FoggyWeb Malware utilisé par les acteurs Nobelium APT
L'une des plus grandes campagnes de cybercriminalité de 2021 a été l'attaque de la chaîne d'approvisionnement contre le fournisseur de logiciels SolarWinds. Le groupe à l'origine, le Nobelium APT, est toujours actif. Ils développent différents types de logiciels malveillants et tentent d'exploiter un large éventail d'applications Web accessibles sur Internet. L'une de leurs dernières cibles semble être Active Directory Federation Services (AD FS) - dans ces attaques, les criminels utilisent un nouveau logiciel malveillant personnalisé appelé FoggyWeb.
En plus de fonctionner comme un outil de post-exploitation, le FoggyWeb Malware peut également être utile lorsque les pirates souhaitent collecter des informations d'identification à partir de systèmes infectés. Les informations d'identification volées sont souvent utilisées pour exploiter et infecter davantage de serveurs AD FS. Le FoggyWeb Malware serait actif depuis avril 2021. Cependant, son activité a augmenté rapidement au cours des derniers mois.
FoggyWeb Malware se concentre sur l'exfiltration des informations d'identification
La menace semble être utilisée dans des attaques très ciblées, et les criminels sont susceptibles d'avoir des plans plus ambitieux pour l'avenir de leur opération. Cette menace fonctionne comme un cheval de Troie de porte dérobée, qui collecte et exfiltre silencieusement les données des serveurs compromis. Bien que son objectif principal soit les informations de connexion, l'implant peut également voler des fichiers spécifiques ou d'autres informations. De plus, il prend en charge un large éventail de commandes à distance, que les attaquants pourraient exécuter via leur serveur de commande et de contrôle. Jusqu'à présent, le FoggyWeb Malware semble être une porte dérobée dans le seul but d'infecter les serveurs AD FS. Bien sûr, il est possible que les pirates informatiques de Nobelium le retravaillent pour cibler d'autres environnements et services à l'avenir.
Les pirates de SolarWinds s'appuieront probablement sur des campagnes de phishing par e-mail intelligemment conçues pour livrer la charge utile. Ce fut le cas en mai 2021 lorsqu'ils se sont fait passer pour l'Agence américaine pour le développement international. Bien entendu, les tactiques de propagation des logiciels malveillants utilisées par les acteurs APT de premier plan évoluent constamment. Il ne serait pas surprenant qu'ils choisissent d'explorer également d'autres techniques.
