Vous êtes dans : Accueil > Tribunes libres >

Ryuk le retour : après UHS et Sopra Steria, le secteur de la santé en ligne de mire

Charles Blanc-Rolin, LUNDI 02 NOVEMBRE 2020

Après un retour fracassant en compromettant fin septembre le système d’information d’UHS (Universal Health Services) [1], une chaîne de 400 établissements de santé et le SI du géant de l’IT français, Sopra Steria le 20 octobre [2], le rançongiciel Ryuk ciblerait à nouveau le secteur de la santé d’après une alerte émise conjointement par le CISA (« l’ANSSI américaine »), le FBI et le HHS (« Ministère américain de la santé ») [3].

Une alerte a également été émise par les équipes sécurité de Microsoft. En France, les adhérents au marché Microsoft à la CAIH ont pu la recevoir vendredi dernier.

Beaucoup de publications récentes reviennent sur les outils et méthodes employés par les attaquants pour s’infiltrer dans le SI et déployer le rançongiciel Ryuk. Je vous propose donc un petit tour d’horizon.

1. Vecteur d’attaque

Dans un excellent rapport publié par FireEye[4], il est possible de constater, que le point d’entrée, reste, comme très souvent, un courriel ! La plateforme de mailing SendGrid a été utilisée pour les premières campagnes et des liens vers des documents Google Docs semblent être fréquemment utilisés. Des liens, sur lesquels les victimes seraient invitées à cliquer, contenus dans ces documents pointeraient vers des binaires, qui étaient au départ hébergés sur des machines compromises. Les attaquants s’appuieraient dorénavant sur des services de partage de fichiers tels que Google Drive, Basecamp, Slack, Trello, Yougile et JetBrains pour héberger leurs logiciels malveillants.
Dans ce rapport très riche, on retrouve notamment un important listing de sujets de courriels utilisés dans les différentes campagnes [5].

2. Portes d’entrées et persistance

Dans ces campagnes, plusieurs loaders sont utilisés pour compromettre les machines des victimes, tels que BazarLoader (baptisé KegTap par FireEye), SingleMalt, WineKey, et se maintenir dans les systèmes des victimes avec des outils tels que BazarBackdoor (également appelé Team9Backdoor ou Beerbot chez FireEye) Emotet, TrickBot et AnchorDNS.

3. Post-exploitation

Une fois ancrés sur les machines compromises, les attaquants utilisent différents frameworks d’exploitation tels que Cobalt Strike, Metasploit, PowerTrick ou encore PowerShell EMPIRE. L’idée étant de partir à la découverte du SI auquel est connectée la machine compromise pour faire un maximum de dégâts.

4. L’Active Directory : une cible de choix

L’annuaire Active Directory est bien évidemment une cible de choix pour les attaquants. Dans leur quête d’informations, ils utilisent notamment BloodHound, AdFind ou encore Mimikatz dans le but de récupérer des identifiants et mot de passe de connexion, élever leurs privilèges au niveau administrateur de domaine et pouvoir déployer en masse sur le SI, le rançongiciel Ryuk ou son petit fère Conti.

5. Déplacement latéraux

Pour se déplacer sur les différents machines du SI, les attaquants utilisent des protocoles connus tels que RDP, WMI ou encore SMB : un grand classique !

6. ZeroLogon : une aubaine pour tout casser à vitesse grand V !

La vulnérabilité CVE-2020-1472 dite ZeroLogon est un pur bonheur pour les attaquants. Affectant le protocole d’authentification Active Directory, NetLogon, elle permet facilement à un attaquant de prendre le contrôle total d’un contrôleur de domaine et par conséquent d’un domaine Active Directory.
Elle a notamment été utilisée dans l’attaque contre les hôpitaux d’UHS pour compromettre l’ensemble du SI et déployer le rançongiciel Ryuk en cinq heures et deux minutes. Je vous recommande le rapport de The DFIR Report [6] sur cet incident.

Pour rappel, Microsoft a publié un correctif pour cette vulnérabilité en août, et des POCs publiques d’exploitation ont été publiés en septembre [7], donc, si vous n’avez pas encore patché vos contrôleurs : ALERTE GÉNÉRALE !!!

De nombreux indicateurs de compromission ont été publiés dans ces différents rapports, j’ai essayé de compiler les IOCs réseau en deux listes, les noms de domaines utilisés [8] et les adresses IP [9] des serveurs de commande et de contrôle.

[1] https://edition.cnn.com/2020/09/29/health/uhs-cyberattack-ops-down/index.html

[2] https://www.soprasteria.com/newsroom/press-releases/details/cyberattack-information-update

[3] https://us-cert.cisa.gov/ncas/alerts/aa20-302a

[4] https://www.fireeye.com/blog/threat-research/2020/10/kegtap-and-singlemalt-with-a-ransomware-chaser.html

[5] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_mail_subject.txt

[6] https://thedfirreport.com/2020/10/18/ryuk-in-5-hours/

[7] https://www.dsih.fr/article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html

[8] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_fqdn.txt

[9] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_ip.txt

#health#microsoft#ad#dsih