Une campagne de diffusion de malwares a été identifiée. Elle utilise des e-mails de phishing et des macros malveillantes (PowerShell) et la stéganographie pour diffuser un script Cobalt Strike malveillant.
Les premiers e-mails de phishing contiennent une pièce jointe Word (.doc) avec une macro malveillante qui télécharge un script PowerShell de GitHub si elle est autorisée à s’exécuter. Ce script télécharge à son tour un fichier image PNG à partir du service de partage d’images légitime Imgur. L’image contient un code caché dans ses pixels qui peut être exécuté avec une seule commande pour exécuter la charge utile. Dans ce cas, il s’agit d’un script Cobalt Strike.
Cobalt Strike est un outil de test de pénétration couramment utilisé. S’il est utilisé par les professionnels de la sécurité à des fins de sécurité légitimes, il est également utile aux pirates informatiques. L’outil permet d’ajouter des balises aux dispositifs compromis, qui peuvent ensuite être utilisées pour exécuter des scripts PowerShell, créer des shells web ; augmenter les privilèges et fournir un accès à distance à certains dispositifs. Dans cette campagne, le fait de cacher le code dans l’image et d’utiliser des services légitimes tels que Imgur et GitHub ont aidé les attaquants à éviter la détection.
Le masquage du code dans les fichiers image est connu sous le nom de stéganographie et est utilisé depuis de nombreuses années comme moyen de dissimuler du code malveillant, généralement dans des fichiers PNG pour éviter que le code ne soit détecté. Lors de cette campagne, la tromperie ne s’est pas arrêtée là. Le script Cobalt Strike comprenait une chaîne EICAR destinée à tromper les solutions de sécurité et les équipes de sécurité en classant le code malveillant comme une charge utile antivirus, sauf si un contact est établi avec le serveur de commande et de contrôle de l’attaquant et que des instructions sont reçues.
Cette campagne a été identifiée par le chercheur ArkBird qui l’a comparée à celle menée par un groupe de pirates, connu sous le nom de Muddywater, qui a émergé vers 2017. Le groupe, Static kitten/Seedworm/Mercury, mène principalement des attaques sur des pays du Moyen-Orient, généralement l’Arabie Saoudite et l’Irak, bien qu’il soit connu pour mener des attaques sur d’autres cibles européennes et américaines. Cependant, il n’est pas certain que c’est ce groupe qui est le responsable de la campagne.
Naturellement, l’un des meilleurs moyens de bloquer ce type d’attaques est d’empêcher que des e-mails malveillants arrivent dans les boîtes de réception des utilisateurs finaux. Un filtre antispam tel que SpamTitan – qui intègre un système de sandboxing permettant d’analyser les pièces jointes en toute sécurité – permettra de s’assurer que ces messages n’arrivent pas dans les boîtes de réception de vos employés. Il est également recommandé de former les utilisateurs finaux afin que ces derniers soient conscients qu’ils ne doivent jamais activer les macros dans les documents Word envoyés par courrier électronique.
Une solution de filtrage web est également utile. Les filtres web tels que WebTitan peuvent être configurés pour donner aux équipes informatiques le contrôle sur le contenu web auquel les employés peuvent accéder. Étant donné que GitHub est couramment utilisé par les professionnels de l’informatique et d’autres employés à des fins légitimes, il n’est pas recommandé de bloquer le site à l’échelle de l’organisation. À la place, un blocage sélectif peut être placé pour des groupes d’employés ou des départements qui empêche GitHub et d’autres sites de partage de code potentiellement risqués (tels que PasteBin) d’être accessibles, délibérément ou non. Cette solution fournit un niveau de protection supplémentaire pour votre organisation.