Principaux enseignements
- Un lot d'échantillons du logiciel malveillant RedLine, conçu pour voler des informations, n'a pas pu s'exécuter dans aucun des environnements de test conventionnels que nous avons testés, ce qui justifiait justement que nous y jetions un second coup d'œil
- Le logiciel malveillant n'indique pas de manière fixe l'adresse à laquelle il se connecte. C'est un autre élément qui en décide, et il ne s'agit pas d'un serveur que n'importe qui peut simplement mettre hors ligne.
- Notre équipe FileScan.io Threat Labs a remonté la piste de cette infrastructure bien plus loin que ne l'aurait jamais permis une simple adresse IP bloquée
- D'après les indices mis au jour au cours de l'enquête, cette infrastructure fonctionne discrètement depuis bien plus d'un an.
- Cette tendance va bien au-delà de ces exemples, ce qui soulève des questions quant à la part réelle des infrastructures qui sont effectivement connectées
- En suivant l'ensemble du tracé, on observe un schéma d'hébergement récurrent
En quoi cette technique diffère-t-elle d'une méthode classique de diffusion d'un programme de vol d'informations ?
La plupart des opérations de neutralisation des logiciels d'espionnage reposent sur la détection et le blocage d'un serveur. Ces échantillons adoptent une approche différente. Ils s'appuient sur « EtherHiding », une technique qui stocke la véritable destination de commande et de contrôle d'une campagne au sein d'un contrat intelligent de la blockchain plutôt que dans le logiciel malveillant lui-même, ce qui permet aux attaquants de rediriger une campagne sans jamais toucher au fichier binaire.
De plus, ces échantillons n'ont pas pu s'exécuter comme des programmes normaux dans des bacs à sable standard. Il s'agit là d'une couche de contournement délibérée, conçue pour empêcher toute exécution automatisée avant même que la charge utile n'ait la possibilité de s'exécuter.
Pourquoi les équipes SOC et les ingénieurs devraient-ils s'en préoccuper ?
Professionnels du SOC et chasseurs de menaces
Une adresse IP bloquée ne vous apprend pratiquement rien sur la durée de déroulement d'une campagne ni sur l'étendue réelle de son infrastructure. Pour obtenir une vue d'ensemble, il faut consulter une blockchain publique, et pas seulement un flux d'informations sur les menaces, et relier entre elles des preuves que la plupart des outils SOC n'ont jamais été conçus pour mettre en corrélation.
Software et les ingénieurs en infrastructures
Les appels RPC de la blockchain, qui constituent le même mode de communication que celui utilisé par les portefeuilles et les dApps pour interagir avec un réseau, apparaissent de plus en plus souvent comme des signaux C2 au sein des logiciels malveillants. Les équipes chargées de développer ou de sécuriser des infrastructures blockchain doivent désormais tenir compte du fait que le trafic RPC peut être détourné à des fins de commande et de contrôle par des logiciels malveillants.
Quelles sont les organisations les plus exposées ?
RedLine vole les identifiants, les jetons de session et les données stockées dans le navigateur ; il cible donc toute organisation dont les droits d'accès présentent une valeur particulière. Certaines catégories présentent un risque plus élevé :
- Les services financiers et la fintech, où les identifiants volés se traduisent directement par des fraudes
- Les organismes publics et les exploitants d'infrastructures critiques, pour lesquels toute intrusion dans les systèmes d'accès peut perturber les opérations et exposer les données
- Les prestataires de services gérés, chez lesquels le vol d'un seul identifiant peut ouvrir la voie à l'accès à plusieurs clients en aval
- Les entreprises du secteur des technologies et du SaaS, où les jetons de session et les clés d'API s constituent des cibles de grande valeur
Quels dommages une campagne comme celle-ci peut-elle causer ?
Une fois que RedLine a récupéré des identifiants, les conséquences dépendent de ce à quoi ces identifiants donnent accès : cela peut aller d’une fraude financière directe à la création d’un point d’ancrage servant à un déploiement ultérieur de ransomware. La restauration consiste généralement à renouveler tous les identifiants auxquels le logiciel malveillant a pu avoir accès, à révoquer les sessions actives et à déterminer quels systèmes ont été atteints par l’accès volé avant sa détection. Une infrastructure de commande cachée peut prolonger la période pendant laquelle l’accès volé reste exploitable.
Quelle place occupe l'« Aether » d'MetaDefender , dans ce contexte ?
MetaDefender Aether™ est conçu pour détecter les logiciels malveillants qui échappent délibérément aux sandbox classiques, y compris les échantillons à l'origine de cette étude. Sa technologie d'émulation avancée contourne les mécanismes anti-VM, anti-débogage et d'évasion temporelle sans nécessiter de réglage manuel ; ainsi, les échantillons conçus pour contourner les sandbox classiques sont tout de même analysés au lieu d'être laissés passer.
Son référentiel d'indicateurs de menaces établit ensuite des corrélations entre les adresses IP, les domaines et les hachages ainsi identifiés et plus de 50 milliards d'indicateurs connus, offrant ainsi aux équipes du SOC un contexte plus large au niveau de l'infrastructure pour chaque indicateur.
Quelles réponses apporte l'enquête de FileScan.io ?
Notre équipe FileScan.io Threat Labs a également retracé l'infrastructure à l'origine de ces échantillons.
L'enquête complète explique :
- Comment des chercheurs ont procédé à une ingénierie inverse sur des échantillons conçus pour échouer dans des bacs à sable classiques
- Comment ils ont récupéré une adresse de commande cryptée
- Jusqu'à quand remonte la mise en place de l'infrastructure de campagne ?
- Combien d'autres campagnes pourraient partager la même configuration de base ?
Questions fréquemment posées
Qu'est-ce qu'EtherHiding ?
EtherHiding est une technique qui permet de stocker ou de récupérer des paramètres de configuration contrôlés par l'attaquant, tels que l'adresse d'un serveur de commande, au sein d'un contrat intelligent sur une blockchain publique. Cela permet de préserver la véritable destination d'une campagne même après la mise hors service de son infrastructure visible.
RedLine est-il une nouvelle famille de logiciels malveillants ?
Non. RedLine est un voleur d'informations bien connu. Ce groupe se distingue par son association avec EtherHiding et par le comportement de contournement observé par FileScan.io Threat Labs lors de l'analyse.
Pourquoi le blocage du serveur de commandes connu ne met-il pas fin à la campagne ?
Le contrat intelligent à l'origine de la campagne peut toujours se rediriger vers une adresse de remplacement, ce qui permet à l'infrastructure de survivre à la neutralisation de n'importe quel indicateur individuel.
Comment les chercheurs ont-ils réussi à contourner les mécanismes de défense anti-sandbox de l'échantillon ?
C'est l'une des principales conclusions de l'enquête. La technique est détaillée dans son intégralité dans l'article publié par FileScan.io Threat Labs.
Comment la solution Aether d’ MetaDefender peut-elle aider à détecter ce type de logiciels malveillants ?
MetaDefender Aether associe la technologie « Advanced Emulation », conçue pour contrer les techniques d’évasion anti-VM et anti-débogage, à un référentiel d’indicateurs de menaces qui établit des corrélations entre l’infrastructure de commande et de contrôle et des milliards d’indicateurs connus, permettant ainsi de détecter les échantillons conçus pour échapper aux sandbox classiques.
