Une nouvelle attaque de malware stocke les charges utiles dans le journal des événements Windows

Les chercheurs en sécurité ont découvert nouveau logiciel malveillant qui utilise le journal des événements Windows pour stocker les codes malveillants. Les chercheurs notent que c’est la première fois que la technique est observée dans la nature dans le cadre d’une campagne de logiciels malveillants.

fenêtres du journal des événements d'attaque de logiciels malveillants
passant par Sécurlist / Kaspersky

Le cheval de Troie utilisé dans l’attaque est caché sur le système, car il n’est pas lié à un fichier spécifique sur le système. Au lieu de cela, il est planté par l’attaquant dans le journal des événements Windows pour de futures exécutions.

L’acteur de la menace n’a été identifié ni lié à aucun des groupes de logiciels malveillants actifs, selon Kaspersky.

Les chercheurs de Kaspersky décrivent comment l’acteur malveillant a utilisé diverses méthodes et techniques d’évasion pour éviter la détection sur les systèmes informatiques attaqués. Des modules dropper ont été utilisés dans l’attaque pour « corriger les fonctions d’API natives de Windows » qui sont liées au suivi des événements et aux interfaces d’analyse anti-malware.

L’attaque sophistiquée a commencé en septembre 2021, lorsque Kaspersky a remarqué la phase initiale de l’attaque. Les attaquants ont utilisé le framework Cobalt Strike dans l’attaque, mais la toute première étape a commencé au niveau de l’utilisateur. La cible a téléchargé un fichier d’archive RAR à partir du site d’hébergement de fichiers file.io et l’a ensuite exécuté. Selon Kaspersky, différents scénarios et techniques d’attaque ont été utilisés pour d’autres cibles, mais toutes les attaques semblent avoir inclus la reconnaissance initiale des cibles et la préparation d’attaques supplémentaires.

La méthode décrite a donné aux attaquants la possibilité d’injecter du code dans les processus, et cela a été utilisé pour injecter des modules supplémentaires dans Windows et des applications de confiance. Cobalt Strike n’était pas le seul ensemble d’outils utilisé par les attaquants. Kaspersky a identifié des traces du framework SilentBreak et plusieurs chevaux de Troie, ThrowbackDLL.dll et SlingshotDLL.dll, ont été nommés d’après les outils Throwback et Slingshot du framework SilentBreak.

Lire la suite  Comment enregistrer des jeux à l'aide de la Xbox Game Bar sur Windows 11 ?

Le nom de fichier de l’un des droppers, sb.dll, pourrait également être une référence au framework, selon les chercheurs. Certains des outils semblent être faits sur mesure, et certains noms de fonctions ont été obscurcis pour réduire la probabilité de détection et d’identification.

L’une des attaques analysées a commencé par l’injection de code dans les processus Windows après l’infection initiale. Le dropper a supprimé les traces des étapes précédentes de l’attaque du système dans le cadre des mécanismes d’évitement de détection mis en œuvre par les attaquants.

Il a ensuite copié le gestionnaire d’erreurs légitime du système d’exploitation, WerFault.exe vers C:WindowsTasks et a planté une ressource binaire cryptée appelée wer.dll dans le même répertoire pour le piratage de l’ordre de recherche DLL. Le détournement d’ordre de recherche DLL, souvent également appelé préchargement DLL, est une forme d’attaque courante qui tente de donner la priorité à un fichier DLL malveillant par rapport au fichier légitime.

Les applications doivent importer des fonctions à partir de fichiers de bibliothèque pour être utilisées. L’importation se fait implicitement ou explicitement, et depuis Windows XP, une liste d’emplacements prioritaires est utilisée pour déterminer le premier candidat DLL. La première priorité de l’ordre de recherche est le dossier d’application de l’exécutable ; il est suivi du répertoire système, du répertoire système 16 bits, du répertoire Windows et de plusieurs autres répertoires.

Tout ce qu’un attaquant doit accomplir est de placer la DLL malveillante dans un emplacement qui a une priorité plus élevée que la DLL légitime.

Il a ensuite ajouté le WerFault.exe nouvellement créé à l’exécution automatique du système d’exploitation en l’ajoutant à SoftwareMicrosoftWindowsCurrentVersionRun pour rendre l’accès persistant.

Lire la suite  Arrêtez les publicités des applications et des navigateurs avec AdLock pour Windows

Le dropper wer.dll est inoffensif en soi, car il nécessite le shellcode dans le journal des événements Windows pour son exécution.

Insertion du code d’attaque dans le journal des événements Windows

passant par Securelist / KasperskyL’un des aspects uniques de la campagne de logiciels malveillants était l’utilisation du journal des événements Windows pour le stockage de la charge utile. Le principal avantage de ceci est que l’approche sans fichier rend la charge utile plus difficile à détecter.

Le dropper tente de charger le code dans le journal des événements Windows ; s’il n’existe pas, il est écrit sous forme de blocs de 8 Ko à l’aide de la fonction API Windwos ReportEvent(). Les données, si elles existent, sont chargées puis combinées par une menace distincte, puis exécutées sur le système cible.

Le lanceur « transmet le contrôle au tout premier octet du » shellcode selon les recherches de Kaspersky. Il soumet des données qui sont utilisées pour exécuter la prochaine étape de l’attaque :

  • L’adresse du prochain cheval de Troie utilisé dans l’attaque est révélée.
  • Un hachage ROR13 standard d’une fonction exportée.
  • Adresses de deux chaînes, qui deviennent les « arguments de la fonction exportée ».

Là encore, des techniques d’évasion ont été utilisées pour réduire la visibilité de l’attaque.

Le cheval de Troie de dernière étape communique avec un serveur C&C (commande et contrôle) en utilisant soit HTTP avec cryptage RC4, soit une communication non cryptée avec des canaux nommés. Il envoie d’abord une chaîne vide mais cryptée pour tester la connexion.

Le système cible est identifié par le cheval de Troie de stade avancé, rassemblant des informations telles que le nom de l’ordinateur, l’adresse IP locale, l’architecture, la version du système d’exploitation, les valeurs de MachineGUID trouvées sous SOFTWAREMicrosoftCryptography et si le processus a SeDebugPrivilege.

Lire la suite  Bloatware Removal Tool : supprimez les applications Windows préinstallées et plus encore

Le serveur de commande et de contrôle répond avec un code qui lui est propre, qui désigne la prochaine action qui doit être entreprise par le cheval de Troie. Parmi les options figurent l’exécution de commandes personnalisées, le téléchargement de fichiers à partir d’une URL spécifiée et leur enregistrement dans un chemin spécifié sur le système, l’obtention d’une liste de tous les processus et informations, ou l’injection et l’exécution de shellcode dans l’espace d’adressage du processus cible.

Le cheval de Troie basé sur des canaux nommés se trouve dans C:Windowsapds.dll, imitant la bibliothèque légitime du module Microsoft Help Data Services du même nom, qui se trouve dans C:WindowsSystem32.

Techniques anti-détection utilisées par les attaquants

Les attaquants ont utilisé un large éventail de techniques anti-détection pour voler sous le radar :

  • Utilisation de plusieurs compilateurs différents-
  • Lanceurs sur liste blanche.
  • Utilisation de certificats numériques. 15 dossiers ont été signés avec des certificats « Fast Invest ».
  • Exportations de journalisation des correctifs de ntdll.dll.
  • Placement du shellcode dans le journal des événements Windows.
  • Imitation de domaine Web C2.

Kaspersky considère l’utilisation du journal des événements Windows pour le stockage de la charge utile comme la « partie la plus innovante » de la campagne de logiciels malveillants. L’ensemble de la campagne est sophistiqué, car il utilise au moins deux frameworks commerciaux et plusieurs « types de RAT de dernière étape et d’emballages anti-détection ».

Des informations supplémentaires sur l’attaque sont disponibles sur Liste sécurisée.

Publicité