«Pensez comme un acteur de la menace.»
Presque tous les professionnels de la sécurité ont déjà entendu cette expression, notamment les testeurs d'intrusion et les équipes rouges. Dans ce contexte, elle désigne souvent l'analyse des vulnérabilités présentes sur la surface d'attaque et susceptibles d'être exploitées par des acteurs malveillants pour obtenir un accès non autorisé. Logiquement, les équipes de sécurité savent que la plupart des attaquants sont motivés par l'appât du gain.
Alors que de nombreuses organisations s'inquiètent des attaques zero-day exploitant des vulnérabilités jusque-là inconnues, la plupart des acteurs malveillants cherchent avant tout à accéder facilement à des informations sensibles. Ils privilégient généralement les méthodes d'attaque les plus simples et les plus lucratives, privilégiant ainsi un retour sur investissement rapide.
Flare Research a analysé les enseignements que les équipes de sécurité peuvent tirer du manuel d'utilisation du groupe de Rançongiciels Hellcat, récemment divulgué (un véritable plan d'attaque). Initialement jalousement gardé et destiné à servir d'outil d'apprentissage aux autres membres du groupe, ce manuel recèle désormais une mine d'informations précieuses pour les équipes de sécurité. Bien qu'il date de 2024, il peut encore s'avérer extrêmement utile pour les organisations n'ayant pas mis à jour leurs mesures de sécurité depuis cette date ou souhaitant revoir leurs pratiques actuelles.
Le manuel du groupe de Rançongiciels Hellcat confirme que les acteurs malveillants, même ceux capables de recourir à des méthodes d'attaque sophistiquées, privilégieront la voie la plus facile.
Vous trouverez ci-dessous les conclusions que Flare Research a tirées du manuel de ce groupe de Rançongiciels, ainsi que des informations sur les mesures que les équipes de sécurité peuvent prendre pour renforcer les défenses de leurs organisations.
Qu'est-ce que la Hellcat ?
Hellcat était une organisation sophistiquée de Rançongiciels en tant que service (RaaS) apparue en 2024 sur Breach Forums et ciblant les grandes organisations et leurs infrastructures. Bien qu'administrée principalement par un acteur malveillant utilisant le pseudonyme Miyako, l'organisation regroupait en réalité divers autres acteurs malveillants.
Généralement, Hellcat exploitait des failles de sécurité connues et concevait des scripts pour déployer ses propres logiciels malveillants. Pendant un temps, le groupe a tenté de mettre en place un modèle d'affiliation, recrutant d'autres acteurs malveillants pour mener les attaques et se partageant la rançon. Afin de rationaliser leurs opérations, Miyako a créé un manuel expliquant leur mode opératoire, permettant ainsi à d'autres de reproduire facilement leurs tactiques.
Bien que Hellcat soit un groupe de Rançongiciels opportuniste, il ciblait généralement les services financiers, les soins de santé et les systèmes de contrôle industriels (ICS).
Pourquoi le manuel Hellcat est-il précieux ?
Dans le cadre de leurs opérations, de nombreuses organisations cybercriminelles fournissent des manuels à leurs affiliés. Cependant, ces groupes les traitent généralement comme des secrets commerciaux afin d'empêcher leurs concurrents de copier leurs méthodes. Par exemple, en 2023, deux manuels de Bastlord, alias Fisheye, ont été rendus publics et ont permis de mieux comprendre… Verrouillage opérations des filiales.
Le manuel Hellcat offre une nouvelle opportunité d'étudier les TTP (Tactiques, Techniques et Procédures) des acteurs malveillants. En l'étudiant, les équipes de sécurité peuvent comprendre les différentes tactiques utilisées par Hellcat et ainsi mieux protéger leurs environnements. Nous abordons ci-dessous leurs trois tactiques communes (ainsi que les principaux enseignements pour les défenseurs) :
- Cibler une vulnérabilité connue
- Utilisation d'une preuve de concept (PoC) accessible au public comme arme
- Automatisation des activités
Tactique courante n°1 : Cibler une vulnérabilité connue
Dans trois attaques différentes documentées dans le manuel de Hellcat, des vulnérabilités connues ont servi de point d'entrée initial. Les acteurs malveillants considèrent ces vulnérabilités comme précieuses pour plusieurs raisons :
- Les organisations peuvent ne pas surveiller activement cette technologie car la vulnérabilité n'est pas actuellement leur priorité.
- Les failles de sécurité accessibles au public, destinées à aider les équipes rouges et les testeurs d'intrusion, sont faciles à exploiter par les acteurs malveillants.
Étude de cas d'attaque : une entreprise de télécommunications
Lors de l'attaque présumée contre une entreprise de télécommunications, Miyako a identifié une cible utilisant un système F5 BIG-IP. À partir de là, les auteurs de la menace ont identifié une vulnérabilité à l'aide d'un moteur de recherche d'exploits. SploitusDans ce cas précis, Miyako a ciblé une organisation de grande valeur tout en recherchant une vulnérabilité connue qui permettrait de réduire le coût de son exploitation.
Étude de cas d'attaque : PAN-OS
L'attaque contre Palo Alto Networks PAN-OS a débuté par l'exploitation d'une vulnérabilité connue, CVE-2024-0012, permettant l'exécution de code à distance après contournement de l'authentification. Dans ce cas précis, Miyako a ciblé un fournisseur de pare-feu répandu afin de toucher un maximum de victimes tout en compromettant un outil de sécurité essentiel utilisé par les entreprises pour détecter les attaques.
Étude de cas d'attaque : Serveur gouvernemental
En décembre 2024, Miyako a identifié l'Agence de gestion financière et d'actifs du district de Blora en Indonésie, qui utilisait une instance Webmin présentant une vulnérabilité vieille de cinq ans, CVE-2019-15107. Dans ce cas, la vulnérabilité n'était exploitable qu'en cas de mauvaise configuration, ce qui en faisait une cible de grande valeur si les organisations ne parvenaient pas à appliquer la mise à jour de sécurité, en supposant qu'elles aient mis en œuvre des configurations sécurisées ou qu'elles n'aient pas identifié la mauvaise configuration.
Étude de cas d'attaque : PAN-OS
L'attaque contre Palo Alto Networks PAN-OS a débuté par l'exploitation d'une vulnérabilité connue, CVE-2024-0012, permettant l'exécution de code à distance après contournement de l'authentification. Dans ce cas précis, Miyako a ciblé un fournisseur de pare-feu répandu afin de toucher un maximum de victimes tout en compromettant un outil de sécurité essentiel utilisé par les entreprises pour détecter les attaques.
Étude de cas d'attaque : Serveur gouvernemental
En décembre 2024, Miyako a identifié l'Agence de gestion financière et d'actifs du district de Blora en Indonésie, qui utilisait une instance Webmin présentant une vulnérabilité vieille de cinq ans, CVE-2019-15107. Dans ce cas, la vulnérabilité n'était exploitable qu'en cas de mauvaise configuration, ce qui en faisait une cible de grande valeur si les organisations ne parvenaient pas à appliquer la mise à jour de sécurité, en supposant qu'elles aient mis en œuvre des configurations sécurisées ou qu'elles n'aient pas identifié la mauvaise configuration.
Point clé à retenir pour les équipes de sécurité : les vulnérabilités N-Day sont des cibles faciles.
Une vulnérabilité N-day est une faille de sécurité connue publiquement pour laquelle aucune mise à jour de sécurité n'est disponible ou que les organisations n'ont pas corrigée correctement. Les acteurs malveillants considèrent ces vulnérabilités comme précieuses longtemps après que les chercheurs en sécurité et les fournisseurs en aient signalé l'existence, et ce pour diverses raisons, notamment :
- Identification facileLors de la phase de reconnaissance, les acteurs malveillants analysent les réseaux à la recherche de vulnérabilités connues.
- Étendue des ciblesLes acteurs malveillants ciblent toutes les organisations utilisant une technologie afin d'étendre la portée de l'attaque.
- Défauts oubliésLes acteurs malveillants supposent que l'organisation n'a pas corrigé la vulnérabilité et a par conséquent oublié qu'elle pouvait constituer un vecteur d'attaque.
Tactique courante n°2 : Utiliser une preuve de concept (PoC) accessible au public comme une arme
Suite à la publication d'une vulnérabilité, les chercheurs en sécurité partagent souvent publiquement des méthodes d'exploitation, notamment sur des plateformes comme GitHub. Ces preuves de concept (PoC) permettent aux équipes de gestion des vulnérabilités et des correctifs de prioriser les actions correctives. Cependant, les acteurs malveillants ayant accès à ces exploits publics peuvent les utiliser à des fins malveillantes.
Étude de cas d'attaque : une entreprise de télécommunications
Miyako a récupéré les informations sur Sploitus et les a suivies jusqu'au dépôt GitHub contenant une preuve de concept (PoC). Selon le manuel, « toutes les PoC ne sont pas des exploits complets, mais celle-ci l'était ».
Après l'avoir téléchargé, ils ont recherché un hôte vulnérable contenant des informations précieuses. Ils ont utilisé LeakIX pour les aider à trouver des compartiments ouverts et une infrastructure accessible.
Étude de cas d'attaque : PAN-OS
Pour cette attaque, Miyako a trouvé sur GitHub une preuve de concept (PoC) multi-CVE entièrement préconfigurée et prête à l'emploi. Comme dans l'exemple de l'entreprise de télécommunications, Miyako a utilisé un moteur de recherche pour identifier les victimes. Cependant, cette fois-ci, il a utilisé FOFA, en recherchant des organisations utilisant PAN-OS et disposant de VPN exposés à Internet.
Cela leur a permis de :
- Filtrer par pays, port ou organisation
- Exporter la liste des identifiants exposés
- Utilisez la liste comme une arme
Point clé à retenir pour les équipes de sécurité : la recherche en sources ouvertes est pour tous (y compris les acteurs malveillants).
Tout ce à quoi les équipes de sécurité légitimes ont accès est également accessible aux acteurs malveillants. Ces derniers exploitent activement les preuves de concept (PoC) car ils savent que les failles peuvent être exploitées sans investissement de temps, d'efforts ou de ressources technologiques. Dès que les chercheurs publient une vulnérabilité, celle-ci peut rapidement passer du statut de « PoC disponible » à celui d'« exploitation active » dans le système CVSS (Common Vulnerability Scoring System).
Tactique courante n° 3 : Automatiser les activités
Les acteurs malveillants, motivés par le gain financier, cherchent à cibler un maximum de données sensibles avec un minimum d'efforts. Ils peuvent optimiser leurs opérations grâce à l'automatisation, à l'instar des entreprises légitimes.
Étude de cas d'attaque : PAN-OS
Pour automatiser cette attaque, Hellcat a exporté la liste des adresses IP issues de la recherche FOFA et l'a enregistrée dans un fichier texte. Ils ont ensuite créé un script de vérification personnalisé en Python pour analyser la preuve de concept et exploiter la vulnérabilité dans un fichier texte. Ce processus automatisé leur permet d'exécuter du code à distance pour toute entreprise disposant de serveurs vulnérables en production.
Étude de cas d'attaque : Serveur gouvernemental
Dans ce cas précis, Miyako a exploité deux types d'automatisation. Dans un premier temps, l'entreprise a utilisé Python pour créer un outil de vérification permettant d'identifier l'infrastructure et les serveurs vulnérables. Après avoir constaté que les bases de données Firebird utilisaient des mots de passe par défaut, elle a pu recourir à l'automatisation pour effectuer des attaques par force brute. Au lieu de consacrer du temps et des ressources à la création d'attaques zero-day, elle a automatisé les intrusions.
Leçon à retenir pour les équipes de sécurité : l’automatisation rend les attaques plus lucratives
Les acteurs malveillants traitent les violations de données comme une activité commerciale :
- Ils surveillent leur retour sur investissement et s'efforcent de réduire leurs coûts opérationnels.
- Ils automatisent autant de processus d'attaque que possible.
Les personnes mal intentionnées, quel que soit leur niveau de compétence, chercheront des moyens de gagner de l'argent rapidement, surtout lorsque l'infrastructure d'une organisation facilite le processus.
Leçons apprises : Toute barrière est une mesure d'atténuation des risques
Quand les spécialistes de la sécurité disent « pensez comme un cybercriminel », ils veulent de plus en plus dire « pensez comme un homme d'affaires ». Comme les acteurs malveillants, motivés par le gain financier, recherchent des attaques rapides et lucratives, tout obstacle numérique devient un frein.
D'après le manuel Hellcat, la plupart des attaques sont des crimes d'opportunité plutôt que des attaques ciblées. Les auteurs découvrent une infrastructure vulnérable, identifient les données sensibles et les exfiltrent vers un emplacement qui paraît « normal », comme un compte Dropbox ou Google Drive (contrairement à une adresse IP obscure qui pourrait immédiatement paraître plus suspecte).
Les organisations qui souhaitent atténuer les risques de violation de données peuvent mettre en place des barrières qui réduisent le retour sur investissement d'une cyberattaque, même avec des activités « simples » comme :
- Modification des mots de passe par défaut
- Mise en œuvre de l'authentification multifacteurs
- Pour se prémunir contre les attaques par fatigue liée à l'authentification multifacteur (MFA), il est important de sensibiliser les employés à cette méthode d'attaque et de protéger les cookies de session.
- Corriger les vulnérabilités le plus rapidement possible, surtout si une preuve de concept est disponible.
- Surveillance du trafic réseau pour détecter les écouteurs, balises et implants malveillants
- Surveillance des tâches cron utilisées par les acteurs malveillants pour obtenir un accès temporaire à la nature.
- Surveillance des services nouveaux ou détournés, tels que les services système d'apparence légitime mais contrefaite ou les services remplacés comme sshd
- Mise en œuvre d'un logiciel de prévention des fuites de données ou d'une gestion de pare-feu afin d'identifier toute quantité importante de données qui sort de l'organisation
Gestion de l'exposition aux menaces avec des fusées éclairantes
La gestion de l'exposition aux cybermenaces est une solution de Flare qui donne aux entreprises les moyens de détecter, de prioriser et de remédier proactivement aux types d'expositions couramment exploités par les cybercriminels. En tout temps, notre plateforme analyse automatiquement le Web visible, le Web clandestin et les plus importantes communautés clandestines pour découvrir des événements inconnus, prioriser les risques et fournir du renseignement exploitable qui peut être immédiatement utilisé pour améliorer la sécurité.
Flare s'intègre à votre programme de sécurité en 30 minutes et remplace souvent plusieurs outils SaaS et open source. Découvrez les menaces externes auxquelles votre organisation est exposée en vous inscrivant à notre programme. essai gratuit.
