Alerte - Rançongiciel ALPHV/BlackCat ciblant les industries canadiennes

Auditoire

La présente alerte s’adresse aux professionnelles et professionnels et aux gestionnaires des TI.

Objet

Une alerte a pour objet de prévenir les destinataires que des cybermenaces ont été relevées récemment et que celles-ci pourraient toucher les biens d’information électronique. Elle vise également à leur fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) est en mesure d’offrir, aux destinataires qui en font la demande, une assistance complémentaire concernant la teneur de la présente alerte.

Détails

Le Centre de la sécurité des télécommunications (CST) et son Centre canadien pour la cybersécurité (Centre pour la cybersécurité) sont au courant d’incidents dans le cadre desquels les systèmes des victimes ont été infectés par le rançongiciel ALPHV/BlackCat. En date du 24 juillet 2023, des incidents liés à ALPHV/BlackCat ont touché de multiples secteurs au Canada et ailleurs dans le monde.

Le Centre pour la cybersécurité estime que ces incidents sont presque certainement motivés par l’appât du gain et ne démontrent aucune tendance à la victimisation qui suggère un ciblage délibéré. Le Centre pour la cybersécurité estime qu’ALPHV/BlackCat et ses groupes affiliés choisissent très probablement leurs victimes en fonction des possibilités. De janvier 2022 à juin 2023, ALPHV/BlackCat est responsable d’une part considérable des incidents liés à des rançongiciels au Canada qui ont été attribués à des auteures ou auteurs précis et dont le Centre pour la cybersécurité est au courant. ALPHV/BlackCat représente une menace pour les organisations canadiennes depuis au moins janvier 2022 et continuera fort probablement de représenter une menace pour les organisations canadiennes et internationales au cours de la deuxième moitié de 2023.

En 2023, BlackBerry a publié un article donnant des détails sur le maliciel BlackCat^{Note de bas de page 1}. Dans son rapport, l’entreprise indique que BlackCat cible le plus souvent des entreprises des secteurs financier, manufacturier, juridique et des services professionnels, mais les exploits de BlackCat s’étendent à toutes les industries. Dans ses campagnes, BlackCat a souvent recours à des tactiques d’extorsion triple : demandes individuelles de rançon pour décrypter des fichiers infectés, pour ne pas publier des données volées et pour ne pas lancer des attaques par déni de service.

Le Centre pour la cybersécurité continue de surveiller les activités ayant des répercussions sur les victimes de rançongiciel au Canada et fournira d’autres indicateurs techniques ainsi que des conseils et une orientation à mesure qu’ils seront disponibles. Le Centre pour la cybersécurité fournit les tactiques, techniques et procédures (TTP) suivantes et les indicateurs de compromission ci-joints, qui sont liés aux activités qui lui ont récemment été signalées, afin de fournir aux responsables de la défense des réseaux des techniques pour mieux protéger ces derniers. Tous les partenaires gouvernementaux et non gouvernementaux sont aussi invités à adopter les pratiques exemplaires en matière de cybersécurité afin de protéger leurs environnements.^{Note de bas de page 2}

Tactiques, techniques, et procédures (TTP)

Les techniques MITRE ATT&CK suivantes utilisées par les auteurs de menace ^{Note de bas de page 3} ont été signalées au Centre pour la cybersécurité ou référencées dans des sources ouvertes. Elles sont fournies pour décrire l’activité signalée. MITRE fournit aux exploitants des systèmes les stratégies de détection et d’atténuation nécessaires pour mieux protéger leurs systèmes réseau. Ces ressources sont présentées dans la section des références du présent alerte.

Accès initial

Les auteurs de menace auraient utilisé de multiples formes de piratage psychologique pour accéder à des justificatifs d’identité. Ils auraient autre autres utilisé des courriels d’hameçonnage et des messages texte contenant des liens menant vers des pages d’hameçonnage de justificatifs d’identité ciblées, et auraient appelé des utilisatrices et utilisateurs pour tenter d’obtenir leurs justificatifs d’identité.^{Note de bas de page 4}

• T1586 – Comptes compromis
• T1566 – Hameçonnage

Les auteurs de menace auraient aussi contourné l’authentification multifacteur (AMF) en utilisant diverses méthodes, dont le pollupostage d’AMF et le piratage psychologique.^{Note de bas de page 4}

• T1111 - Interception de l’authentification multifacteur

Élévation des privilèges

À la suite de la compromission initiale, les auteurs de menace auraient aussi utilisé divers outils de surveillance et de gestion à distance pour établir une présence persistante, dont plusieurs sont des produits commerciaux qui permettent d’éviter toute détection.^{Note de bas de page 4} Les auteurs de menace auraient aussi compromis des comptes privilégiés dans le cadre de leur accès initial.

• TA0004 – Élévation de privilèges

Commande et contrôle (C2)

À la suite de la compromission initiale, les auteurs de menace auraient aussi utilisé divers outils de surveillance et de gestion à distance pour établir une présence persistante, dont plusieurs sont des produits commerciaux qui permettent d’éviter toute détection.^{Note de bas de page 4}

• T1219 – Logiciel d’accès à distance

Balayage

À la suite de la compromission initiale, les auteurs de menace auraient utilisé divers outils pour analyser des dispositifs RDP et SMB sur le réseau.^{Note de bas de page 5}

• T1135 – Découverte de partage de réseau
• T1046 – Découverte de services réseau

Persistance

Les auteurs de menace auraient ajouté leurs propres jetons d’authentification multifacteur à des comptes d’utilisateur existants. Ils peuvent ainsi établir une présence persistante tout en évitant la détection.^{Note de bas de page 4}

• T1098.005 - Manipulation de compte : Enregistrement de dispositifs

Les auteurs de menace auraient aussi ajouté des domaines fédérés à Azure AD pour établir une présence persistante.

• T1484.002 – Modification de la stratégie de domaine Modification de l’approbation de domaine

Les auteurs de menace auraient aussi utilisé des tâches planifiées pour établir une présence persistante.^{Note de bas de page 5}

• T1053.005 – Tâche planifiée : Tâche planifiée

Pour établir une présence persistante, les auteurs de menace auraient aussi utilisé divers outils de surveillance et de gestion à distance, dont plusieurs sont des produits commerciaux qui permettent d’éviter toute détection.^{Note de bas de page 4}

• T1219 – Logiciel d’accès à distance

Les auteurs de menace auraient aussi exploité des logiciels de gestion continue de la configuration comme Ansible pour établir une présence persistante. Ces outils sont exploités pour réinfecter de nouveaux systèmes automatiquement.

• T1525 - Image d’implantation interne

Déplacement dans le réseau

Pour se déplacer latéralement dans le réseau, les auteurs de menace auraient utilisé des outils de gestion comme Microsoft InTune et WSUS.

• T1072 - Outils de déploiement de logiciels

Les auteurs de menace auraient utilisé des connexions RDP pour voler davantage de justificatifs d’identité au moyen de l’extraction en masse LSASS.^{Note de bas de page 6}

• T1021.001 - Services à distance : Protocole RDP (Remote Desktop Protocol)

Empêchement et entrave des efforts de reprise

Pour empêcher et entraver les efforts de reprise, les auteurs de menace auraient supprimé les sauvegardes et instantanés de machine virtuelle. Ils auraient également supprimé des sauvegardes de clichés instantanés Windows pendant le processus de chiffrement.^{Note de bas de page 1}

• T1490 – Empêcher la reprise d’un système

Mesures recommandées

Le Centre pour la cybersécurité recommande aux organisations de prendre les mesures suivantes :

• Prendre connaissance des indicateurs de compromission ci-joints et des TTP ci‑dessus pour déterminer si des activités connexes se sont produites. Si des activités ont été détectées et qu’une compromission a eu lieu :
  • Réinitialiser les systèmes compromis.
  • Réinitialiser tous les justificatifs d’identité potentiellement compromis.
• Prendre connaissance des techniques et des méthodes d’atténuation liées à MITRE ATT&CK^{Note de bas de page 3} pour réduire la possible exposition aux menaces.

De plus, le Centre pour la cybersécurité recommande fortement aux organisations de mettre en œuvre les 10 mesures de sécurité des TI ^{Note de bas de page 2} du Centre pour la cybersécurité, mais surtout celles liées aux sujets suivants :

• Sensibilisation à l’hameçonnage. Il s’agit de pouvoir repérer l’hameçonnage, mais aussi de savoir quoi faire si l’on reçoit un courriel d’hameçonnage.
  • Le Centre pour la cybersécurité a fait paraître plusieurs publications sur la sensibilisation à l’hameçonnage^{Note de bas de page 7Note de bas de page 8Note de bas de page 9}.
• Contrôles techniques de l’hameçonnage.
• Authentification multifacteur.
  • Favoriser l’utilisation de jetons matériels pour les systèmes ou les comptes sensibles ou essentiels.
• Mettre en vigueur la gestion des privilèges d’administrateur.
  • Minimiser le nombre d’administrateurs et de rôles privilégiés.
  • Mener les activités d’administrateur sur des dispositifs gérés, renforcés et désignés qui disposent d’un accès limité aux courriels, à la navigation Web et à la connectivité extérieure.
  • Mettre en œuvre l’intégrité par deux personnes au moment de réinitialiser les comptes d’administrateur pour minimiser les activités de piratage psychologique.
• Gestion et contrôles de l’accès à distance.
• Segmentation réseau et zones démilitarisées (ZD).
  • Configurer les pare-feu de manière à contrôler et à surveiller sélectivement le trafic qui passe entre les zones.
• Contrôles de gestion et de déploiement de logiciels.
• Planification de la continuité des activités testée et validée.
• Passer en revue le Guide sur les rançongiciels (ITSM.00.099) du Centre pour la cybersécurité et appliquer les contrôles de sécurité recommandés.^{Note de bas de page 10}

Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, ils sont invités à le signaler par l’entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.

Indicateurs de compromission

Le Centre pour la cybersécurité publie les indicateurs de compromission (IC) suivants associés aux activités d’ALPHV/BlackCat. Le Centre pour la cybersécurité tient à souligner qu’il est possible que certains des indicateurs réseau fournis soient utilisés à des fins légitimes. La présence de connexions à ces indicateurs réseau n’indique pas nécessairement qu’un système a été compromis, mais il conviendra de mener une enquête afin de vérifier l’intégrité des systèmes.

Comme ces indicateurs peuvent également s’appliquer à des infrastructures et à des logiciels légitimes, il est important de vérifier les services d’entreprise et les environnements réseau avant de mettre en œuvre des mécanismes de blocage fondés sur ces indicateurs.

Techniques MITRE ATT&CK

• ID: T1586.002 – Comptes compromis : Comptes de courriel
• ID: T1586 – Comptes compromis
• ID: T1566 – Hameçonnage
• ID: T1111 - Interception de l’authentification multifacteur
• ID: TA0004 – Élévation de privilèges
• ID: T1219 – Logiciel d’accès à distance
• ID: T1135 – Découverte de partage de réseau
• ID: T1046 – Découverte de services réseau
• ID: T1098.005 - Manipulation de compte : Enregistrement de dispositifs
• ID: T1484.002 – Modification de la stratégie de domaine Modification de l’approbation de domaine
• ID: T1053.005 – Tâche planifiée : Tâche planifiée
• ID: T1219 – Logiciel d’accès à distance
• ID: T1525 - Image d’implantation interne
• ID: T1072 - Outils de déploiement de logiciels
• ID: T1021.001 - Services à distance : Protocole RDP (Remote Desktop Protocol)
• ID: T1490 – Empêcher la reprise d’un système