Qu'est-ce que Nvidia RTX-LHR v2 Unlocker et comment fonctionne-t-il ?

Diffusion de logiciels malveillants par le biais de l'hameçonnage communautaire

Le 22 février, la communauté des mineurs de cryptomonnaies a reçu une alerte massive concernant une fausse information affirmant avoir réussi à contourner la fonctionnalité LHR de Nvidia destinée à empêcher le minage. Cette alerte s'est par la suite avérée être un logiciel malveillant ; c'est ce que nous appelons du « phishing communautaire ». Les pirates ont infiltré les forums de la communauté en ligne et d'autres canaux médiatiques, et ont diffusé des logiciels malveillants en faisant de fausses promesses répondant aux attentes de la communauté.

Ce type de logiciel malveillant est un assemblage de "maltools" que l'on peut trouver facilement et dont le fonctionnement ne nécessite qu'un minimum de connaissances. Une telle campagne nous montre à quel point il est facile pour quiconque de créer des logiciels malveillants qui échappent aux produits de sécurité et atteignent les objectifs du pirate.

PureCrypter et PurgeStealer font partie des outils malveillants utilisés par les pirates pour développer un logiciel malveillant de vol d'informations, doté de capacités de contournement grâce à C#, et capable de collecter une grande variété de données, qui sont ensuite exfiltrées via gofile.io et Discord.

Introduction à l'attaque

Les crypto-monnaies sont devenues populaires au cours de la dernière décennie et ont constitué une nouvelle façon d'exécuter des transactions monétaires. Les crypto-monnaies étant décentralisées par conception, elles nécessitent une validation du réseau pour une transaction. Une confirmation nécessite généralement une ressource informatique élevée pour exécuter l'algorithme de cette validation.

En 2020, Nvidia a lancé la série GeForce 30, notamment la technologie RTX qui en est l'élément phare. Au départ, la société ne faisait pas de distinction entre les joueurs et les mineurs. Par la suite, en mai 2021, Nvidia a annoncé la série 30XX « Lite Hash Rate » (LHR) afin de distinguer les produits prenant en charge le minage de ceux destinés exclusivement au jeu. Cette décision est probablement d’ordre commercial : alors que Nvidia affirme vouloir mettre les produits GeForce à la disposition des joueurs, les mineurs sont invités à utiliser la série CMP.

Le 23 février dernier, des hackers ont diffusé un malware voleur d'informations sous le déguisement de l'outil Nvidia LHR v2 Unlocker. Naturellement, la communauté des mineurs d'Ethereum qui souhaitaient un tel outil était la cible, mais ils ne sont pas tombés dans le piège en leur donnant du crédit. La veille, de nombreux sites d'information ont publié un article qui a aidé les pirates à diffuser leur malware, et peu de temps après, ils ont publié une mise à jour confirmant qu'il s'agissait bien d'un malware.

Le logiciel malveillant ciblait les portefeuilles des mineurs et tout autre outil trouvé sur une machine de minage Etherium. Cependant, d'autres données ont également été recueillies, telles que les données du navigateur (mots de passe, historique et cookies).

Chronologie

L'attaque était concise et s'est arrêtée quelques heures plus tard sans raison apparente. Il peut s'agir d'un bogue ou d'une crainte de l'attaquant de se faire prendre, et c'est peut-être la raison pour laquelle la cible du phishing était consciente de la menace et l'a déjouée.

J'ai noté l'utilisation de PurgeStealer en raison du délai très court entre sa publication et le moment où l'attaquant démarre la campagne en l'utilisant. Une autre coïncidence liée au LHR de Nvidia est que le groupe Lapsus$ a piraté Nvidia et volé sa propriété intellectuelle. En utilisant cette propriété intellectuelle et d'autres données privées, ils ont pu pirater le LHR et essayer de le vendre pour 1 million de dollars.

Vecteur d'attaque

1. T1566 – Tout commence par ce que nous appelons le « phishing communautaire », car le pirate crée une fausse présentation d'un élément convoité ou suscitant la curiosité et demande aux utilisateurs de l'exécuter.
2. T1059.001 – Le programme d'installation lance une session PowerShell avec des privilèges élevés à partir du programme d'installation.
3. T1620 – Le premier fichier exécutable du dropper utilise le chargement de code réflexif pour s'exécuter en mémoire et éviter ainsi d'écrire sur le disque, ce qui lui permet de contourner certains logiciels de sécurité.
4. T1218.009 – Le deuxième dropper est fortement obscurci et met en œuvre des techniques anti-débogage, anti-reverse-engineering et d'évasion. Au final, il utilise RegAsm.exe comme proxy pour exécuter le logiciel malveillant de vol d'informations.
5. T1567.002 – Ce logiciel malveillant exploite le service de stockage en ligne Gofile.io pour exfiltrer les données volées sans réduire le risque d'être détecté par les solutions de sécurité assurant la surveillance du réseau.
6. L'objectif principal de l'attaquant est supposé être les portefeuilles de crypto-monnaie, et les utilisateurs très ciblés peuvent y parvenir.

Conclusions

J'ai décidé d'appeler cette attaque "Community Phishing" car elle utilise la technique du phishing qui consiste à faire exécuter par les utilisateurs des programmes ou des fichiers sur leur machine en leur faisant croire qu'il s'agit d'un fichier légitime, et en utilisant les canaux de la communauté comme moyen de communication. L'attaquant comprend les besoins des victimes potentielles et les exploite pour diffuser des logiciels malveillants. Et en ciblant une communauté, plusieurs hypothèses sont très susceptibles d'augmenter l'impact de l'attaque : les victimes sont propriétaires de cartes graphiques Nvidia RTX, et elles sont intéressées par le minage d'Ethereum.

Il y a plus d'une façon de tirer profit de l'infection de ces machines spécifiques. Par exemple, le logiciel malveillant pourrait être un mineur, et il gagnerait à fonctionner sur des appareils puissants. Un autre moyen pourrait être une attaque plus matérielle qui exploiterait les vulnérabilités des pilotes Nvidia et prendrait le contrôle du système d'une manière plus persistante et furtive.

Peu importe l'objectif de l'attaque, le problème avec cette attaque particulière est la facilité avec laquelle elle s'est produite - n'importe qui peut créer des logiciels malveillants en utilisant des outils malveillants (maltools). Les outils malveillants peuvent être trouvés partout, ils sont assez fiables et simples, et grâce aux crypto-monnaies, les criminels peuvent les acheter de manière anonyme.

Le phishing est la technique la plus courante de diffusion de logiciels malveillants, et nous pouvons voir qu'il y a plus de moyens que le phishing traditionnel par email pour l'exécuter. Chez Datto, nous sommes spécialisés dans la détection et la prévention des vecteurs initiaux, y compris les attaques de phishing. Nous tenons à vous rappeler qu'il ne faut jamais faire confiance à ce qui vous est livré sans que vous l'ayez demandé. Vérifiez toujours la source et restez virtuellement en sécurité.