Silver Sparrow Dropper passe à travers la détection de macOS ; un script gratuit est disponible pour les MSPs

À la suite de la violation de données subie par FireEye en décembre, Datto a mis à disposition un scanner gratuit de contre-mesures FireEye destiné aux fournisseurs de services gérés (MSP) afin de détecter les outils volés. Face à l'émergence cette semaine d'une nouvelle menace sous la forme d'un nouveau « dropper » baptisé Silver Sparrow, l'équipe d'ingénieurs de l'Datto RMM s'est immédiatement mobilisée et a développé un script gratuit destiné aux MSP permettant de détecter la présence de ce « dropper ».

Un dropper est utilisé dans une attaque pour établir une persistance sur un appareil et délivrer une charge utile, le composant qui cause des dommages au système. Cette analyse fait ressortir quatre détails intéressants concernant cette attaque, qui devraient attirer l'attention sur cette activité et vous inciter à protéger vos clients des petites et moyennes entreprises (PME).

Cibler l'architecture Apple M1

Lancée en novembre, l’architecture Apple M1 a marqué la fin de l’ère des processeurs Intel sur lesquels Apple s’appuyait pour ses gammes d’ordinateurs de bureau et portables. Jusqu’à présent, aucune variante ne ciblait la nouvelle architecture ARM64 d’Apple. Les équipes de Red Canary et de Malwarebytes à l’origine de cette découverte ont mis au jour deux variantes de Silver Sparrow. Alors que la première variante ne concernait que l’architecture Intel x86_64, le deuxième échantillon comprenait à la fois les architectures x86_64 et ARM64 dans le fichier PKG. Cela devrait constituer un signal clair pour la communauté des MSP : les acteurs malveillants continuent de cibler macOS et de faire évoluer leurs techniques.

Utilisation de l'API Javascript de l'installateur macOS

Les techniques existantes de logiciels malveillants exploitent les scripts de pré-installation et de post-installation dans le cadre du programme d'installation, ce qui permet aux moteurs de détection d'identifier les schémas d'exécution des processus et de prendre des mesures. Silver Sparrow exploite le processus d'installation de macOS pour exécuter des commandes JavaScript malveillantes enfouies dans un fichier XML, inclus dans le paquet. Le code malveillant bénéficie ainsi d'une protection supplémentaire contre les capacités de détection existantes et celles qui reposent sur des processus de système d'exploitation fiables, ce qui rend difficile son identification comme malveillant par de nombreux moteurs de nouvelle génération. Il s'agit d'une démarche claire visant à ressembler davantage à une installation normale ou fiable d'un paquet et à supprimer une possibilité de détection pour les défenseurs.

La charge utile manquante

D’après l’analyse menée, aucune des deux équipes n’avait identifié l’élément le plus dangereux d’un dropper : la charge utile. Ce sont ces charges utiles dont on entend généralement parler dans l’actualité et qui, dans le cadre de nos interventions (notamment RYUK et Trickbot), ont des conséquences importantes. L'équipe de Malwarebytes indique que, parmi les hôtes sur lesquels le dropper a été identifié, tous semblent dépourvus de charge utile. De plus, les scripts d'exécution contenaient des messages codés utilisant la formule standard « Hello World », ce qui laisse penser que Silver Sparrow est encore en cours de développement par un acteur malveillant. Les indices suggèrent fortement que ce dropper en est à ses débuts et que nous entendrons probablement davantage parler de Silver Sparrow à l'avenir.

Autodestruction

Nous pouvons tous apprécier que quelqu'un nettoie derrière lui, mais l'invité que vous voulez voir passer et nettoyer toutes les traces n'est pas Silver Sparrow. Bien que le dropper soit censé être persistant, Silver Sparrow intègre une sorte d'interrupteur pour forcer la suppression des composants dotés de mécanismes persistants. Pour ce faire, il surveille la présence d'un fichier, ~/Bibliothèque/._insu. Cette technique permet aux opérateurs, s'ils le souhaitent, d'abandonner la charge utile et de quitter le système sans laisser de traces.

Détection et prévention de Silver Sparrow

Dès l'annonce de cette activité, l'équipe d'ingénierie d'Datto RMM a compris que nos partenaires MSP et l'ensemble de la communauté informatique auraient besoin d'aide, compte tenu des difficultés rencontrées par de nombreux produits de détection et de réponse au niveau des terminaux (EDR) pour contrer cette menace. Aujourd’hui, l’équipe d’ingénieurs d’ Datto RMM a publié le script de détection et de prévention Silver Sparrow au sein du produit, pour une utilisation immédiate. Il est disponible sur la boutique en ligne Datto RMM ComStore pour les partenaires Datto RMM, ainsi que sur GitHub pour que l’ensemble de la communauté puisse en tirer parti sur d’autres plateformes RMM. Ce nouveau script permet non seulement de détecter la variante actuelle, mais aussi de placer un fichier d'autodestruction afin d'éliminer toute trace de Silver Sparrow, empêchant ainsi la diffusion de la charge utile. Le script s'appuie sur les indicateurs mentionnés dans le rapport de Red Canary, qui sont susceptibles d'évoluer ; les retours de la communauté sont donc les bienvenus afin de soutenir son amélioration continue.

Les équipes de sécurité de l'information et de Datto RMM de Datto s'engagent à assurer la sécurité de nos partenaires MSP et de leurs PME et continueront à développer et à fournir des outils pour améliorer la sécurité à l'échelle. Le chemin vers la cyber-résilience nécessite une amélioration continue, une responsabilité commune que nous acceptons dans notre objectif d'aider à protéger le canal.