Qu'est-ce que Bazar Loader et comment s'y préparer ?

Qu'est-ce que Bazar Loader ?

Bazar Loader est une attaque sans fichier qui se télécharge par la porte dérobée permettant aux attaquants d'installer des logiciels malveillants supplémentaires, souvent utilisés pour des attaques par ransomware. Depuis sa création en avril 2020, Bazar Loader a attaqué une grande variété d'organisations en Amérique du Nord et en Europe. L'hypothèse la plus répandue est que Bazar Loader a été développé par un groupe de pirates connu sous le nom de Trickbot.

Comment fonctionne Bazar Loader :

La méthode de livraison et le déroulement de l'attaque

Dans ce billet, nous donnerons un exemple d'une attaque récente de Bazar Loader que nous avons capturée et nous l'analyserons, en soulignant les modes d'action typiques de Bazar Loader. Dans cet exemple précis, l'attaque a été envoyée à une compagnie d'aviation. Cependant, des attaques similaires ciblent des industries et des organisations de tailles et de localisations géographiques différentes.

Bazar Loader exploite généralement les correspondances existantes par courrier électronique. Il "répond" à un véritable fil de courrier électronique avec un contenu malveillant tout en utilisant des astuces d'ingénierie sociale pour paraître légitime et attirer la victime.

Dans de nombreux cas, le texte de l'objet et du corps de l'e-mail donne un sentiment d'urgence et incite la victime à ouvrir la pièce jointe sans réfléchir. En voici un exemple :

En général, le fichier joint à l'e-mail est un fichier ZIP qui nécessite un mot de passe. Le mot de passe lui-même est indiqué dans le corps de l'e-mail. Du point de vue de l'attaquant, la raison d'utiliser un fichier protégé par un mot de passe est de rendre plus difficile l'analyse du fichier par les solutions de sécurité. Un être humain, en revanche, peut facilement l'ouvrir car le mot de passe est indiqué dans le courrier électronique lui-même.

L'ouverture du fichier ZIP conduit à un fichier Microsoft Word. Le fichier .doc lui-même affiche un message demandant l'exécution d'une macro afin de visualiser le fichier. Cela incite l'utilisateur à cliquer sur 'enable content' dans la barre supérieure et permet à la macro de s'exécuter.

Comme le montre l'image ci-dessus, le fichier contient un petit texte caché en blanc - il s'agit du contenu du fichier HTA (Application HTML) qui est sauvegardé sur l'ordinateur. Par défaut, les fichiers avec une extension HTA sont exécutés par mshta.exe, un outil déjà présent et signé par Windows. Les attaquants utilisent mshta.exe car il existe déjà dans Windows et n'éveille pas les soupçons. C'est pourquoi il est très populaire parmi les pirates.

Le HTA s'exécute alors et communique avec le serveur des mauvais acteurs. Le serveur renvoie le fichier DLL malveillant, qui sera écrit sur l'ordinateur et exécuté dans le système.

À ce stade, la DLL, qui est la porte dérobée, s'exécute par l'intermédiaire de regsvr32.exe et permet la communication avec un serveur C2 qui envoie et reçoit des messages de l'ordinateur attaqué, ce qui permet aux attaquants d'extraire des informations des victimes ou de télécharger un autre outil d'attaque sur l'ordinateur. L'examen de cette communication a montré que les requêtes DNS provenaient de divers endroits du monde, notamment des États-Unis, de la Russie, de l'Allemagne et du Panama.

Techniques typiques d'évasion et d'anti-débogage

Bazar Loader utilise un certain nombre d'astuces pour échapper aux solutions de sécurité et faire en sorte que les chercheurs en sécurité aient du mal à le démasquer. Voici quelques exemples utilisés dans l'attaque analysée :

• La requête http au serveur qui renvoie le fichier dll à l'ordinateur infecté est envoyée avec un agent utilisateur écrit comme s'il provenait d'un navigateur. Il s'agit d'un moyen de contourner les solutions de sécurité lors du téléchargement du fichier malveillant en communiquant avec le serveur de l'attaquant. L'utilisation de cette technique peut donner l'impression que les communications sont légitimes.

• Exécuter le code avant le point d'entrée traditionnel. Les logiciels de débogage et les chercheurs en sécurité commencent généralement à examiner les fichiers à partir du point d'entrée traditionnel. Par conséquent, les morceaux de code qui s'exécutent avant ce point d'entrée peuvent être facilement manqués. Les chercheurs ne les remarqueront probablement pas s'ils n'ont pas ajusté les paramètres du débogueur au préalable ou si la machine n'est pas infectée.
• Le fichier malveillant de la porte dérobée contient un test CPU Feature Information (cpuid) afin de vérifier qu'il a atteint un ordinateur réel plutôt qu'une machine virtuelle. Ce test permet d'empêcher l'exécution du logiciel malveillant ou de modifier la façon dont il s'exécute afin d'échapper au bac à sable. Il exécutera alors le logiciel malveillant comme prévu lorsqu'il atteindra le point final.

En conclusion, les attaques Bazar Loader utilisent un mélange intéressant de techniques - de l'ingénierie sociale, en passant par la dissimulation du fichier malveillant derrière un ZIP protégé par un mot de passe jusqu'aux techniques d'évasion, lui permettant de contourner les solutions de protection avancées ainsi que les chercheurs en sécurité.

Comment se défendre contre Bazar Loader ?

Bazar Loader devient de plus en plus populaire et on s'attend à ce que de nouvelles variantes de Bazar Loader apparaissent, ce qui lui permettra d'échapper aux solutions de sécurité traditionnelles et de nuire aux organisations. Voici quelques conseils pour vous aider à vous méfier de cette attaque et à savoir quand réfléchir à deux fois avant de cliquer :

• Est-ce vraiment la personne à laquelle cela ressemble ? Ne vous laissez pas piéger par l’ingénierie sociale, même si le courriel provient d’une personne que vous connaissez ou si la conversation vous semble familière. Si vous n’attendiez pas ce courriel, s’il est arrivé à une heure inhabituelle ou s’il présente un quelconque élément suspect, ne cliquez sur aucun lien ni fichier joint.
• Un fichier protégé par mot de passe doit éveiller les soupçons. Les pirates savent que les fichiers protégés par mot de passe sont plus complexes à analyser pour les solutions de sécurité et les utilisent donc fréquemment pour envoyer des contenus malveillants. Si vous recevez un tel fichier (ZIP, PDF ou autre), soyez vigilant et vérifiez-le attentivement avant de cliquer dessus. Est-il probable que l'expéditeur vous envoie ce type de fichier ? Est-il logique que ce fichier soit protégé par mot de passe ? Vous attendiez-vous à recevoir ce courriel ?
• Utilisez des solutions de protection avancées qui ne prennent pas de raccourcis. La plupart des solutions de protection de messagerie actuellement disponibles sur le marché s'appuient sur la réputation ou les schémas et ont tendance à faire confiance aux expéditeurs réputés plutôt que d'analyser minutieusement tous les courriels qu'ils reçoivent. C'est ainsi que ces solutions évitent les analyses inutiles de courriels perçus comme présentant un faible risque. Comme nous le savons déjà, Bazar Loader exploite généralement les conversations par courriel existantes considérées comme sûres. De ce fait, de nombreuses solutions de sécurité de messagerie n'analysent même pas ces courriels malveillants. Dans l'exemple décrit ici, le courriel provenait d'une source fiable et aurait donc facilement contourné les solutions de sécurité basées sur la réputation. Pour vous protéger contre Bazar Loader et d'autres attaques utilisant des techniques similaires, déployez une solution de protection contre les menaces avancée qui analyse tous les courriels avant leur entrée dans l'organisation, y compris tous les liens et les pièces jointes, et qui est spécialisée dans l'identification de la partie malveillante (plutôt que dans l'identification de schémas). Apprenez-en davantage sur Datto SaaS Defense ici .
• Pourquoi utiliser mshta.exe si ce n'est pas nécessaire ? Il est recommandé de bloquer autant que possible l'utilisation de mshta.exe au sein de l'organisation, car ce fichier permet à Bazar Loader d'exécuter le fichier malveillant. Heureusement, dans la plupart des cas, mshta.exe n'a pas d'utilité concrète dans le travail quotidien ; il est donc préférable de le neutraliser.
• Que faire en cas d'infection ? Vous pouvez identifier une attaque de type Bazar Loader en surveillant les requêtes DNS. Les requêtes pour des domaines se terminant par .bazar indiquent que la machine est infectée. Bloquer le domaine à ce stade empêchera le ransomware d'envoyer des données ou même de chiffrer les fichiers.

Pour en savoir plus sur la façon dont les produits Datto peuvent vous aider à vous protéger contre les ransomwares, et Bazar Loader en particulier, consultez Datto SaaS Defense et Datto RMM .