Google découvre un « courtier d’accès initial » travaillant avec Conti Ransomware Gang

Le Threat Analysis Group (TAG) de Google a dévoilé un nouveau courtier d’accès initial qui, selon lui, est étroitement affilié à un gang russe de cybercriminalité connu pour ses opérations de ransomware Conti et Diavol.

Surnommé Exotic Lily, l’acteur menaçant à motivation financière a été observé en train d’exploiter une faille critique désormais corrigée dans la plate-forme Microsoft Windows MSHTML (CVE-2021-40444) dans le cadre de campagnes de phishing à grande échelle qui impliquaient l’envoi de pas moins de 5 000 e-mails sur le thème des propositions commerciales. par jour à 650 organisations ciblées dans le monde.

« Les courtiers en accès initial sont les serruriers opportunistes du monde de la sécurité, et c’est un travail à plein temps », ont déclaré Vlad Stolyarov et Vlad Stolyarov, chercheurs du TAG. mentionné. « Ces groupes se spécialisent dans la violation d’une cible afin d’ouvrir les portes – ou les fenêtres – à l’acteur malveillant avec l’offre la plus élevée. »

Exotic Lily, repérée pour la première fois en septembre 2021, aurait été impliquée dans l’exfiltration de données et le déploiement des souches de rançongiciels Conti et Diavol exploitées par l’homme, qui partagent toutes deux des chevauchements avec Wizard Spider, le syndicat russe des cybercriminels qui est également connu pour opérer TrickBot, BazarBackdoor et Anchor.

« Oui, c’est une possibilité, d’autant plus qu’elle est plus sophistiquée et ciblée qu’une campagne de spam traditionnelle, mais nous n’en sommes pas sûrs pour l’instant », a déclaré Google TAG à The Hacker News lorsqu’on lui a demandé si Exotic Lily pourrait être une autre extension. du groupe Wizard Spider.

« Dans les fuites de Conti, les membres de Conti mentionnent les « spammeurs » comme une personne avec qui ils travaillent (par exemple, fournissent des échantillons de logiciels malveillants « cryptés » personnalisés, etc.) via l’externalisation. Cependant, la plupart des « spammeurs » ne semblent pas être présent (ou communiquer activement) dans le chat, ce qui conduit à la conclusion qu’ils fonctionnent comme une entité distincte. »

Les leurres d’ingénierie sociale de l’acteur menaçant, envoyés à partir de comptes de messagerie usurpés, ont spécifiquement ciblé les secteurs de l’informatique, de la cybersécurité et de la santé, bien qu’après novembre 2021, les attaques soient devenues plus aveugles, ciblant une grande variété d’organisations et d’industries.

En plus d’utiliser des sociétés et des identités fictives comme moyen de renforcer la confiance avec les entités ciblées, Exotic Lily a tiré parti de services de partage de fichiers légitimes tels que WeTransfer, TransferNow et OneDrive pour fournir Charges utiles BazarBackdoor dans le but d’échapper aux mécanismes de détection.

Les personnages voyous se faisaient souvent passer pour des employés d’entreprises telles qu’Amazon, avec des profils de réseaux sociaux frauduleux sur LinkedIn qui comportaient de fausses images de profil générées par l’IA. Le groupe se serait également fait passer pour de vrais employés de l’entreprise en collectant leurs données personnelles des médias sociaux et des bases de données commerciales comme RocketReach et CrunchBase.

« Au stade final, l’attaquant téléchargerait la charge utile sur un service public de partage de fichiers (TransferNow, TransferXL, WeTransfer ou OneDrive), puis utiliserait une fonction de notification par e-mail intégrée pour partager le fichier avec la cible, permettant à l’e-mail final provenir de l’adresse e-mail d’un service de partage de fichiers légitime et non de l’e-mail de l’attaquant, ce qui présente des défis de détection supplémentaires », ont déclaré les chercheurs.

Également livré à l’aide de l’exploit MHTML, un chargeur personnalisé appelé Bumblebee est orchestré pour collecter et exfiltrer les informations système vers un serveur distant, qui répond aux commandes pour exécuter le shellcode et exécuter les exécutables de la prochaine étape, y compris Cobalt Strike.

Une analyse de l’activité de communication d’Exotic Lily indique que les acteurs de la menace ont un « travail typique de 9 à 5 » en semaine et peuvent éventuellement travailler à partir d’un fuseau horaire d’Europe centrale ou orientale.

« EXOTIC LILY semble fonctionner comme une entité distincte, se concentrant sur l’acquisition d’un accès initial par le biais de campagnes par e-mail, avec des activités de suivi qui incluent le déploiement des rançongiciels Conti et Diavol, qui sont effectués par un ensemble différent d’acteurs », ont conclu les chercheurs.