Microsoft a publié une analyse de NeedyMantis, le malware utilisé par les pirates liés à la Chine derrière l'attaque de la chaîne d'approvisionnement de Daemon Tools. Le rapport, relayé par SecurityWeek, ajoute une nouvelle couche à une histoire qui a commencé lorsqu'un logiciel de confiance s'est avéré transporter quelque chose d'indésirable. Pour les utilisateurs Windows ordinaires, l'attaque de la chaîne d'approvisionnement NeedyMantis Daemon Tools est une étude de cas utile sur la façon dont un téléchargement légitime peut devenir la première étape d'une compromission.

Cet article s'en tient à ce qui a été publiquement rapporté jusqu'à présent. Certains détails techniques restent limités dans les sources disponibles, et nous signalons les points où le tableau demeure incomplet.

Comment NeedyMantis est arrivé sur le radar

Le chemin de la découverte compte ici. Selon les reportages sur les conclusions de Microsoft, l'entreprise a trouvé NeedyMantis en analysant les indicateurs associés à la compromission de la chaîne d'approvisionnement de Daemon Tools, que Kaspersky avait enquêtée. En d'autres termes, Microsoft a suivi la piste de l'incident initial et identifié une famille de malwares distincte liée à la même activité.

Microsoft suit l'activité Daemon Tools sous la désignation Storm-3069, selon la couverture secondaire du rapport. Un point de cette couverture mérite d'être souligné : Microsoft n'aurait pas observé NeedyMantis lui-même distribué via une compromission de la chaîne d'approvisionnement. L'activité de la chaîne d'approvisionnement est décrite comme une seule partie de l'opération globale. C'est une distinction utile, car elle sépare la manière dont les attaquants ont obtenu un point d'ancrage de ce qu'ils ont fait une fois à l'intérieur.

Pour la découverte originale, notre couverture précédente de l'installateur officiel de Daemon Tools porteur d'une porte dérobée explique comment Kaspersky a découvert que les installateurs avaient été altérés.

Pourquoi Daemon Tools constituait une cible utile

Daemon Tools est un logiciel bien connu que les gens téléchargent et installent sur leurs propres machines, souvent avec des droits d'administrateur. Cette combinaison est attrayante pour un attaquant. Si l'installateur provient de la source officielle et semble légitime, la plupart des gens n'ont aucune raison d'en douter.

C'est le problème fondamental des attaques de la chaîne d'approvisionnement. Les habitudes de sécurité se concentrent généralement sur l'évitement des sites web douteux et des pièces jointes suspectes. Ici, les signaux de confiance sur lesquels les utilisateurs s'appuient étaient précisément ce qui était exploité. Un utilisateur qui a tout fait « correctement » en se rendant sur la source officielle pouvait tout de même se retrouver avec un installateur compromis.

Le risque ne se limite pas non plus à un seul produit. Les attaquants qui compromettent un éditeur de logiciels peuvent atteindre chaque client qui télécharge la version affectée, ce qui leur donne une échelle sans avoir besoin de hameçonner quiconque individuellement.

Ce que l'analyse de Microsoft révèle sur le malware

D'après la couverture du rapport de Microsoft, NeedyMantis est décrit comme une famille de malwares modulaire post-compromission. Cette formulation est importante. « Post-compromission » signifie qu'il est utilisé après que les attaquants ont déjà accès à un système, pour les aider à maintenir cet accès et à mener d'autres activités dans des réseaux ciblés. « Modulaire » signifie que des capacités peuvent être ajoutées ou échangées, de sorte que le malware peut être adapté à la cible plutôt que de se comporter de la même manière sur chaque machine.

Certains rapports secondaires mentionnent également des techniques telles que le DLL side-loading et les chargeurs multi-étapes. Ce sont des moyens courants de faire passer du code malveillant pour un logiciel légitime et d'échapper à une détection simple. Nous n'avons pas pu confirmer l'intégralité des détails techniques à partir des sources à notre disposition, aussi les lecteurs qui souhaitent des précisions devraient consulter l'analyse publiée par Microsoft elle-même.

Ce que les reportages rendent clair, c'est le schéma : un point d'ancrage dans la chaîne d'approvisionnement, suivi d'outils plus sélectifs pour la persistance. C'est plus délibéré que le malware commercial typique, et cela suggère que l'opération visait des cibles spécifiques plutôt qu'une diffusion large.

Ce que cela signifie pour vous

La plupart des utilisateurs domestiques sont peu susceptibles d'être la cible principale d'un framework modulaire et ciblé. Néanmoins, quiconque a installé Daemon Tools depuis une source affectée a des raisons de vérifier son système, et la leçon plus large s'applique à chaque téléchargement que vous effectuez.

Un installateur signé et officiel est un signal fort, mais ce n'est pas une garantie. Si le processus de compilation d'un éditeur est compromis, du code malveillant peut arriver avec une apparence valide. C'est pourquoi les défenses en couches importent plus que n'importe quelle vérification de confiance unique.

Le même thème est apparu dans notre rapport sur la violation de TrueConf et ses installateurs trojanisés, un autre cas où les attaquants ont utilisé le propre canal de distribution d'un éditeur pour dissimuler des portes dérobées.

Comment réduire votre exposition aux installateurs trojanisés

Vous ne pouvez pas inspecter chaque installateur vous-même, mais quelques habitudes réduisent considérablement votre risque :

  • Consultez les avis des éditeurs. Si un éditeur ou une société de sécurité annonce une version compromise, désinstallez la version affectée et suivez les recommandations officielles de nettoyage.
  • Maintenez Windows et votre logiciel de sécurité à jour. La protection des points de terminaison peut détecter un comportement suspect après l'installation, même lorsque l'installateur semblait propre.
  • Limitez les droits d'administrateur. L'utilisation quotidienne d'un compte standard rend plus difficile pour un installateur malveillant d'apporter des modifications profondes au système.
  • Supprimez les logiciels que vous n'utilisez plus. Chaque programme installé est un point d'entrée potentiel, et les anciens utilitaires sont faciles à oublier.
  • Téléchargez uniquement depuis la source officielle. Cela ne résout pas les attaques de la chaîne d'approvisionnement, mais cela évite le problème bien plus courant des faux sites de téléchargement.
  • Surveillez les comportements inhabituels. Une activité réseau inattendue, de nouveaux services ou des processus inconnus après une installation méritent un examen plus attentif.

Un VPN ne protège pas contre un installateur compromis, puisque le problème est le logiciel sur votre appareil plutôt que la connexion. Considérez-le comme un outil de confidentialité parmi d'autres, et non comme une solution à ce type de menace.

À retenir

La dissection de NeedyMantis par Microsoft montre que l'attaque de la chaîne d'approvisionnement NeedyMantis Daemon Tools n'était pas un simple incident d'altération isolé, mais faisait partie d'une opération plus vaste avec des outils de suivi capables. Vérifiez ce que vous téléchargez, maintenez vos systèmes corrigés, et consultez les avis des éditeurs et des sociétés de sécurité pour les logiciels sur lesquels vous comptez. Pour le contexte, lisez notre couverture précédente de la porte dérobée de l'installateur Daemon Tools, et consultez l'article sur la violation de TrueConf pour un exemple parallèle de la même tactique.