L’exploitation des rootkits Scranos se mondialise

1
114

Analyse Bitdefender : L’exploitation des rootkits Scranos se mondialise. Que peuvent faire les entreprises pour améliorer leur sécurité ?

Les menaces sophistiquées demeurent l’une des principales préoccupations des entreprises. Au fur et à mesure que les environnements se complexifient, les attaquants trouvent des moyens innovants d’infiltrer le réseau, s’y dissimulant pour faire des ravages tout en gardant une discrétion totale.

Les experts Threat intelligence de Bitdefender viennent d’analyser les subtilités d’une nouvelle opération de spyware multiplateforme. Pour Harish Agastya VP of Enterprise Solutions de Bitdefender :

« Cette campagne, nommée Scranos basée sur les rootkits s’étendra – au moins – aussi largement que l’opération de fraude Zacinlo, un logiciel espion extrêmement sophistiqué qui fonctionne secrètement depuis le début de 2012, générant des revenus pour ses opérateurs et compromettant la vie privée de ses victimes ».

Scranos infecte déjà les utilisateurs du monde entier en raison de sa capacité à survivre sur toutes les plates-formes, en obtenant une gamme plus étendue de endpoints d’entreprise, en particulier des appareils Android.

Comment fonctionne le rootkit Scranos ?

Déguisé en logiciel craqué ou en applications légitimes telles que des lecteurs d’ebooks, des lecteurs vidéo, des pilotes ou même des produits antimalware, Scranos fait maintenant partie d’un projet plus vaste. Les serveurs de commande et de contrôle poussent d’autres programmes malveillants, ce qui indique clairement que le réseau est désormais affilié à des personnes tierces, dans un schéma de paiement à l’installation. Les acteurs derrière Scranos apportent en permanence des modifications au logiciel malveillant, en ajoutant de nouveaux composants aux utilisateurs déjà infectés et en améliorant les fonctionnalités les plus évoluées.

 Les employés constituent l’un des premiers points d’entrée dans une entreprise. Selon des études récentes, ils restent le maillon faible de la sécurité informatique des entreprises et les acteurs de la menace les contournent facilement pour s’infiltrer dans les entreprises. Les cybercriminels exploitent également la myriade d’outils qu’utilisent les entreprises auprès de fournisseurs tiers. Leurs derniers vecteurs d’attaque comprennent le ciblage des fournisseurs de petites entreprises et qui sont moins protégés.

Prenant en charge les rootkits, Scranos est conçu pour ne pas être détecté par un système et peut facilement désactiver les pares-feux et les logiciels antimalwares traditionnels, si toutefois le système le demande. Il est persistant et exploite les capacités de camouflage pour revenir même après sa détection et son élimination.

L’objectif principal étant l’exfiltration de données, les enjeux sont importants : des problèmes de gestion, des risques au vol de propriété intellectuelle et atteintes à la réputation de la marque. La conformité est également une préoccupation majeure. En effet, « accélérer la réglementation en matière de protection de la vie privée » a dépassé la « pénurie de talents » dans les principaux risques émergents pour les entreprises, au premier trimestre 2019, selon une étude récente de Gartner.

Scranos peut également tirer parti de l’infrastructure de l’entreprise pour lancer de nouvelles attaques. Ce qui pose de graves problèmes juridiques, affecte la réputation de la marque et, en fin de compte, les bénéfices financiers.

Traiter tout le cycle de vie de la menace

Selon Juniper Research, d’ici 2020, plus de cinq milliards d’enregistrements de données à caractère personnel seront volés et 8 000 milliards de dollars seront perdus à cause de la cybercriminalité. Alors que les acteurs de Scranos continuent à peaufiner les composants des logiciels malveillants, l’opération de vol de mots de passe et de données devient plus forte et élimine la protection traditionnelle des terminaux.

Une approche de contrôle de zone qui inclut des pares-feux et des mots de passe à 8 chiffres ne suffit plus pour traiter les menaces furtives et persistantes. L’anti-rootkit, l’anti-ransomware, l’analyse comportementale, le contrôle avancé des menaces et les capacités d’apprentissage machine sont des éléments clés pour détecter et bloquer les attaques sophistiquées.

Pour améliorer leur sécurité, les entreprises doivent également améliorer leurs capacités de détection et de réaction. La sécurité devrait devenir plus agile pour évoluer et s’adapter au nombre croissant de « choses » à protéger.

Pour atténuer les menaces complexes, les centres d’opérations de sécurité ont besoin de visibilité sur la détection post-compromission. Une solution optimisée inclut une protection, une détection et une réponse avancées, ainsi que le cycle de vie complet des menaces.

Parmi les technologies que les analystes SOC peuvent exploiter, citons Sandbox Analyzer pour une analyse détaillée des menaces sophistiquées, Network Traffic Security Analytics pour analyser le trafic réseau et les anomalies du trafic sur les points finaux et l’introspection de la mémoire basée sur l’Hyperviseur pour identifier les attaques de type 0-days aussi facilement que tout autre exploit connu.

Analyser les indicateurs de compromission

Lorsqu’ils traitent d’opérations complexes, les analystes SOC doivent non seulement les bloquer, mais également comprendre les acteurs des menaces et automatiser les réponses à plusieurs vecteurs d’attaque. Pour ce faire, ils doivent se doter d’informations en temps réel qui améliorent la recherche de menaces et réduisent le temps passé à chasser les « fantômes ».

Dans leur travail approfondi sur l’opération du rootkit Scranos, les laboratoires Bitdefender Cyber-Threat Intelligence ont mis à jour des centaines d’indicateurs de compromission uniques, notamment des hachages de fichiers, des domaines, des clés de registre, des URLs et des adresses IP.

La recherche sur les rootkits Scranos n’est qu’une partie de leur travail quotidien d’enquête sur les menaces. Chaque jour, nos laboratoires analysent et bloquent environ 600 000 IoC à l’aide de plusieurs technologies, notamment l’apprentissage automatique, l’heuristique avancée et l’analyse de contenu.

Des informations de pointe sur les menaces avancées, comprenant des données IoC sur des menaces uniques et sophistiquées telles que Scranos, ont récemment été mises à la disposition des entreprises et des centres d’opérations de sécurité du monde entier.

1 COMMENTAIRE

Les commentaires sont fermés.