VestaCP compromis dans une nouvelle attaque de la chaîne de commande

Marc-Etienne M.Léveillé

Des consommateurs ont vu leurs informations d’accès Admin volés et leurs serveurs infectés par Linux/ChachaDDoS

Au cours des derniers mois, de nombreux utilisateurs de VestaCP, une solution de panneau de contrôle d’hébergement, ont été avertis par leur fournisseur de services que leurs serveurs utilisaient une quantité anormale de bande passante. Nous savons aujourd’hui que ces serveurs ont en fait été utilisés pour lancer une attaque DDoS. L’analyse d’un serveur compromis a montré que le logiciel malveillant que nous appelons Linux/ChachaDDoS était installé sur ce système. Au même moment cette semaine, nous avons appris que le site Web du VestaCP a été compromis, ce qui a entraîné une attaque de la chaîne d’approvisionnement sur les nouvelles installations du VestaCP depuis au moins mai 2018. Linux/ChachaDDoS a quelques similitudes avec Xor.DDoS, mais à la différence de cette famille plus ancienne, il a plusieurs étapes et utilise Lua pour ses composants de deuxième et troisième niveau.

Vecteur d’infection

Selon l’utilisateur « Razza » du forum VestaCP, l’attaquant a tenté de lancer Linux/ChachaDDoS via SSH. La façon dont la charge utile a été déposée dans le répertoire /var/tmp reste à déterminer, mais en supposant que l’attaquant possède déjà le mot de passe administrateur, cette tâche se serait avérée triviale. Pendant l’installation, VestaCP crée un utilisateur nommé « admin », disposant des privilèges sudo. La question demeure néanmoins : comment l’attaquant aurait-il pu connaître le mot de passe de cet utilisateur admin?

Nous avons envisagé plusieurs hypothèses quant à la façon dont les informations d’accès ont été obtenues en premier lieu. Nous avons d’abord soupçonné une vulnérabilité dans l’interface web de VestaCP. En examinant le code, nous avons constaté que le mot de passe non chiffré est conservé dans /root/.my.cnf, mais que l’accès au contenu de ce fichier nécessiterait toujours que l’attaquant exploite une vulnérabilité d’inclusion de fichier local et d’escalade des privilèges. L’utilisateur « Falzo » a fouillé davantage dans le code et a découvert quelque chose de plus intéressant encore : certaines versions du script d’installation laissent échapper le mot de passe administrateur et le nom du serveur vers vestacp.com, le site officiel du VestaCP.

Article complet : https://www.welivesecurity.com/fr/2018/10/18/vespacp-compromis-chaine-de-commande/

GreyEnergy: Updated arsenal of one of the most dangerous threat actors

Anton Cherepanov and Robert Lipovsky

ESET research reveals a successor to the infamous BlackEnergy APT group targeting critical infrastructure, quite possibly in preparation for damaging attacks

Recent ESET research has uncovered details of the successor of the BlackEnergy APT group, whose main toolset was last seen in December 2015 during the first-ever blackout caused by a cyberattack. Around the time of that breakthrough incident, when around 230,000 people were left without electricity, we started detecting another malware framework and named it GreyEnergy. It has since been used to attack energy companies and other high-value targets in Ukraine and Poland for the past three years.

It is important to note that when we describe ‘APT groups’, we’re making connections based on technical indicators such as code similarities, shared C&C infrastructure, malware execution chains, and so on. We’re typically not directly involved in the investigation and identification of the individuals writing the malware and/or deploying it, and the interpersonal relations between them. Furthermore, the term ‘APT group’ is very loosely defined, and often used merely to cluster the abovementioned malware indicators. This is also one of the reasons why we refrain from speculation with regard to attributing attacks to nation states and such.

We have already extensively documented the threat actors’ transition towards TeleBots in cyberattacks on high-value targets in the Ukrainian financial sector, the supply-chain attacks against Ukraine and in an analysis of TeleBots’ cunning backdoor. All from the group most notable for the NotPetya ransomware outbreak. At the same time, we have also been keeping a close eye on GreyEnergy – a subgroup operating in parallel, but with somewhat different motivations and targeting.

Although ESET telemetry data shows GreyEnergy malware activity over the last three years, this APT group has not been documented until now. This is probably due to the fact that those activities haven’t been destructive in nature, unlike the numerous TeleBots ransomware campaigns (not only NotPetya), the BlackEnergy-enabled power grid attack, and the Industroyer-caused blackout – which we have linked to these groups  for the first time last week. Instead, the threat actors behind GreyEnergy have tried to stay under the radar, focusing on espionage and reconnaissance, quite possibly in preparation of future cybersabotage attacks or laying the groundwork for an operation run by some other APT group.

GreyEnergy’s malware framework bears many similarities to BlackEnergy, as outlined below. It is similarly modular in construction, so its functionality is dependent on the particular combination of modules its operator uploads to each of the targeted victim systems. The modules that we have observed were used for espionage and reconnaissance purposes (i.e. backdoor, file extraction, taking screenshots, keylogging, password and credential stealing, etc.). We have not observed any modules that specifically target Industrial Control Systems (ICS). We have, however, observed that the GreyEnergy operators have been strategically targeting ICS control workstations running SCADA software and servers, which tend to be mission-critical systems never meant to go offline except for periodic maintenance.

Download the white paper: https://gpc.eset.com/gpc/filebrowser/file/4906

Nouvelle backdoor TeleBots : Première preuve liant Industroyer à NotPetya

Anton Cherepanov

L’analyse par ESET d’une récente backdoor (ou porte dérobée) utilisée par TeleBots – le groupe à l’origine de l’épidémie massive de rançon de NotPetya – révèle de fortes similitudes de code avec la backdoor principale d’Industroyer, révélant une connexion rumeur qui n’avait pas été démontrée auparavant.

Parmi les incidents de cybersécurité provoqués par des logiciels malveillants les plus importants de ces dernières années, on peut citer les attaques contre le réseau électrique ukrainien – qui ont entraîné des pannes de courant sans précédent deux années de suite – et l’épidémie dévastatrice de rançon de NotPetya. Voyons les liens qui unissent ces incidents majeurs.

La première panne d’électricité malveillante de l’histoire, qui s’est produite en décembre 2015, a été rendue possible par la boîte à outils de logiciels malveillants BlackEnergy. Les chercheurs d’ESET ont suivi l’activité du groupe d’APT utilisant BlackEnergy avant et après cet événement marquant. Après la panne de courant de 2015, le groupe a semblé avoir cessé d’utiliser activement BlackEnergy et a évolué vers ce que nous appelons TeleBots.

Il est important de noter que lorsque nous décrivons les groupes APT, nous dessinons des connexions basées sur des indicateurs techniques tels que les similarités de code, l’infrastructure C&C partagée, les chaînes d’exécution de malware, etc. Nous ne participons généralement pas directement à l’enquête et à l’identification des personnes qui ont écrit le logiciel malveillant ou l’ont déployé, ni aux relations interpersonnelles entre elles. De plus, le terme groupe APT est défini de façon très vague et souvent utilisé simplement pour regrouper les indicateurs de logiciels malveillants mentionnés ci-dessus. C’est également l’une des raisons pour lesquelles nous nous abstenons de spéculer sur l’attribution d’attaques aux États-nations et autres.

Cela dit, nous avons observé et documenté les liens entre les attaques de BlackEnergy – non seulement contre le réseau électrique ukrainien, mais aussi contre divers secteurs et cibles de grande valeur – et une série de campagnes (principalement) contre le secteur financier ukrainien par le groupe TeleBots. En juin 2017, lorsque de nombreuses grandes entreprises du monde entier ont été touchées par le logiciel de rançon Diskcoder.C (alias Petya et NotPetya) – très probablement en tant que dommages collatéraux involontaires – nous avons découvert que l’épidémie a commencé à se propager depuis des entreprises touchées par une porte dérobée (ou backdoor) TeleBots, suite à la compromission du logiciel financier populaire M.E.Doc.

Alors, comment Industroyer, le cadre sophistiqué de logiciels malveillants utilisé pour provoquer la panne de décembre 2016, s’intègre-t-il dans tout cela? Immédiatement après que nous avons annoncé publiquement notre découverte, certaines sociétés de sécurité et certains médias ont commencé à spéculer qu’Industroyer était également architecturé par le groupe BlackEnergy/Telebots (aussi connu sous le nom de Sandworm). Pourtant, aucune preuve concrète n’a été rendue publique jusqu’à présent.

En avril 2018, nous avons découvert une nouvelle activité du groupe TeleBots : une tentative de déploiement d’une nouvelle porte dérobée, que ESET détecte comme Win32/Exaramel. Notre analyse suggère que cette backdoor de TeleBots est une version améliorée de la porte dérobée principale d’Industroyer – la première preuve qui manquait.

Article complet sur https://www.welivesecurity.com/fr/2018/10/11/backdoor-telebots-industroyer-notpetya/

Tips for minding the digital skills gap

The times they are a-changin‘, so how do you build and sharpen the skills that you need to avoid being left behind by the digital revolution?

Tomáš Foltýn

With digital transformation moving apace, hardly any aspect of our lives is spared the dramatic effects of lightning-fast technological advances. The workplace is no exception, as the ubiquity of developing digital technologies is changing the way we work and the skills that we need at work. And it is changing them big time, even upending them, as some tasks have been simplified or automated and some jobs rendered obsolete – and all the while new job roles and careers are being created.

However, life in the throes of a digital revolution requires digital skills, and those can be in short supply. In Europe, for example, an estimated 14% of the labor force have no digital skills at all, and around 40% of the workforce are estimated to have insufficient digital skills, despite the increasing need for such competencies in all jobs. With the demand for digitally-competent workers outstripping supply, numerous jobs remain unfilled. Now, you’re unlikely to be digitally-naïve if you’re reading this piece, but that should not be seen as detracting from the size of the problem.

In information and communications technology, including computer security, the need for talent is just as (de)pressing, if not even more. However, it’s not all doom and gloom. Far from it. The challenges of bridging the skills gap and filling the vacancies are opportunities to be seized. Opportunities for those who are ready to dig deeper.

So, how can you acquire or enhance the skills that you need, to avoid being left behind by the digital revolution? As the second week of European Cyber Security Month (ECSM) is focused on the “Expand your Digital Skills and Education” theme, this is the question it makes sense to ask, and attempt to answer. As Mick Jagger famously sang: “You can’t always get what you want, but if you try, sometimes, you might find you get what you need.”

Get started

“You can’t always get what you want, but if you try, sometimes, you might find you get what you need”

After you’ve determined and established a balance between your wants, likes and needs, you can identify your goal and the path to achieving it. Even though having a goal in mind is commendable, it only gets you so far, so stopping here is not an option. You need to embrace the journey and commit yourself to actually taking the first steps towards accomplishing your goal. This involves setting aside time for learning or practice – indeed a feat unto itself in our fast-paced world. Trivial as it may sound, getting started is often anything but simple.

Be a (perpetual) student

There’s probably no need to go back to school and spend sleepless nights cramming for exams, although by no means do we discourage you if that’s your thing. The internet can be your oyster. It offers countless non-formal learning opportunities that come in various shapes and sizes, with online courses or webinars just two of the many options worth your while investigating.

We’ve previously highlighted a selection of free courses on topics related to cybersecurity. There’s an endless number of free or low-priced courses on any imaginable topic pertaining to any aspect of human activity, with many of them taught by lecturers from the world’s top colleges and universities. Coursera, Udacity, EdX, Udemy, Lynda and MIT’s OpenCourseWare are just a few of a great many places to look at in order to give yourself a solid grounding in any field. Some courses come with a certificate, although those may not be free.

Read, read, read

“I cannot remember the books I have read any more than the meals I have eaten; even so, they have made me.” – Ralph Waldo Emerson

There’s nothing like reading. In addition to the wisdom it can provide, it is also an easy way to stay on top of the latest goings-on in your field of choice. Considering the rapidity with which technology develops, keeping track of all sorts of online publications is a particularly good idea.

Keep up with industry news, be it via news websites and other sources such as email alerts, Google News, news feeds on social media, RSS feeds, newsletters, etc. Don’t just read about the next big thing (or fad) in tech, however. History, too, offers many interesting lessons to be learned. Did you know that France was hit by a “cyberattack” 200 years ago?

And then there are books, of course. On top of all the pleasure that can be derived from immersing oneself in a good book, there’s usually just as much knowledge and meaning that can be gleaned from a good text on technology. “Everything’s already been said,” after all, as some might argue, and chances are that a book on a relevant topic may at least point you in the right direction.

Participate

You can also join online user communities, where you can learn from – or share ideas with – like-minded people. Volunteering or taking an unpaid internship can also help you obtain some experience and establish contacts. By devoting your time to learning new skills (or possibly to a more noble cause), you also show your dedication to kicking your career development up a notch.

Attend industry events such as trade shows, conferences, workshops and seminars, which sometimes provide much better value than freebie resources. As the wheat is separated from the chaff, the talks are likely to give you a good idea of what’s hot (and not). They can also provide answers to your questions that might otherwise remain a mystery. Which brings us to the last point:

Be inquisitive

Curiosity may sometimes kill the cat, but a lack of curiosity doesn’t often get you the answers you need. Or, as some might say:  curiosity killed the cat, but satisfaction brought it back.

No matter where your learning efforts may take you in the digital realm, remember never to lose sight of the security side of things.

https://www.welivesecurity.com/2018/10/12/tips-minding-the-digital-skills-gap/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29