Porte dérobée Windows : Les acteurs de la menace exploitent le BITS comme mécanisme C2

Selon des rapports récents, les chercheurs en cybersécurité d’Elastic Security Labs ont découvert une nouvelle porte dérobée sous Windows. Celle-ci exploite une fonctionnalité intégrée appelée « Background Intelligent Transfer Service » (BITS), qu’elle utilise comme mécanisme de commande et de contrôle (C2). Dans cet article, nous allons examiner en détail cette porte dérobée sous Windows et découvrir les menaces qu’elle représente. C’est parti !

Découverte initiale de la porte dérobée Windows BITS

Selon les informations disponibles, la porte dérobée de Windows a été identifiée le 25 juin 2024 par des chercheurs en sécurité d'Elastic Labs. Il convient de préciser que cette découverte a été faite dans le cadre d'une attaque visant un ministre des affaires étrangères d'Amérique du Sud, dont le nom n'a pas été précisé.

Actuellement, le groupe d'activité est suivi sous le nom de REF8747. Les chercheurs Seth Goodwin et Daniel Stepanic ont fourni des détails sur la porte dérobée Windows du logiciel malveillant BITSLOTH :

"L'itération la plus récente de la porte dérobée, au moment de la publication du présent document, comporte 35 fonctions de traitement, y compris des capacités d'enregistrement de frappe et de capture d'écran. En outre, BITSLOTH contient de nombreuses fonctions différentes pour la découverte, l'énumération et l'exécution de la ligne de commande".

Comprendre le logiciel malveillant BITSLOTH

BITSLOTH, l'outil utilisé par les auteurs de la menace pour collecter des données, est en cours de développement depuis 2021. Bien que l'identité des auteurs du logiciel malveillant BITSLOTH, une porte dérobée pour Windows, reste inconnue, certaines fonctions de journalisation et chaînes de caractères laissent à penser que les auteurs sont des locuteurs chinois.

Ce lien est encore renforcé par l'utilisation courante d'un autre outil appelé RingQ. Les acteurs chinois du cyberespionnage utilisent principalement RingQ pour crypter les logiciels malveillants afin qu'ils ne soient pas détectés et qu'ils puissent être décryptés et exécutés directement dans la mémoire. Quant au logiciel malveillant BITSLOTH, il se présente sous la forme d'un fichier DLL nommé "flengine.dl"

Chaîne d'attaque et capacités du logiciel malveillant BITSLOTH

Pour lancer l'attaque, le fichier DLL est chargé à l'aide d'une technique de chargement latéral associée à un exécutable. L'exécutable est associé à une ligne d'image connue sous le nom de FL Studio (fl.exe). En outre, les acteurs de la menace ont ajouté un nouveau composant de programmation au logiciel malveillant BITSLOTH.

Ce composant leur permet de contrôler le moment où le logiciel malveillant doit fonctionner dans un environnement ciblé, et cette fonctionnalité a été observée avec d'autres logiciels malveillants tels que EAGERBEE.

En ce qui concerne les capacités du logiciel malveillant Windows backdoor BITSLOTH, il peut effectuer une série d'actions malveillantes soutenues par des intentions :

• Acquisition de données sensibles.
• Reconfiguration de la persistance.
• Terminer des processus arbitraires.
• Chargement et téléchargement de fichiers.
• Exécution de commandes.
• Enregistrement des touches et capture des écrans.
• Redémarrage ou arrêt de l'appareil.
• Procéder à l'énumération et à la découverte.
• Déconnexion des victimes ciblées de leurs appareils.
• Changement des modes de communication en HTTP ou HTTPS.
• se mettre à jour ou s'effacer des systèmes compromis.

Les personnes soucieuses d'assurer une protection contre les cybermenaces doivent comprendre qu'il est possible pour les acteurs de la menace d'utiliser la porte dérobée BITS de Windows pour réaliser des exploits, étant donné que le trafic du réseau BITS est difficile à surveiller. Il convient de mentionner que ces informations doivent être gardées à l'esprit lorsque les organisations élaborent une stratégie de cybersécurité.

Conclusion

La découverte du logiciel malveillant BITSLOTH met en évidence les capacités des cybercriminels qui exploitent les BITS comme mécanisme de C2. Les organisations doivent renforcer leurs mesures de cybersécurité, surveiller le trafic réseau avec diligence et se tenir informées pour se défendre contre des menaces aussi sophistiquées.

Les sources de cet article comprennent des articles de The Hacker News et d'Elastic Security Labs.