Nouvelle campagne malveillante, nouveau loader inconnu. Kaspersky dit avoir identifié StrikeShark, une opération qui utilise un chargeur jusque-là non documenté baptisé SharkLoader pour installer Cobalt Strike Beacon sur des systèmes compromis. L’éditeur indique que les premières infections ont visé des organisations en Indonésie, à Taiwan, à Hong Kong, au Liban, en Syrie, en Colombie, en Macédoine du Nord, au Népal et en Serbie.
L’entreprise précise ne rattacher cette activité à aucun groupe APT (menace persistante avancée) connu à ce stade. Les vecteurs initiaux observés mêlent exploitation de services exposés sur Internet et distribution de droppers déguisés en logiciels légitimes.
Points clés
- Campagne suivie sous le nom StrikeShark, non attribuée à un groupe APT connu
- Loader inédit SharkLoader chargé via DLL side-loading avec API hooks anti-détection
- Vecteurs : failles Exchange, SharePoint, Openfire et faux installateurs Google Update ou Cisco AnyConnect
- Objectif final : déployer Cobalt Strike Beacon sur des victimes dans neuf pays
Des applications exposées et de faux installateurs
Selon Kaspersky, les attaquants ont exploité des vulnérabilités dans des applications accessibles depuis Internet, notamment Microsoft Exchange, Microsoft SharePoint et des serveurs Openfire. Dans d’autres cas, ils ont diffusé des droppers se faisant passer pour des installateurs Google Update ou Cisco AnyConnect. Certains échantillons analysés contenaient des documents PDF destinés à tromper la victime et à masquer l’installation du code malveillant.
Le schéma décrit par les chercheurs repose ensuite sur plusieurs étapes. Après l’intrusion, SharkLoader utilise du DLL side-loading avec des applications Windows légitimes pour charger des modules chiffrés. Ces modules déchiffrent d’autres composants, installent des API hooks pour contourner les mécanismes de détection, puis injectent et exécutent le Beacon de Cobalt Strike.
« La complexité technique de SharkLoader reflète une conception de malware sophistiquée recourant à des techniques avancées », indique Kaspersky dans son communiqué.
Un outillage connu, déjà très utilisé par les attaquants
Cobalt Strike est à l’origine une suite commerciale de tests d’intrusion. Son composant Beacon est régulièrement détourné par des groupes malveillants pour la commande à distance, la reconnaissance, les déplacements latéraux et l’exfiltration de données. Dans StrikeShark, il sert d’étape finale après le chargement de SharkLoader.
Le recours à des exploits publics et à des chaînes d’infection par droppers n’a rien d’exceptionnel. La combinaison observée dans cette campagne permet toutefois aux attaquants de passer vite d’un accès initial à un contrôle plus large du système. Les équipes de recherche en menaces de l’éditeur disent poursuivre l’analyse de l’activité et le suivi de l’infrastructure associée.
