ConnexionNotDoor - Quand APT28 transforme Outlook en porte d'entrée secrète
J’sais pas si vous êtes un adepte d’Outlook au bureau, mais si c’est le cas, bingo, les hackers russes d’APT28 dont je vous ai causé y’a pas longtemps, aussi !
Mais attention, ils ne l’utilisent pas pour vous rappeler la réunion du lundi matin, bien au contraire, puisqu’ils ont concocté NotDoor, une backdoor qui transforme votre client mail préféré en système de commande et contrôle pour leur botnet.
C’est LAB52 qui a dévoilé le stratagème hier, et en jetant un œil à la mécanique de ce malware, on réalise qu’APT28 ( alias Fancy Bear, le groupe associé au GRU russe ) n’a pas perdu une miette de sa créativité débridée.
NotDoor est donc une backdoor VBA qui se cache dans des macros Outlook qui semblent tout ce qu’il y a de plus légitimes. Et une fois en place, elle attend sagement l’arrivée d’un email contenant un mot-clé spécifique dans votre boîte de réception. D’après l’analyse technique de LAB52 , l’échantillon utilisait “Daily Report” comme déclencheur, mais le malware peut être paramétré avec plusieurs déclencheurs différents. Et une fois le mot magique repéré, NotDoor décortique le contenu de l’email pour en extraire des commandes à exécuter sur votre machine.
Ce qui rend cette manœuvre particulièrement sournoise, c’est la méthode de déploiement car les attaquants utilisent une technique de DLL side-loading avec OneDrive.exe, le binaire signé de Microsoft. En clair, ils font charger une DLL malveillante (SSPICLI.dll) à un programme légitime pour esquiver les détections. Cette DLL installe alors ensuite la backdoor VBA et désactive plusieurs protections de sécurité relatives aux macros dans Outlook. C’est bien trouvé non ?
Une fois installé, NotDoor offre ainsi aux attaquants un arsenal complet : Exfiltration de données, upload de fichiers, exécution de commandes arbitraires sur le système compromis. Les fichiers subtilisés sont ensuite automatiquement envoyés à une adresse ProtonMail contrôlée par les hackers ( a.matti444@proton.me pour les curieux), puis effacés de la machine victime pour ne laisser aucune trace. Le malware crée également un répertoire caché dans %TEMP%\Temp pour stocker temporairement sa petite collecte avant de les envoyer et de faire le ménage derrière lui.
Pour maintenir sa persistance et rester discret, NotDoor modifie les paramètres du registre Windows pour désactiver les avertissements de sécurité, activer les macros au démarrage d’Outlook et supprimer les boites de dialogue d’alerte. L’obfuscation du code est aussi de la partie puisque les noms de variables et de fonctions sont remplacés par des chaînes alphabétiques aléatoires, et les développeurs ont utilisé une technique d’encodage assez originale qui consiste à ajouter des caractères alphanumériques aléatoires devant des chaînes Base64 valides. D’où le nom “NotDoor”, d’ailleurs, qui vient du mot “Nothing” trouvé dans le code par les chercheurs.
Plusieurs entreprises de pays membres de l’OTAN ont déjà été compromises par NotDoor, ce qui n’est malheureusement pas surprenant quand on sait qu’APT28 est particulièrement actif depuis le début de la guerre en Ukraine. Les agences de renseignement occidentales ont d’ailleurs récemment uni leurs forces pour dénoncer une vaste campagne de ce groupe ciblant les entreprises de logistique et de technologie qui aident l’Ukraine.
Pour se prémunir de NotDoor, LAB52 préconise donc de désactiver les macros par défaut dans Outlook, de surveiller toute activité inhabituelle du client mail et d’inspecter les emails contenant des déclencheurs potentiels. Il est également crucial de maintenir vos systèmes à jour, car même si Microsoft n’a pas encore publié de correctif spécifique pour cette technique, les mises à jour de sécurité régulières restent votre première ligne de défense.
Récemment, APT28 a été lié à LameHug , l’un des premiers malwares à utiliser des modèles de langage (les fameux LLMs qu’on aime tant ^^). On voit donc bien qu’ils ne se contentent pas de recycler leurs vieilles techniques mais innovent constamment pour contourner les défenses modernes.
APT28 / Fancy Bear , un groupe de hackers éthatiques que vous connaissez bien…
Bref, la prochaine fois que vous recevez un email avec “Daily Report” dans le contenu, jetez-y un œil deux fois car ça pourrait être juste le rapport habituel de votre collègue… ou une invitation des services de renseignement russes à visiter votre infrastructure informatique.
Après un premier concours vous offrant des lots Intel / Asus / Predator qui a vu deux heureux gagnants parmi notre lectorat, nous continuons notre tour d'horizon de nos partenaires avec cette fois Corsair. L'été n'a pas été profitable qu'à ces deux chanceux, puisque nous avons battu en Août notre n...
Il y a seulement deux petits jours, nous vous expliquions que les processeurs Ryzen 5 9500F et Ryzen 7 9700F d'AMD étaient visiblement tout proches d'être disponibles, puisque certains revendeurs commençaient à les ajouter à leurs catalogues. Un phénomène qui continue à se propager durant ces derniè...
Doucement, mais surement, chaque acteur de l'industrie du semiconducteur se prépare, à son rythme, à l'adoption des EUV High-NA (High Numerical Aperture Extreme Ultraviolet Lithography). Ayant misé beaucoup sur cette évolution technologique, notamment pour son futur procédé 14A, Intel avait été, en...
