

Cibles : Industrie manufacturière, services commerciaux

Régions : APAC, LATAM, Amérique du Nord

PrivateLoader est un facilitateur de logiciels malveillants très répandu qui fonctionne comme un service de distribution de logiciels malveillants avec paiement à l'installation. Souvent distribué par l'intermédiaire de faux sites web hébergeant des logiciels "craqués", PrivateLoader permet de télécharger toute une série de charges utiles malveillantes, y compris un large éventail de voleurs d'informations tels que RisePro. PrivateLoader utilise une technique connue sous le nom de "SEO poisoning" (empoisonnement des moteurs de recherche) pour augmenter la visibilité de ses faux sites web. Cette technique trompe les utilisateurs en leur faisant croire que les premiers résultats de recherche sont les plus crédibles et est très efficace lorsque les gens ne regardent pas attentivement leurs résultats de recherche. Au cours de la période considérée, PrivateLoader a ciblé l'industrie manufacturière en Amérique du Nord et les services commerciaux en Amérique latine et dans la région Asie-Pacifique.

Type : Trojan d'accès à distance

Cibles : Industrie manufacturière, commerce de détail alimentaire, services commerciaux

Régions : APAC, LATAM, Amérique du Nord

Agent Tesla est un trojan d'accès à distance (RAT) de premier plan, spécialisé dans le vol d'informations, qui cible activement les utilisateurs de systèmes basés sur le système d'exploitation Microsoft Windows depuis 2014. Vendu sur des forums clandestins et présenté comme une offre MaaS, ce logiciel malveillant commercial est connu pour voler des données sensibles et des informations d'identification, enregistrer les frappes au clavier et réaliser des captures d'écran des victimes. Il est souvent utilisé dans des campagnes de phishing et hébergé/distribué sous forme de logiciel craqué trojanisé.

Un certain nombre de secteurs ont été ciblés par Agent Tesla au cours de ce cycle, notamment l'industrie manufacturière, la vente au détail de produits alimentaires et les services commerciaux dans les pays de l'APAC, du LATAM et de l'Amérique du Nord.

Type : Voleur d'informations

Cibles : Commerce de détail alimentaire

Régions : APAC

FormBook et son évolution, XLoader, sont des familles de logiciels malveillants sophistiquées qui fonctionnent à la fois comme des voleurs d'informations complexes et comme des téléchargeurs polyvalents de logiciels malveillants supplémentaires. Depuis leur création, ces familles de logiciels malveillants sont résistantes et évoluent constamment pour échapper aux cyberdéfenses et les contourner grâce à des techniques anti-VM, à l'injection de processus et à des routines de chiffrement personnalisées.

Souvent vendu comme MaaS, XLoader peut voler des données à partir de navigateurs, de clients de messagerie et d'une série d'autres applications. Un certain nombre de cyberincidents liés à XLoader ont ciblé des détaillants alimentaires dans les pays de l'APAC au cours de ce trimestre.

Type : Téléchargeur

Cibles : Services commerciaux, commerce de détail alimentaire, industrie manufacturière

Régions : APAC, EMEA, Amérique du Nord

GuLoader, également connu sous le nom de CloudEyE, est un téléchargeur de premier plan utilisé dans de nombreuses attaques comme mécanisme de diffusion d'autres logiciels malveillants. Actif sur le site depuis 2020, il a subi des modifications itératives, devenant plus sophistiqué et intégrant des techniques anti-analyse supplémentaires. GuLoader fonctionne généralement avec d'autres logiciels malveillants, notamment des voleurs d'informations comme FormBook, Agent Tesla et Remcos.

Ce trimestre, GuLoader a ciblé l'industrie manufacturière en Amérique du Nord, les détaillants alimentaires dans la région APAC et les services commerciaux dans les régions EMEA et APAC.

Type : Voleur d'informations

Cibles : Services commerciaux, biens d'équipement

Régions : APAC

RisePro est un voleur d'informations multifonctionnel souvent vendu comme MaaS sur les forums clandestins. RisePro a été observé pour la première fois fin 2022. Puis, fin 2023 et début 2024, BlackBerry a constaté une forte augmentation de l'activité de RisePro. RisePro peut être déposé sur l'appareil d'une victime de différentes manières, souvent par le biais de liens malveillants ou de pièces jointes à des courriels. Il a également été déployé via PrivateLoader, un logiciel malveillant PPI fréquemment utilisé comme service de distribution de logiciels malveillants. Une fois sur l'appareil, RisePro communique avec son serveur C2 où il reçoit des ordres pour voler des données, déposer d'autres logiciels malveillants ou exfiltrer des informations de l'appareil de la victime.

Type: Voleur d'informations

Cibles: Industrie manufacturière, commerce de détail alimentaire, services commerciaux, biens d'équipement

Régions: APAC, EMEA, LATAM

Vidar est un voleur d'informations qui existe depuis 2018 et qui pourrait être la ramification du voleur d'informations connu sous le nom d'Arkei. Vidar a été extrêmement actif et est souvent vendu en tant que MaaS sur des forums clandestins. Le logiciel malveillant est très flexible et peut être déposé sur l'appareil d'une victime de différentes manières, notamment par le biais de documents d'hameçonnage, de malvertising (publicité qui diffuse des logiciels malveillants) et par une distribution secondaire via d'autres logiciels malveillants. Au cours de la période considérée, Vidar a ciblé un grand nombre d'entreprises commerciales, notamment dans les secteurs de la fabrication dans la région EMEA, de la vente au détail de produits alimentaires dans la région APAC, des biens d'équipement dans la région LATAM et des services commerciaux dans la région LATAM et dans la région APAC.

Outre les acteurs de la menace mentionnés dans nos enquêtes et conclusions internes, plusieurs autres groupes ont lancé diverses cyberattaques au cours du trimestre. Ces groupes utilisent souvent toute une série d'outils et de logiciels malveillants pour mener à bien leurs activités illicites. Nous présentons ici quelques-uns des attaquants les plus importants et des outils les plus remarquables identifiés par notre équipe de recherche et de renseignement sur les menaces au cours de ce trimestre.

BlackSuit est un ransomware privé apparu en avril 2023. Ce groupe utilise une stratégie d'extorsion à multiples facettes, impliquant à la fois l'exfiltration et le chiffrement des données des victimes. Il gère également des sites de fuites de données sur le dark web où les données confidentielles volées à des victimes qui ne respectent pas les règles sont affichées publiquement. BlackSuit cible des organisations de toutes tailles dans divers secteurs, notamment la santé, l'éducation, les technologies de l'information (TI), le gouvernement, le commerce de détail et l'industrie manufacturière.

Les méthodes d'attaque de BlackSuit comprennent des courriels d'hameçonnage, des fichiers torrent malveillants et l'exploitation des vulnérabilités des VPN et des pare-feux. Le groupe utilise un mélange d'outils légitimes et malveillants tels que Cobalt Strike, WinRAR, PuTTY, Rclone, Advanced IP Scanner, Mimikatz, PsExec, Rubeus et GMER pour le déplacement latéral et la vidange d'informations d'identification. Leurs charges utiles de ransomware sont conçues pour cibler les systèmes d'exploitation Windows® et Linux® et, dans certains cas, les serveurs VMware ESXi.

Le ministère américain de la santé et des services sociaux a mis en évidence des similitudes entre BlackSuit et le ransomware Royal, suggérant que BlackSuit pourrait provenir du créateur de Royal, le célèbre groupe Conti. Les mécanismes de chiffrement et les paramètres de ligne de commande utilisés par BlackSuit ressemblent étrangement à ceux de Royal, ce qui indique une base de code commune.

Les objectifs pour cette période sont les suivants :

• Kadokawa Corporation, un conglomérat de médias japonais, où le groupe s'est fait passer pour un composant légitime du logiciel antivirus Qihoo 360.
• Parmi les autres cibles notables figurent la ville de Cedar Falls dans l'Iowa, une multinationale américaine de logiciels, le service de police de Kansas City Kansas et la société pharmaceutique internationale Octapharma Plasma, Inc.

BlackBasta (alias Black Basta) est un opérateur de ransomware et une entreprise criminelle de Ransomware-as-a-Service (RaaS) qui a fait surface au début de l'année 2022. Selon un rapport conjoint de CISA et du FBI, les affiliés de BlackBasta ont ciblé plus de 500 entités du secteur privé et des infrastructures critiques, y compris des organismes de santé, en Amérique du Nord, en Europe et en Australie.

BlackBasta utilise des méthodes d'accès initiales classiques, notamment l'hameçonnage et l'exploitation de vulnérabilités connues. Après avoir obtenu l'accès, les adversaires effectuent une reconnaissance pour cartographier le réseau cible et récupérer les informations d'identification à l'aide de Mimikatz. À l'aide des informations d'identification recueillies, les opérateurs du ransomware escaladent les privilèges et se déplacent latéralement pour compromettre le réseau. Avant le chiffrement, les acteurs de BlackBasta désactivent les défenses, exfiltrent des informations sensibles et suppriment les copies du volume d'ombre pour rester cachés jusqu'à l'attaque finale. Le groupe est connu pour employer une double tactique d'extorsion, en chiffrant les données critiques et les serveurs vitaux et en menaçant de publier des informations sensibles sur son site de fuite public.

Les objectifs pour la période couverte par le présent rapport sont les suivants :

• Un important prestataire de soins de santé américain. BlackBasta a crypté les données des patients et les systèmes opérationnels du prestataire, compromettant ainsi les soins aux patients et la confidentialité des données.
• Keytronic, un fabricant américain. Une cyberattaque attribuée à BlackBasta a perturbé ses opérations et restreint l'accès à des applications commerciales essentielles. En outre, l'entreprise a été victime d'une violation de données lorsque le gang du ransomware a divulgué les données volées.

Ces attaques montrent que BlackBasta continue de se concentrer sur des cibles de grande valeur dans divers secteurs, en utilisant des tactiques de ransomware sophistiquées pour maximiser leur potentiel de perturbation et d'extorsion.

LockBit, un groupe cybercriminel prétendument affilié à la Russie, se spécialise en tant que fournisseur de RaaS grâce à son logiciel malveillant éponyme. Les opérateurs du groupe entretiennent et améliorent le ransomware avec diligence, en supervisant les négociations et en orchestrant son déploiement une fois l'intrusion réussie. LockBit utilise une double stratégie d'extorsion qui consiste non seulement à crypter les données locales pour restreindre l'accès des victimes, mais aussi à exfiltrer des informations sensibles, menaçant d'exposer les données publiques si la rançon n'est pas payée.

L'opération Cronos, un groupe international de lutte contre la cybercriminalité, a gravement perturbé LockBit en février. Cependant, le groupe est resté très actif et a été le plus agressif en ciblant les organisations de la région EMEA au cours de ce trimestre. Parmi les cibles, citons

• Infrastructures critiques localisées. Dans la région EMEA, LockBit a largement ciblé les PME en masse, principalement au Royaume-Uni, en Allemagne et en France. Le groupe se concentre principalement sur les infrastructures critiques à petite échelle liées à l'éducation, aux soins de santé et au secteur public.
• Hôpital de Cannes - Simone Veil, en France. Une attaque LockBit a entraîné de graves perturbations opérationnelles, obligeant l'hôpital à mettre tous les ordinateurs hors ligne et à reprogrammer les procédures et les rendez-vous non urgents.
• Wichita, la plus grande ville du Kansas avec une population de 400 000 habitants. Cette importante attaque de ransomware a contraint la ville à mettre ses systèmes informatiques hors ligne, ce qui a entraîné de nombreuses perturbations. LockBit a publié une date limite de paiement de la rançon sur son site web, augmentant ainsi la pression sur l'administration de la ville pour qu'elle se conforme à ses exigences.

ShinyHunters est un groupe de menace apparu pour la première fois en 2020, et il est connu pour plusieurs violations de données dans de nombreux secteurs. Ses attaques auraient notamment visé la société indonésienne de commerce électronique Tokopedia, ainsi que GitHub et Pizza Hut Australia. ShinyHunters a proposé des données volées à la vente sur des forums, laissant parfois échapper gratuitement des données provenant de certaines violations. Paradoxalement, le groupe trouve souvent des vulnérabilités grâce au code disponible dans les dépôts GitHub. Il parcourt les nuages non sécurisés, abuse des informations d'identification volées et exploite les attaques par hameçonnage pour faciliter ses intrusions.

Les autres cibles présumées pour cette période de rapport sont les suivantes

• Banco Santander S.A., une banque espagnole qui sert des clients en Amérique latine, aux États-Unis, au Royaume-Uni et en Espagne. ShinyHunters a mis en vente, pour environ 2 millions de dollars américains, des données provenant de cette violation, qui a touché 30 millions de clients et d'employés.
• Une multinationale spécialisée dans la vente et la distribution de billets de spectacles. Les données de ses clients ont été volées via un compte sur Snowflake, un nuage de données d'IA utilisé par l'entreprise. Le compte ne disposait pas d'une authentification multifactorielle, ce qui a permis au groupe de menace d'y accéder. ShinyHunters a proposé de vendre ces données pour 500 000 dollars américains.

Le ransomware Akira a été observé pour la première fois en mars 2023 et a rapidement gagné en notoriété en raison de ses attaques de grande envergure dans divers secteurs. Les opérations du groupe ont été caractérisées par une série d'attaques très médiatisées et une présence persistante dans le paysage des ransomwares. Akira est particulièrement connu pour son recours à une double tactique d'extorsion : il ne se contente pas de chiffrer les données, il menace également de divulguer les données volées si la rançon n'est pas payée. Cette approche s'est avérée efficace pour contraindre les victimes à répondre à ses exigences.

Initialement axé sur les systèmes Windows, Akira a depuis élargi ses opérations pour inclure une variante Linux. Le groupe utilise des méthodes d'accès initiales courantes, notamment des campagnes d'hameçonnage et l'exploitation de vulnérabilités connues. Akira utilise également des outils accessibles au public tels que Mimikatz et LaZagne pour l'accès aux informations d'identification, PsExec pour l'exécution à distance et AnyDesk ou Radmin pour l'accès à distance.

Akira fonctionne comme un RaaS, a été initialement développé en C++ et utilise une extension .akira pour les fichiers cryptés. Une variante basée sur Rust a également été observée, qui utilise l'extension .powerranges. Les activités les plus récentes d'Akira ont ciblé les secteurs de la santé, des services financiers, de l'industrie et de la technologie. Ces attaques mettent en évidence la capacité d'adaptation du groupe et la menace permanente qu'il fait peser sur un large éventail de secteurs.

Des outils tels que Rclone, Rubeus, GMER, WinSCP et Cobalt Strike sont essentiels pour la gestion des données, les tests de pénétration et la maintenance des systèmes. Leur flexibilité et leur accessibilité en font également des outils utiles qui peuvent être utilisés à mauvais escient par les acteurs de la menace.

Cobalt Strike est un cadre sophistiqué de simulation d'adversaires, méticuleusement conçu pour reproduire la présence persistante d'acteurs menaçants dans des environnements réseau. Structuré autour de deux éléments essentiels - un agent (Beacon) et un serveur (Team Server) - Cobalt Strike orchestre une interaction transparente. Le serveur Cobalt Strike Team, qui fonctionne comme un serveur C2 à long terme hébergé sur Internet, maintient une communication constante avec les charges utiles Beacon déployées sur les machines des victimes.

Bien que Cobalt Strike soit principalement utilisé comme outil par les testeurs de pénétration et les équipes rouges pour évaluer le niveau de sécurité des réseaux, il a malheureusement aussi été exploité par des acteurs malveillants. Malgré l'objectif visé, des cas de fuite de son code en ligne se sont produits, ce qui a conduit à une militarisation rapide par un éventail diversifié d'adversaires. Cette double nature souligne l'importance de la vigilance et de mesures de cybersécurité robustes pour atténuer les risques associés à son utilisation abusive et protéger les réseaux d'une exploitation potentielle.

L'équipe de recherche et d'intelligence de BlackBerry a analysé cinq des techniques MITRE les plus observées :

Hijack Execution Flow (T1574) est une technique sophistiquée employée par des adversaires pour intercepter et manipuler le flux d'exécution normal d'un système, ce qui leur permet d'exécuter un code malveillant à la place. Cette méthode s'est avérée très répandue au cours du dernier trimestre, ce qui témoigne de sa popularité en raison de son efficacité à obtenir la persistance et à exécuter des actions non autorisées.

Il existe plusieurs façons d'exploiter les méthodes de cette technique, notamment le détournement de l'ordre de recherche des DLL, le chargement latéral des DLL et l'injection de code malveillant dans des processus légitimes. En détournant le flux d'exécution, les attaquants peuvent prendre le contrôle du système sans déclencher les alertes de sécurité standard. Il est donc difficile pour les outils de sécurité de détecter et d'empêcher les activités futures de l'acteur de la menace. Par exemple, en plaçant une DLL malveillante dans un emplacement qui est recherché avant la DLL légitime, l'attaquant peut s'assurer que son code est exécuté lorsqu'une application légitime charge la DLL.

L'un des principaux avantages de cette technique pour les adversaires est sa capacité à contourner les mesures de sécurité. Comme le code malveillant est exécuté dans le contexte d'un processus de confiance, il peut échapper aux mécanismes de sécurité traditionnels qui reposent sur l'analyse du comportement des processus. Cette capacité rend le Hijack Execution Flow particulièrement dangereux, car il peut être utilisé pour réaliser un large éventail d'activités malveillantes, de l'escalade des privilèges à l'exfiltration de données.

Pour se défendre contre le T1574, les entreprises doivent mettre en œuvre des mesures de sécurité complètes, y compris la mise en liste blanche des applications, une gestion rigoureuse des correctifs et une surveillance continue des activités du système et du réseau. La mise à jour régulière des logiciels et la garantie que seules les applications autorisées peuvent fonctionner réduisent considérablement le risque de détournement du flux d'exécution.

La formation des utilisateurs joue également un rôle essentiel en aidant les employés à reconnaître les signes de tentatives potentielles de détournement de flux d'exécution, contribuant ainsi à une posture de sécurité solide. Enfin, l'utilisation de solutions avancées de détection des menaces capables d'identifier les comportements anormaux associés à cette technique est cruciale pour une détection et une réponse rapides. Voici quelques exemples d'utilisation de T1574 :

• Détournement de l'ordre de recherche des DLL : Un exemple courant est l'exploitation de l'ordre de recherche des DLL dans Windows. Si un attaquant place un fichier msvcrt.dll malveillant dans le répertoire de travail de l'application, il peut être chargé par l'application au lieu de la version légitime du répertoire système.
• Chargement latéral de DLL : En 2018, le groupe APT OceanLotus a utilisé le chargement latéral de DLL avec l'exécutable Microsoft Word légitime pour charger une DLL malveillante qui a établi la persistance et exécuté d'autres charges utiles.
• Détournement de COM : Un pirate enregistre un objet COM malveillant sous une clé de registre spécifique qu'une application légitime interroge fréquemment. Lorsque l'application appelle l'objet COM, le code malveillant est exécuté à la place de l'objet COM prévu.
• Windows AppInit_DLLs : En modifiant les clés de registre telles que AppInit_DLLs, un pirate s'assure que sa DLL malveillante est chargée dans tous les processus applicables, ce qui lui permet de contrôler ces processus.
• Injection dans des processus légitimes : Un cas connu de cette technique est l'utilisation de l'injection de DLL par réflexion par l'outil Cobalt Strike, où la charge utile est injectée dans un processus légitime pour éviter d'être détectée par les logiciels de sécurité.

Dans la technique d'exécution automatique au démarrage ou à la connexion (T1547), un pirate s'assure d'abord que le logiciel malveillant s'exécute automatiquement au démarrage du système ou à la connexion de l'utilisateur. Il utilise ensuite des mécanismes tels que les clés de registre, les dossiers de démarrage, les tâches planifiées ou les enregistrements de services pour maintenir la persistance ou pour obtenir des privilèges élevés sur le système compromis. Ces mécanismes sont conçus pour faciliter la fonctionnalité des logiciels légitimes et les tâches de gestion du système d'exploitation. Cependant, les adversaires peuvent abuser de ces fonctions pour intégrer leur code malveillant, ce qui leur permet de se fondre dans les opérations normales du système. Il est essentiel de comprendre et de sécuriser ces mécanismes critiques du système d'exploitation pour se protéger contre la persistance non autorisée et l'escalade des privilèges.

Voici un exemple d'emplacement de clé de registre fréquemment utilisé pour établir la persistance :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run ' - Il s'agit du registre Windows utilisé pour configurer les programmes à exécuter automatiquement au démarrage du système d'exploitation.

Voici un exemple de dossier de démarrage utilisé pour établir la persistance :

'%APPDATA%\NMicrosoft\NWindows\NMenu de démarrage\NProgrammes\NDémarrage ' - Ce chemin mène au dossier de démarrage, où sont placés les raccourcis vers les programmes qui doivent être lancés automatiquement lorsque l'utilisateur se connecte.

Voici un exemple de la façon dont la création de services peut être utilisée pour la persistance :

sc create Updater binPath= "C:\NWindows\Nmalicious[.]exe" start= auto ' - La commande utilise l'utilitaire de service pour créer un service nommé "Updater" qui est configuré pour démarrer automatiquement au démarrage du système.

Le planificateur de tâches de Windows est un autre exemple d'établissement de la persistance et d'obtention de privilèges élevés :

schtasks /create /tn "Updater" /tr "C:\Windows\malicious[.]exe" /sc onlogon /ru SYSTEM ' - La commande crée une tâche planifiée nommée "Updater" qui exécute l'exécutable malicious.exe à l'emplacement spécifié à chaque fois qu'un utilisateur se connecte, la tâche spécifique s'exécutant sous le compte SYSTEM avec des privilèges élevés.

La technique de MITRE "Impair Defenses" (T1562), dans le cadre de la tactique "Defense Evasion" (TA0005), a été reconnue comme l'une des cinq techniques les plus couramment utilisées par les adversaires au cours de la période couverte par le présent rapport. Cette technique modifie les éléments de l'environnement d'une victime afin d'entraver ou de désactiver les mécanismes de défense. Les adversaires ne se contentent pas d'entraver les défenses préventives telles que les pare-feu et les logiciels antivirus, ils perturbent également les capacités de détection utilisées par les défenseurs pour contrôler les activités et identifier les comportements malveillants.

Lorsque les acteurs de la menace parviennent à affaiblir les défenses d'une victime, ils sont libres d'attaquer sans être détectés. Cela leur permet d'injecter des binaires malveillants, qui peuvent être utilisés pour exploiter d'autres techniques MITRE, telles que des enregistreurs de frappe, des vers, des chevaux de Troie et des shells web malveillants. Tous ces éléments peuvent conduire à l'exécution d'un ransomware sur une machine.

Il est essentiel d'utiliser des mesures de protection contre la technique T1562 de MITRE pour protéger votre système contre de telles attaques. Cette technique est souvent utilisée au début d'une attaque, il est donc essentiel de la détecter et de la contrer le plus tôt possible.

Vous trouverez ci-dessous une liste de lignes de commande qu'il est utile de surveiller :

• sc stop <ServiceName>
• sc config <ServiceName> start=disabled
• net stop <ServiceName>
• taskkill /IM <ToolName> /F
• netsh advfirewall set allprofiles state off
• bcdedit.exe /deletevalue {default} safeboot
• bcdedit /set {default} recoveryenabled no

La technique de découverte des fenêtres d'application (T1010), qui fait partie de la tactique de découverte (TA0007), a été identifiée par les spécialistes de BlackBerry comme l'une des principales techniques utilisées par les acteurs de la cybermenace au cours de la période couverte par le présent rapport. Cette technique consiste à dresser la liste des applications Windows ouvertes, ce qui permet aux acteurs de la menace d'obtenir des informations utiles sur les habitudes d'utilisation du système cible. Ces informations peuvent s'avérer précieuses pour identifier les données spécifiques qui méritent d'être collectées, ainsi que les logiciels de sécurité que les attaquants doivent contourner pour ne pas être détectés. Les auteurs de menaces utilisent cette technique pour mieux comprendre l'environnement et planifier leur attaque de manière à être aussi agressifs que possible sans être détectés.

Pour obtenir la liste des applications Windows ouvertes, les attaquants exploitent généralement les fonctions intégrées du système. Par exemple, ils peuvent utiliser des commandes de l'interpréteur de commandes et de scripts, ou des fonctions de l'API native pour collecter les informations nécessaires. Ces outils et fonctions natifs sont souvent utilisés parce qu'ils sont moins susceptibles d'éveiller les soupçons et qu'ils peuvent fournir des informations complètes sur le système.

Étant donné que ces comportements sont suspects et peuvent fournir à un adversaire des informations importantes sur le système de la victime, il est important de disposer d'une configuration logicielle de sécurité capable de détecter ces commandes ou actions exécutées par des adversaires.

Vous trouverez ci-dessous une liste de lignes de commande qu'il peut être utile de surveiller :

• gps | where {$_.mainwindowtitle}
• Get-Process | Where-Object MainWindowTitle
• "cscript.exe", "rundll32.exe", "explorer.exe", "wscript.exe", "PowerShell.exe", "pwsh.dll", "winlogon.exe", "cmd.exe" étant le processus parent de l'utilisation de ces API : "user32.dll!GetWindowTextA", "user32.dll!GetForegroundWindow", "user32.dll!GetActiveWindow", "user32.dll!GetWindowTextW"
• liste des tâches & liste des tâches /v

Le cadre ATT&CK de MITRE identifie la découverte de logiciels (T1518) comme une technique clé dans le cadre de la tactique de découverte (TA0007). Cette méthode est fréquemment utilisée par les adversaires pour se faire une idée de l'environnement logiciel des systèmes ciblés, ce qui en fait une étape critique dans de nombreuses cyberattaques. La découverte de logiciels permet aux attaquants d'identifier les vulnérabilités en déterminant les applications et les versions installées sur un système. Ces informations aident les attaquants à exploiter les logiciels obsolètes ou non corrigés, à planifier des moyens de désactiver ou de contourner les mesures de sécurité et à adapter leurs attaques pour une efficacité maximale.

Les méthodes courantes de découverte de logiciels comprennent l'utilisation de Windows Management Instrumentation (WMI) avec des commandes telles que wmic "product" pour obtenir le nom, la version et le fournisseur, ainsi que des scripts PowerShell tels que Get-ItemProperty ou Get-WmiObject. Ces méthodes permettent aux attaquants de récupérer des informations détaillées sur les logiciels, d'interroger le registre Windows et d'identifier les processus en cours et les applications associées. Les implications d'une découverte réussie de logiciels sont importantes. Les attaquants peuvent exploiter les vulnérabilités logicielles identifiées pour élever leurs privilèges ou exécuter du code arbitraire. Ils peuvent également désactiver ou contourner les défenses de sécurité, augmentant ainsi la probabilité d'opérer sans être détectés. En outre, en comprenant l'environnement logiciel, les adversaires peuvent déployer des logiciels malveillants ciblant spécifiquement les applications découvertes, améliorant ainsi l'efficacité et la furtivité de leurs attaques.

Pour se protéger contre cette technique, les entreprises doivent mettre en place des mécanismes de surveillance et d'alerte robustes. Il est essentiel de surveiller l'utilisation des commandes et des scripts généralement associés à la découverte de logiciels. L'utilisation de systèmes avancés de détection des menaces qui utilisent l'analyse comportementale peut aider à détecter des activités inhabituelles. Il est également essentiel de s'assurer que tous les logiciels sont à jour et corrigés, de limiter l'utilisation des outils d'administration au personnel autorisé et de conserver des journaux complets de l'exécution des commandes.