Un développement inquiétant de TrickBot, un botnet qui sert de passerelle d'accès aux réseaux d'entreprise pour les ransomwares sophistiqués et autres groupes cybercriminels, a été détecté. Un nouveau module permet au logiciel malveillant de rechercher les configurations UEFI vulnérables sur les systèmes infectés et aux attaquants de brique des systèmes ou de déployer des portes dérobées de bas niveau qui sont incroyablement difficiles à supprimer. L'UEFI (Unified Extensible Firmware Interface) s'assure qu'aucun programme malveillant de type rootkit n'est installé sur le système pour par exemple modifier un OS en cachant certaines clés de registres et assurer à un pirate de surveiller, enregistrer, modifier ou transférer les données présentes sur l'ordinateur à l'insu total de l'utilisateur. Récemment, Kaspersky avait alerté sur l'existence du rootkit MozaicRegressor s'attaquant aux disques UEFI.

« Cela marque une étape importante dans l'évolution de TrickBot », ont déclaré les chercheurs des sociétés de sécurité Eclypsium et Advanced Intelligence (AdvIntel) dans un nouveau rapport publié aujourd'hui. « Les implants de niveau UEFI sont la forme de bootkits la plus profonde, la plus puissante et la plus furtive. Étant donné que le micrologiciel est stocké sur la carte mère par opposition aux lecteurs système, ces menaces peuvent fournir aux attaquants une persistance continue, même si le disque est remplacé. De même, si le micrologiciel est utilisé pour brique un appareil, les scénarios de récupération sont nettement différents et plus difficiles que la récupération à partir du cryptage traditionnel du système de fichiers qu'une campagne de ransomware comme Ryuk, par exemple ».

TrickBot : de quoi parle-t-on ?

TrickBot a commencé comme programme malveillant de type trojan axé sur la fraude bancaire en ligne et le vol d'informations d'identification. Il a ensuite évolué pour devenir une plateforme cybercriminelle extensible avec une longue liste de capacités comprenant l'analyse RDP, le mouvement latéral à travers les vulnérabilités SMB, l'accès à distance basé sur VNC plus.

Parmi les opérateurs derrière TrickBot, on trouve en particulier un groupe connu dans l'industrie de la sécurité sous le nom de The Trick or Overdose, il utilise ce cheval de Troie pour fournir un accès aux réseaux d'entreprise infectés à d'autres acteurs de la menace. Y compris ceux qui exploitent le ransomware Ryuk que l'ANSSI a récemment décortiqué. TrickBot a également été utilisé pour distribuer des portes dérobées associées au groupe Lazarus, l'équipe de piratage d'État de Corée du Nord, et les chercheurs soupçonnent que les opérateurs de TrickBot s'adressent de plus en plus aux groupes APT et aux gangs de cybercriminalité de haut niveau.

En octobre, Microsoft, avec plusieurs autres entreprises, a lancé un effort coordonné pour perturber l'infrastructure de commande et de contrôle de TrickBot. Mais bien que cette action ait connu un succès considérable, le botnet est toujours en vie et les pirates se battent pour reprendre le contrôle. De nouvelles campagnes diffusant le malware ont été observées le mois dernier.

Zoom sur le module UEFI

Les chercheurs d'AdvIntel ont observé en octobre un module TrickBot, appelé PermaDll32. Un nom qui a attiré leur attention car il sonnait comme un dérivé du mot « permanent » suggérant une sorte de mécanisme de persistance. L'analyse du module a révélé qu'il était conçu pour lire les informations du microprogramme BIOS ou UEFI des ordinateurs infectés. Ce code de bas niveau est stocké dans la puce de mémoire flash SPI de la carte mère d'un ordinateur et est responsable de l'initialisation du matériel pendant le processus de démarrage et de la transmission du contrôle au système d'exploitation. AdvIntel s'est associé à Eclypsium, qui possède une expertise dans les menaces de sécurité des firmwares et du matériel pour analyser le récent composant TrickBot et déterminer ce qu'il fait. L'enquête a révélé que le module PermaDll32 déploie un pilote appelé RwDrv.sys, qui est tiré de RWEverything, un outil gratuit populaire donnant aux utilisateurs la possibilité de lire et d'écrire dans le micrologiciel de tout composant matériel, y compris le contrôleur SPI qui régit l'UEFI.

Le module TrickBot utilise cette capacité pour identifier la plateforme matérielle Intel sous-jacente, vérifier si le registre de contrôle du BIOS est déverrouillé, et si la protection en écriture BIOS / UEFI est activée. Pour que la chaîne de démarrage complète soit sécurisée, le micrologiciel UEFI doit être protégé en écriture, mais les fabricants OEM d'ordinateurs ont souvent laissé cela mal configuré dans les systèmes par le passé. Cela a permis aux groupes de cyberespionnage de déployer des implants UEFI furtifs. « Je pense qu'il y a probablement des millions d'appareils vulnérables à ce problème encore sur le terrain », a déclaré à CSO Jesse Michael, chercheur principal à Eclypsium. « Je n'ai pas le nombre d'appareils visés, mais c'était une chose très courante avant 2017 et même après 2017, nous voyons encore certains appareils sortant d'usine livrés avec cette vulnérabilité. Les fournisseurs de premier plan font ce qu'ils peuvent pour combler ce trou de sécurité ».

Tous les systèmes Intel pris pour cibles

Bien qu'il s'agisse d'un problème bien connu qui a été exploité dans le passé pour installer des implants UEFI, par exemple par le groupe russe APT28 avec l'attaque LoJax ou le groupe MossaicRegressor APT plus récent, de nombreuses vulnérabilités UEFI et des erreurs de configuration matérielles ont été signalées au cours du années que les attaquants de TrickBot pourraient choisir d'utiliser à l'avenir. Le module PermaDll32 avec les pilotes RwDrv.sys autorise une variété d'attaques avec peu de modifications. En fait, les chercheurs d'Eclypsium préviennent qu'une modification en une ligne de l'implémentation actuelle donne la capacité aux attaquants d'écraser l'UEFI et de « briquer » l'ordinateur. La récupération d'une telle situation nécessite généralement de remplacer la carte mère du système ou de reflasher l'UEFI avec un équipement spécialisé attaché à la puce SPI. « Les implications pour la sécurité nationale résultant d'une campagne de malware généralisée capable de brancher des appareils sont énormes », préviennent les chercheurs. « Le module TrickBoot cible tous les systèmes Intel produits au cours des cinq dernières années. D'après l'analyse Eclypsium, la plupart de ces systèmes restent vulnérables à l'une des multitudes de vulnérabilités de micrologiciel actuellement connues, avec une plus petite proportion susceptibles d'être sensibles au problème de mauvaise configuration ».

Le groupe Lazarus a notamment des connexions connues avec les opérateurs TrickBot et a lancé des attaques destructrices dans le passé. Le groupe était responsable de l'attaque de 2014 contre Sony Pictures, qui a entraîné l'effacement de milliers d'ordinateurs de l'entreprise. Cependant, il est beaucoup plus probable que les clients de TrickBot utilisent cette capacité pour déployer des implants furtifs persistants à l'intérieur des réseaux victimes et sur des systèmes de grande valeur, même si les disques durs sont effacés et réimagés. Cela est même suggéré par le nom du module et, malheureusement, la vérification de compromission du micrologiciel n'est pas facile et n'est pas une pratique courante dans le cadre des opérations typiques de réponse aux incidents et de nettoyage des logiciels malveillants. Une fois à l'intérieur de l'UEFI, un code malveillant peut signaler de fausses informations à tout outil logiciel tentant de lire l'UEFI et peut bloquer les tentatives de mise à jour de l'UEFI. Le seul moyen pour sécuriser la situation est de connecter un appareil de programmation à la puce SPI, vider son contenu et de le vérifier. En plus de nécessiter des outils et des connaissances spécialisés, ce type d'opération peut toutefois enfreindre les SLA et faire sauter les garanties de la plupart des appareils.

Prévenir les exploits UEFI

L'un des moyens les plus importants de prévenir de telles attaques est de maintenir le BIOS / UEFI à jour sur tous les systèmes pour s'assurer que toutes les vulnérabilités connues sont corrigées. Facile à dire, mais c'est quelque chose qui est rarement fait dans le cadre des routines de mises à jour de correctif régulières dans les organisations. « Souvent, les gens se concentrent sur les mises à jour du système d'exploitation et négligent les mises à jour du micrologiciel», explique Michael. « Vous avez donc peut-être une mise à jour du micrologiciel pour votre système que vous pouvez déployer pour résoudre ce problème, mais comme vous ne l'avez pas, parce que vous n'incluez pas les mises à jour du micrologiciel dans vos opérations informatiques normales, vous mettez plus de temps pour les appliquer. A titre préventif vous devez inclure les mises à jour du micrologiciel dans vos processus normaux ». Il y a également un manque de visibilité sur les problèmes de micrologiciel en ce qui concerne l'analyse des vulnérabilités au sein des organisations. Certains outils open source tels que CHIPSEC ont des capacités d'analyse et de test de sécurité pour diverses interfaces matérielles, y compris UEFI, comme le font certains produits commerciaux.

Enfin, les systèmes de détection d'intrusion au niveau de l'hôte peuvent détecter certains des composants. Par exemple, le rapport Eclypsium et AdvIntel inclut des indicateurs de compromis pour le nouveau module TrickBot et le pilote RwDrv.sys. Cependant, le nombre de ces attaques et donc les logiciels malveillants compatibles UEFI est susceptible d'augmenter à l'avenir. La mise en œuvre des exploits UEFI dans TrickBot ne met pas seulement cette capacité entre les mains de groupes de ransomwares comme Ryuk qui utilisent ce botnet, mais elle sera copiée par d'autres groupes cybercriminels qui exécutent leurs propres botnets et programmes malveillants. Cela s'est produit dans le passé avec de nombreuses techniques qui étaient initialement limitées aux acteurs de la menace au niveau APT. « Une fois que cela est vu dans la nature comme dans un incident ou un communiqué de presse dans trois mois ou un an à partir de maintenant qu'une attaque UEFI a été utilisée pour créer un environnement opérationnel, tous les autres attaquants vont sauter dessus immédiatement, car l'impact est tellement bien pire, ce qui signifie que l'effet de levier est tellement plus important », a déclaré Scott Scheferman, principal stratège chez Eclypsium à CSO. « Toute vulnérabilité majeure qui donne un avantage à un attaquant est généralement adoptée d'abord par TrickBot, puis par tous les autres groupes de logiciels malveillants et de ransomwares qui tirent constamment des fonctionnalités de TrickBot. Il tire le cycle de développement de la plupart des malwares criminels ».