Kazuar 3.0 le bouton modulaire P2P qui persiste, camoufle et vole l'intelligence

La transformation de la porte arrière connue sous le nom de Kazuar en un botnet modulaire pair à pair par le groupe russe connu sous le nom de Blizzard secret modifie les règles du jeu pour les défenses des organisations publiques et privées: il n'est pas seulement un outil d'accès, mais une plate-forme conçue pour persister, passer inaperçu et extraire l'intelligence avec un contrôle fin par l'opérateur.

Kazuar a une longue histoire - la recherche remonte à sa ligne de code jusqu'au milieu des années 2000 et son utilisation a été documentée depuis 2017 - et sa relation avec les familles attribuées aux services russes tels que Turla ou Uroburos fait de chaque nouvelle technique un indicateur d'une campagne de pointe. Le changement le plus pertinent dans la dernière variante est son architecture à trois modules (Kernel, Bridge and Worker) qui permet des choix internes d'un « leader » dans le réseau compromis et qui réduit considérablement le bruit des communications externes en les concentrant sur un seul nœud.

Ce leader / conception élue et l'utilisation de canaux légitimes internes Windows IPC tels que les pipes nommées, les mailslots et les messages Windows, crypté avec AES et emballé avec Protobuf, chercher mélange avec la télémétrie normale et éviter les contrôles fondés sur les signatures ou les pics de trafic sortant. Le module Bridge agit comme mandataire du C2 en utilisant HTTP, WebSockets ou Exchange Web Services (EWS), tandis que les Workers lancent la collection : keylogging, screenshots, post and document search and extraction, network reconnaissance, and process injection techniques.

La conséquence pratique pour les défenseurs est claire: les techniques traditionnelles basées sur des signatures ou des alertes par de multiples hôtes parlant perdent de l'efficacité. La menace est persistante et dirigée, visant à accumuler des postes et des documents de valeur politique ou stratégique pour de longues périodes, de sorte que la détection précoce et le confinement rapide sont critiques.

Au niveau opérationnel et technique, il convient de prioriser la détection comportementale et les capacités de télémétrie enrichies : surveiller les modèles de comportement des processus, la corrélation des événements inhabituels de la CIB, la duplication des processus qui effectuent des injections, la création de dispositifs de mise en scène sur disque et l'augmentation des données à partir d'un seul point de sortie. Les enregistrements d'échange et les procurations pour le trafic inattendu de WebSocket et d'EWS devraient être examinés, et quels hôtes agissent comme les seuls émetteurs externes à l'intérieur de segments qui, par contre, sont principalement internes.

Les mesures spécifiques qui devraient être mises en œuvre par les équipes de sécurité comprennent le renforcement des contrôles EDR avec des règles de performance, l'activation et la centralisation des journaux Windows (y compris les événements de processus, AMSI / ETW / WLDP si disponible) pour détecter les contournements, bloquer ou restreindre EWS si non requis, appliquer un filtrage d'évacuation strict et des listes de proxénétismes et de pare-feu autorisés, et les réseaux de segment pour réduire la possibilité qu'un leader interne puisse décharger l'information de l'ensemble du sous-réseau.

Il ne suffit pas d'avoir des patchs et des signatures: il faut supposer qu'une telle infection cherche à rester et à se déplacer latéralement de façon évidente. C'est pourquoi l'hygiène des titres de compétence, l'accès administratif à plusieurs facteurs, la rotation des secrets, l'examen des comptes avec des privilèges persistants et les plans d'intervention qui comprennent l'isolement rapide, la saisie et la restauration médico-légales à partir de copies vérifiées sont essentiels. Il est également recommandé d'examiner les configurations de Exchange et d'atténuer les services anciens ou inutiles qui peuvent être utilisés pour les communications clandestines.

Pour ceux qui ont besoin d'approfondir la recherche technique et les recommandations officielles, Microsoft a publié une analyse détaillée de cette variante Kazuar qui décrit ses options d'architecture et de configuration, utiles pour prioriser les détections: Microsoft: Kazuar - Anatomie d'un botnet national. En outre, pour le contexte des groupes ayant des chevauchements historiques et des tactiques d'espionnage, la collection MITRE ATT & CK offre une cartographie utile des techniques et des procédures : MITRE ATT & CK - Turla (G0010).

En fin de compte, l'émergence d'une plate-forme modulaire P2P comme Kazuar rappelle que les opérations de renseignement qui attaquent les gouvernements et la diplomatie exigent une position de défense qui combine télémétrie profonde, segmentation, contrôles de sortie et exercices de détection et de réponse réguliers. La détection d'un "leader" qui parle et des modèles internes cryptés de la CIB peut être le signal d'interrompre une campagne avant que des volumes de données sensibles aient été exfiltrés.