if ( !emtpy($headline_subheadline ) ) : ?>
Une nouvelle boîte à outils d’espionnage baptisée « Cereal » se cache dans Microsoft Exchange, intercepte les e-mails en transit et reçoit des commandes sans dépendre d’une infrastructure d’attaquant externe.
endif; ?>
Il y a une nouvelle saveur de céréales sur la table, mais pas du genre attrayant, en particulier pour les défenseurs.
Un nouveau rapport de la société mondiale de sécurité ESET décrit un ensemble d’outils « sophistiqués, modulaires et étroitement interconnectés » conçus pour fonctionner sur des serveurs Exchange compromis à des fins de cyberespionnage à long terme.
Le malware est nommé « Cereal » car il s’appuie fortement sur la sérialisation, une technique utilisée pour regrouper les données et le code à des fins de transport. Il comprend un nouveau module de collecte de courrier électronique Exchange, un mécanisme de commande et de contrôle (C&C) sournois et des astuces d’exécution .NET intelligentes.
Même si, à l’heure actuelle, les acteurs étatiques l’utilisent pour attaquer les organismes gouvernementaux, les entreprises devraient toujours s’inquiéter.
« De tels métiers ont tendance à ne pas rester chez leurs inventeurs », a déclaré Frank Dickson de Dickson Research, citant une analogie avec le baseball : « Les groupes criminels étudient les techniques des États-nations de la même manière que les ligues mineures étudient la prise d’un lanceur de ligues majeures. Ce qui fonctionne dans les ligues majeures finit par apparaître dans tous les stades. »
Artisanat sophistiqué
ESET décrit Cereal comme une boîte à outils malveillante qui s’exécute sur les serveurs Microsoft Exchange, reçoit des commandes et les exécute en mémoire, cartographie l’organisation victime et collecte les e-mails sélectionnés. Aucune infrastructure de réseau externe n’a été identifiée ; au lieu de cela, la boîte à outils contient une porte dérobée passive qui s’exécute sur des serveurs ciblés et fournit un accès. Cela laisse peu de choses sur le disque.
Les chercheurs ont noté que l’un des aspects les plus intéressants de la boîte à outils est ce qu’ils n’ont pas trouvé : l’infrastructure C&C externe. Le serveur Exchange compromis de la victime est effectivement « coopté » pour jouer ce rôle.
Les opérateurs envoient des commandes sous forme d’exécutables distincts, mais structurés de manière similaire, suggérant un cadre automatisé. Un module automatisé de collecte d’e-mails est injecté dans les processus légitimes de Microsoft Exchange, permettant aux acteurs malveillants d’accéder et de manipuler le pipeline de transport d’e-mails, ont expliqué les chercheurs.
« Cela nécessite une compréhension approfondie du fonctionnement interne de Microsoft Exchange et constitue une technique nouvelle », ont-ils écrit.
Ils ont décrit ainsi une chaîne d’attaque typique : un responsable d’un bureau du gouvernement national envoie un e-mail à un collègue d’une alliance militaire transnationale. Le message est transmis via un serveur Microsoft Exchange, comme il se doit ; rien ne semble suspect. Mais avant que l’e-mail ne parte, un morceau de code l’examine tranquillement, identifie s’il est intéressant et, si c’est le cas, en réserve une copie pour la transmettre aux « regards indiscrets ». L’e-mail d’origine continue son chemin comme d’habitude.
L’ensemble d’outils a démontré que les serveurs Exchange ne sont pas seulement des serveurs de messagerie, ce sont des « points de collecte durables », des centres d’exécution internes et un environnement approprié pour cacher des outils .NET sophistiqués, ont noté les chercheurs. Le pipeline de transport reflète un niveau d’investissement dans ce type de technique qui est « rare, même parmi les acteurs APT (menace persistante avancée) sophistiqués », ont-ils déclaré.
Les chercheurs ont découvert que le malware avait jusqu’à présent été utilisé pour cibler le Kazakhstan et la Roumanie. ESET attribue la boîte à outils au groupe APT aligné sur la Russie, Turla.
Les attaquants ont déployé des efforts considérables pour ne pas être détectés
Les experts ont convenu que certains des aspects les plus notables de Cereal sont l’absence de canal C2 et les efforts déployés par les attaquants pour rester en mode furtif.
« ESET n’a trouvé aucun serveur contrôlé par un attaquant. Aucun », a noté Dickson. Le propre serveur Exchange de la victime est le centre de commande, et la porte dérobée attend les requêtes chiffrées sur des chemins Web qui ressemblent au trafic Outlook Web Access, Autodiscover et ActiveSync ordinaire.
« Les céréales ne sont jamais chez nous. C’est chez nous », a-t-il déclaré.
Ceci est dangereux car la plupart des défenses du réseau surveillent le trafic partant vers une destination suspecte. Mais ici, il n’y a aucune destination à bloquer ni aucun serveur à démonter. « Les attaquants entrent par la porte d’entrée, habillés en Outlook », a-t-il noté.
Ensuite, il y a le crochet du courrier : les agents de transport légitimes dans Exchange permettent aux logiciels d’inspecter le courrier au fur et à mesure de son flux. Mais Cereal s’injecte dans le processus de messagerie d’Exchange et encapsule les agents déjà exécutés en mémoire.
Le courrier continue d’affluer, mais rien de nouveau n’apparaît. « C’est le transporteur postal qui ouvre l’enveloppe, copie la lettre et la referme avant la livraison », a déclaré Dickson.
Un composant baptisé CerealBox sélectionne les messages avec des pièces jointes .doc, .docx et .pdf parmi les expéditeurs, les destinataires et les sujets choisis. En Roumanie, ESET a découvert qu’elle collectait du courrier impliquant des adresses de l’Organisation du Traité de l’Atlantique Nord (OTAN) et de l’UE. Cela devrait concerner les entreprises, a déclaré Dickson ; échangez vos cibles préférées : un conseil externe, votre cible d’acquisition ou votre régulateur, pour récupérer un contrat, un mémo de transaction ou une stratégie juridique.
De plus, les commandes documentées par ESET incluent l’extraction de boîtes aux lettres entières, l’extraction des informations d’identification stockées sur le serveur et l’interrogation d’Active Directory pour les utilisateurs, les groupes et les ordinateurs. Un serveur Exchange se trouve au plus profond de la structure d’identité. Il s’agit d’un talon d’Achille car il est accessible sur Internet, hautement privilégié et complexe. « Possédez-le et vous détenez les clés du royaume si vous le souhaitez », a déclaré Dickson.
Son conseil : Migrer ou prendre sa retraite sur place Échanger si possible. Traitez tout ce qui reste comme un actif de niveau zéro, « gardé comme un contrôleur de domaine ». Limitez l’exposition Internet d’Outlook Web Access et d’ActiveSync à ce dont l’entreprise a réellement besoin. Chassez avec les indicateurs décrits par ESET. Surveillez le chargement inattendu de code dans le processus de transport d’Exchange.
Mais même si le travail des chercheurs est excellent car il cartographie de manière « remarquablement détaillée » ce que Turla a fait autrefois au sein d’une organisation, il ne dit pas comment Turla a accédé à ces serveurs, a souligné Dickson. Aucune vulnérabilité n’est nommée et aucun identifiant volé ou e-mail de phishing n’est décrit.
« Un cambrioleur qui ne laisse aucune empreinte digitale est impressionnant », a déclaré Dickson. «Un cambrioleur dont l’origine reste inconnue constitue un problème pour chaque maison de la rue.»
« Un niveau au-dessus »
Et, a déclaré David Shipley, PDG de Beauceron Security, nous avons vu au cours des dernières années l’écart entre les pirates informatiques des États-nations et les criminels se réduire en termes de sophistication, notamment grâce à l’IA, mais « ensuite vous voyez quelque chose comme ça, qui est encore un niveau au-dessus ».
L’exécution d’Exchange sur site est de plus en plus risquée depuis des années, a-t-il noté. Pour le gouvernement, les entreprises d’IA, le secteur financier et d’autres cibles de grande valeur, le risque lié à l’hébergement sur site au lieu d’utiliser des versions basées sur le cloud continue de croître.
Cependant, il convient de noter que le simple fait d’avoir Microsoft hébergeant Exchange ne signifie pas que vous êtes à l’abri des États-nations, a déclaré Shipley. « Cela relève simplement la barre. » Un autre défi majeur avec les serveurs Exchange est le conseil de Microsoft de ne pas installer d’analyseurs antivirus à certains endroits, comme ExchangeTransport.exe, car cela pourrait créer une instabilité.
« En gros, ils ont dit aux criminels où se cacher et pourquoi il était bon de s’y cacher », a-t-il noté. « Non pas qu’ils puissent y faire grand-chose, mais cela laisse présager une énorme impasse. »
Un autre piège : avec la publication de ce rapport et les nouvelles idées qui en découleront sans aucun doute, « nous verrons probablement des groupes criminels réfléchir à la valeur de ce type de technique à l’avenir », a noté Shipley.
