La société de cybersécurité Mandiant a identifié un acteur menaçant qu’elle utilise Les périphériques USB comme vecteur d’infection initial puis exploite des plateformes en ligne légitimes pour héberger des charges utiles intermédiaires, qui déclenchent ensuite le téléchargement du malware final, au sein d’un contenu apparemment inoffensif. La main derrière cette campagne identifiée par Mandiant comme UNC4990 et active depuis au moins 2020, ciblant principalement les utilisateurs italiens et à des fins de gain financier.
Le premier maillon de la chaîne d’attaque est une clé USB contenant un fichier de lien .lnk, mais on ignore actuellement comment les périphériques USB compromis sont distribués aux victimes. Si le lien est ouvert, il démarre l’exécution d’un script PowerShell qui télécharge une charge utile intermédiaire qui est décodée en une URL utilisée pour télécharger et installer le téléchargeur de logiciels malveillants appelé EMPTYSPACE.
Le malware établit un canal de communication avec le serveur de commande et de contrôle des pirates, téléchargeant ensuite une porte dérobée appelée « QUIETBOARD » et une série de cryptomineurs secrets pour extraire Monero, Ethereum, Dogecoin et Bitcoin. Mandiant a suivi les adresses des portefeuilles utilisés pour déposer les crypto-monnaies, détectant un butin total de 55 mille dollars (hors Monero, compte tenu de ses caractéristiques de confidentialité).
La porte dérobée QUIETBOARD offre aux attaquants de nombreuses capacités, notamment l’exécution de commandes, de scripts et de codes reçus du serveur de commande et de contrôle, la modification du contenu du presse-papiers pour voler des crypto-monnaies, la possibilité de compromettre des disques amovibles pour propager des logiciels malveillants sur d’autres systèmes. , en prenant des captures d’écran pour voler des informations et collecter des informations, y compris des informations géographiques, sur le système compromis et sur tout réseau sur lequel il se trouve. La porte dérobée a des capacités de persistance et prend également en charge l’extension de nouvelles fonctionnalités via des modules complémentaires.
L’aspect particulier de cette chaîne d’attaque est que les charges utiles intermédiaires sont cachées par UNC4990 dans des fichiers texte codés téléchargés sur GitHub et GitLabmais aussi en profitant de plateformes telles que Vimeo ou des sites comme ArsTechnica pour héberger des chaînes codées en Base64 et cryptées AES. Dans ce cas, aucune vulnérabilité des sites choisis pour héberger la payload n’est exploitée, mais les fonctions normales mises à disposition des utilisateurs sont utilisées : les payloads ont été masquées dans certains cas dans les descriptions des vidéos Vimeo ou dans la page d’information d’un utilisateur. profil sur le forum ArsTechnica.
Ces charges utiles intermédiaires ne présentent aucun risque pour les utilisateurs qui visitent ces pages Web, car il s’agit de simples chaînes de texte qui, pour remplir leur fonction, doivent être intégrées dans la chaîne d’attaque qui les utilise pour déclencher le téléchargement du malware.
Le stratagème consistant à cacher les charges utiles intermédiaires « à la vue de tous » sur des plateformes légitimes, connues et fiables permet aux acteurs malveillants de profiter de l’autorité de ces plateformes, réduisant ainsi les risques que les systèmes de sécurité les signalent comme suspectes. Ce n’est pas tout : il s’agit généralement de plates-formes qui utilisent de grands réseaux de distribution de contenu et le mélange de ces charges utiles au sein de grands volumes de trafic légitime rend leur identification encore plus difficile. C’est une technique qui pourrait facilement et facilement être utilisée sur d’autres plateformes offrant aux utilisateurs la possibilité de poster des commentaires.
Voir l’article original en italien
