Catégorie : Sécurité Page 13 of 26

Le FBI et la CISA mettent en garde contre les dangers de WhisperGate et d’HermeticWiper

On 06/03/2022

Il y a quelques jours, j’ai publié un billet dans lequel je parlais de l’engagement de Microsoft à aider à protéger l’Ukraine en termes de cybersécurité contre les attaques de logiciels malveillants tels que FoxBlade. Aujourd’hui, le FBI et la CISA ont publié un nouveau rapport mettant en garde contre les dangers du WhisperGate et de l’HermeticWiper.

Dans le cas de WhisperGate, Microsoft a signalé qu’il s’agit d’un logiciel malveillant conçu pour ressembler à un rançongiciel, mais qui vise en fait à causer des dommages irréparables. Il s’agit d’un « wiper », un type de logiciel malveillant qui cherche à effacer complètement le disque dur de la machine affectée, en se débarrassant de toutes les informations et de tous les programmes qu’il contient. Il écrase complètement le MBR (Master Boot Record) avec une note de rançon. En outre, il tente également de détruire la partition C: en écrasant toutes les informations existantes par des données aléatoires et dénuées de sens.

D’autre part, HermeticWiper a déjà été abordé dans ce blog le 24 février, je vous renvoie donc vers l’article « La théière russe explose : l’Ukraine et la Russie également en guerre numérique » pour plus de détails sur le fonctionnement de ce malware. En résumé, HermeticWiper a été lancé en conjonction avec les leurres HermeticRansom pour rendre les appareils touchés non amorçables.

Le rapport publié par les deux organisations vise principalement à alerter les entreprises américaines, car on estime que ces attaques de logiciels malveillants pourraient éventuellement toucher des entreprises en dehors des frontières de l’Ukraine. Le rapport exhorte les entreprises à prendre des mesures telles que la mise en place d’une authentification à deux facteurs (MFA), de solutions antivirus et anti-malware, ainsi que de filtres anti-spam.

En plus des deux malwares mentionnés jusqu’à présent dans ce billet, nous allons mentionner un troisième wiper supplémentaire découvert par les chercheurs d’ESET : IsaacWiper.

Les chercheurs n’ont pas encore attribué ce nouveau wiper à un groupe cybercriminel spécifique et on ne sait pas encore exactement quel était le vecteur d’attaque initial, mais en ce qui concerne ce dernier, on soupçonne que les attaquants ont utilisé des outils tels que Impacket pour effectuer des mouvements latéraux. Ce nouveau « wiper » a été détecté dans des DLL ou des fichiers EXE de Windows sans signature d’authentification, et sa date de compilation la plus ancienne remonte à octobre 2021.

Pour conclure cette publication, il est donc recommandé, et ce non seulement aux entreprises mais aussi aux utilisateurs, de prendre les mesures de protection recommandées contre les attaques potentielles de malware et de ransomware car, bien que nous ayons parlé dans ce cas d’attaques dirigées au niveau national, les incidents causés au niveau privé par ce type de cyberattaques sont de plus en plus fréquents et touchent un nombre croissant de personnes.

Plus d’information:
Beware of WhisperGate and HermeticWiper – Warns the FBI and CISA
Researchers Peek into the Deadly WhisperGate Wiper

Le groupe de ransomware Conti implique Zoom dans une liste possible de fuites d’entreprises

de jabot

On 04/03/2022

dans Chiffrement, Malware, Ransomware, Sécurité

La guerre en Ukraine pourrait faire une victime inattendue. Le groupe cybercriminel Conti a récemment exprimé son soutien total au gouvernement russe. Deux jours plus tard, le compte twitter ContiLeaks a commencé à divulguer des informations sur le groupe. Cette fuite est bien plus importante que la publication de ses manuels techniques en août de l’année dernière.

Mensaje de Conti — Message publié sur le site web de Conti.

La source de la fuite semble provenir d’une personne du groupe lui-même. C’est certainement quelqu’un qui a un accès privilégié à l’infrastructure de Conti.

Dans un premier temps, des chats privés avec des conversations entre janvier 2021 et février 2022 ont été divulgués. Ces données permettent d’obtenir des informations précieuses, telles que des adresses Bitcoin, le modèle d’organisation du groupe ou des guides sur la manière de mener des attaques.

Zoom dans les fichiers divulgués

Au milieu des proclamations anti-guerre et du soutien à l’Ukraine, de nouvelles fuites ont continué à se produire. Certaines d’entre elles ont créé une véritable agitation sur les médias sociaux. Un dossier portant le nom de Zoom est apparu parmi les fichiers divulgués.

Matt Nagel, responsable de la sécurité et de la confidentialité chez Zoom, a démenti peu après que l’entreprise ait été touchée par une violation de sécurité liée au ransomware Conti.

Conti Leaks show hacked company "ZOOM". #ransomware pic.twitter.com/AEeoLnz8YX
— z0man (@z0man) March 1, 2022

Parmi les contenus d’intérêt publiés par ContiLeaks figuraient le code source du panneau d’administration du groupe et des captures d’écran de serveurs de stockage. Un fichier protégé par un mot de passe s’est avéré contenir le code source des fonctions de chiffrement, de déchiffrement et de construction du ransomware.

Pour les analystes, cette découverte est d’une grande valeur. Mais ce genre de fuite a ses inconvénients. D’autres groupes pourraient voir le jour en utilisant le code publié.

L’effet sur la réputation de groupe Conti ne fait aucun doute, mais il faut encore attendre pour voir dans quelle mesure son modèle économique est affecté.

Plus d’information:
https://blog.malwarebytes.com/threat-intelligence/2022/03/the-conti-ransomware-leaks/
https://www.bleepingcomputer.com/news/security/conti-ransomware-source-code-leaked-by-ukrainian-researcher/

Microsoft prend des mesures face aux cyberattaques russes

de jabot

On 03/03/2022

dans Malware, Sécurité

Microsoft précise qu’elle reçoit un grand nombre de questions en rapport avec cette nouvelle et déclare quatre fronts sur lesquels elle s’engage à aider l’Ukraine contre la Russie.

Quatre grands axes sur lesquels le géant de l’informatique s’est engagé avec l’intention d’offrir un point d’appui au pays attaqué :

Protéger l’Ukraine des cyberattaques.
Protection contre les campagnes de désinformation parrainées par l’État
Soutenir l’aide humanitaire
Protection de ses employés.

Protection contre les cyber-attaques

Quelques heures avant les tirs de missiles et les mouvements de chars du 24 février, le centre de renseignement sur les menaces de Microsoft (MSTIC) a pu détecter une nouvelle série de cyberattaques offensives et destructrices visant l’infrastructure numérique de l’Ukraine dans cette guerre numérique contre la Russie, sous la forme d’un nouveau logiciel malveillant appelé « FoxBlade » (évoqué à la fin de cet article).

Trois heures après la détection de cette attaque, Microsoft a ajouté la signature numérique de l’attaque à sa base de données Defender et a alerté et fourni à l’Ukraine des directives sur la manière de se défendre contre ce malware.

En raison de cette cyberattaque et des tentatives répétées de vol de données sensibles (telles que des informations personnelles identifiables (PII) liées à la santé, aux assurances et aux transports), Microsoft a décidé d’envisager sérieusement de fournir cette assistance à l’Ukraine, à l’OTAN et aux responsables américains à Washington.

Protection contre la désinformation parrainée par l’État

Microsoft tente de prendre de nouvelles mesures pour réduire l’exposition à la propagande russe. Conformément à la récente décision de l’UE, la plate-forme Microsoft Start (y compris MSN.com) n’affichera pas de contenu RT (Russia Today) et Sputnik parrainé par l’État.

Ils indiquent qu’ils continueront à suivre de près les événements et s’adapteront en permanence pour renforcer les mécanismes de détection et de perturbation afin d’empêcher la propagation de la désinformation et de promouvoir un contenu indépendant et digne de confiance.

Soutien à l’aide humanitaire

Comme ils l’indiquent, ils s’engagent à utiliser leur technologie, leurs compétences, leurs ressources et leur voix pour contribuer aux efforts de réponse humanitaire.

Ils ont activé l’équipe d’intervention en cas de catastrophe de Microsoft pour fournir un soutien technologique et s’appuient sur d’autres secteurs d’activité de Microsoft pour aider le public à trouver et à soutenir les organisations humanitaires.

Protéger les employés

Comme d’autres multinationales, Microsoft s’attache à protéger ses employés. Cela revêt une importance évidente et vitale pour ses employés en Ukraine. Ils indiquent également qu’ils protègent leurs employés en Russie, car ils pourraient être discriminés par la décision de leur employeur ou de leur gouvernement.

Malware FoxBlade

Le malware FoxBlade, un cheval de Troie qui utilise le PC de la victime pour mener des attaques par déni de service (DDoS), a été découvert et analysé en un temps record par Microsoft le 24 février 2022.

La Russie était responsable de la préparation de cette attaque depuis des mois. ESET a trouvé des preuves de la présence de fichiers « HermeticWiper » (un logiciel malveillant précédemment utilisé qui supprime les données sur un réseau informatique) qui ont été créés le 28 décembre 2021.

La Maison Blanche craint également que le logiciel malveillant ne se propage au-delà des frontières de l’Ukraine. Anne Neuberger, conseillère adjointe à la sécurité nationale de la Maison Blanche pour les technologies cybernétiques et émergentes, a demandé à Microsoft d’envisager de partager les détails du code afin d’éviter que l’alliance militaire ne soit fermée ou que les banques d’Europe occidentale ne soient affectées.

Plus d’information:
https://blogs.microsoft.com/on-the-issues/2022/02/28/ukraine-russia-digital-war-cyberattacks/
https://www.bleepingcomputer.com/news/security/microsoft-ukraine-hit-with-foxblade-malware-hours-before-invasion/

Une faille dans l’algorithme de chiffrement du ransomware Hive permet de récupérer les données chiffrées

de jabot

On 28/02/2022

dans Chiffrement, Ransomware, Sécurité

Quatre chercheurs de l’université Kookmin en Corée du Sud ont découvert une vulnérabilité dans l’algorithme de chiffrement du ransomware qui permet d’obtenir la clé maîtresse et de récupérer les informations détournées.

Hive est une famille de ransomware relativement récente. Les premières attaques ont été signalées en juin 2021 et, bien que Hive n’existe que depuis peu, elle est considérée comme l’une des familles de ransomware les plus lucratives de l’année écoulée.

Cela peut s’expliquer par une technique d’extorsion très agressive appliquée par le malware. Contrairement aux ransomwares ordinaires qui ne chiffrent que les fichiers, celui-ci réalise une « double extorsion » : d’une part, les informations sont détournées grâce au chiffrement qu’il applique aux fichiers de la victime. D’autre part, le malware menace les victimes de publier les informations volées sur sa page publique HiveLeaks.

Hive Ransomware - Decryption, removal, and lost files recovery (updated) — Entreprise touchée par Hive

Comme d’habitude, le logiciel malveillant et son infrastructure sont proposés comme un service (Ransomware-as-a-Service).

Accès à la console d’administration de Hive

Le groupe utilise différents vecteurs d’attaques pour sa propagation : campagnes de malspam, serveurs RDP compromis ou informations d’identification VPN compromises, entre autres.

Mais la bonne nouvelle aujourd’hui est que quatre chercheurs de l’université de Corée du Sud ont trouvé une méthode pour déchiffrer les informations détournées par le logiciel malveillant.

Giyoon Kim, Soram Kim, Soojin Kang et Jongsung Kim travaillent dans les domaines de la sécurité des informations et de la cryptographie mathématique. Dans leur article, ils expliquent comment fonctionne l’algorithme de chiffrement du ransomware et comment ils ont réussi à récupérer la clé maîtresse :

Fonctionnement du ransomware

Génération de la clé maîtresse : Hive génère 10MiB d’informations aléatoires qui seront utilisées comme clé maîtresse et flux de clés pour chiffrer les données.
Chiffrement de la clé maîtresse : la clé maîtresse est chiffrée à l’aide d’une clé publique RSA-2048-OAEP qui est fixée dans l’échantillon. La clé cryptée ‘base64url_MD5_of_the_master_key.key.hive’ est stockée dans ‘C:\’ si le ransomware dispose de privilèges d’administrateur ou dans ‘C:\UsersAppDataLocalVirtualStore’ sinon.
Pour rendre difficile la récupération de toute information, les processus et services qui pourraient être en cours d’exécution sont arrêtés : mspub, msdesktop, bmr, sql, oracle, postgres, redis, vss, backup, sstp.
Création de fichiers batch : les fichiers « hive.bat » et « shadow.bat » sont générés, dans le but d’éliminer respectivement les preuves et les éventuelles sauvegardes. À la fin de leur exécution, les fichiers .bat s’effacent d’eux-mêmes.
Création de la note de rançon : avec des informations pour la victime sur la façon de déchiffrer ses fichiers.
Chiffrement des fichiers : en fonction des privilèges d’exécution du malware, tous les fichiers de la machine seront chiffrés, à l’exception de ceux nécessaires au fonctionnement du système d’exploitation.
Destruction de la clé maîtresse.
Suppression des informations résiduelles : le malware effectue plusieurs cycles d’écriture et d’effacement sur le disque, ce qui rend impossible la récupération des fichiers résiduels.

L’algorithme de chiffrement de Hive

Hive utilise un algorithme propriétaire qui utilise une clé maîtresse à partir de laquelle deux clés de chiffrement sont générées et utilisées pour chiffrer les informations.

Les chercheurs ont découvert que l’algorithme réutilisait partiellement ces clés lors du chiffrement de plusieurs fichiers. Cela leur a permis de trouver les équations pour obtenir le passe-partout. Il suffit d’un fichier original non chiffré ou de plusieurs fichiers chiffré dont la signature est connue, tels que des fichiers .pdf, .xlsx ou .hwp.

Bien qu’aucun logiciel officiel n’ait encore été publié pour récupérer ces informations, plusieurs POC ont été réalisées avec succès.

Tous les détails du processus de déchiffrement et de la manière dont il pourrait être automatisé se trouvent dans l’article publié par l’université.

Plus d’information:
https://arxiv.org/pdf/2202.08477.pdf

Xenomorph, le nouveau malware qui menace les banques européennes

de jabot

On 26/02/2022

dans Malware, Sécurité

Les chercheurs de ThreatFabric cataloguent un nouveau malware appelé Xenomorph qui affecte plus de 50 institutions financières européennes.

Détecté pour la première fois ce mois-ci, le malware Xenomorph est un cheval de Troie bancaire qui infecte les smartphones Android. Le virus affiche de faux écrans de connexion sur les applications bancaires mobiles pour voler les informations d’identification des clients. Ces données sont ensuite utilisées pour accéder aux comptes bancaires et voler des fonds.

Si les comptes sont protégés par une authentification en deux étapes, Xenomorph peut également intercepter les SMS contenant le code et les transmettre aux attaquants. Elle affecte actuellement 56 banques européennes et 12 portefeuilles de crypto-monnaies.

Xenomorph infecte les smartphones via une application du Google Play Store appelée Fast Cleaner qui le télécharge et l’exécute. Cette application a été téléchargée plus de 50 000 fois.

Ce malware a été baptisé Xenomorph en raison de la similitude de son code avec celui d’un autre cheval de Troie bancaire connu sous le nom d’Alien. Cependant, malgré ses liens évidents avec l’un des logiciels malveillants les plus répandus de ces deux dernières années, Xenomorph est radicalement différent d’Alien en termes de fonctionnalité.

Ce fait, en plus de la présence de fonctionnalités non implémentées et de la grande quantité de logs présents dans le malware, peut suggérer qu’il s’agit d’un nouveau projet en cours par les acteurs responsables de l’Alien original, ou au moins par quelqu’un qui connaît bien sa base de code. Toutefois, il ne s’agit que de spéculations à ce stade.

Les chercheurs de ThreatFabric, d’après leur expérience dans ce type de menace bancaire, affirment que le malware est en phase de développement car certaines commandes du virus ne sont pas encore implémentées. Il s’agit actuellement d’un cheval de Troie bancaire Android moyen avec beaucoup de potentiel inexploité, qui pourrait être mis à jour très prochainement.

Les cibles du Xenomorph :

Plus d’information:
https://www.threatfabric.com/blogs/xenomorph-a-newly-hatched-banking-trojan.html