Analyse de la famille de maliciels Bazar (ou Team9)

Depuis plusieurs mois, un nouveau chargeur de maliciels nommé Bazar (ou Team9) est distribué via mail par les créateurs de TrickBot. Ces mails de hameçonnage sont envoyés depuis la plateforme Sendgrid et contiennent des liens pointant soit vers le service Google Docs, soit vers des sites web compromis. 

phishingbazar

Ces liens permettent le téléchargement de l’exécutable BazarLoader sous la forme d’un fichier Word ou PDF.  

payrollbazar

landing

Afin de pousser les utilisateurs à ouvrir le document, un message d’erreur indique de cliquer sur un lien, ce lien renvoie vers un exécutable. L’exécutable possède des icônes afin de tromper l’utilisateur et de l’amener à cliquer dessus. Les extensions étant masquées par défaut sous Windows, l’utilisateur ne verra pas l’extension exécutable.

exec

Celui-ci est chargé du téléchargement du malware Bazar.

Une fois exécuté, BazarLoader va contacter une infrastructure DNS décentralisée hébergée dans la blockchain Emercoin via la résolution de noms de domaines enregistrés avec l’extension “.bazar”. L’adresse IP stockée dans l'enregistrement EmerDNS est utilisée pour télécharger et exécuter BazarBackdoor.

Suite à celà, BazarBackdoor va rester silencieux pendant quelques temps avant de télécharger et exécuter les outils de tests de pénétration et d’exploitation de Cobalt Strike. Cobalt Strike est une application légitime de cybersécurité qui est souvent détournée par des attaquants afin d’effectuer des mouvements latéraux, voler des identifiants et déployer des maliciels sur des réseaux.

Plusieurs caractéristiques permettent de lier BazarLoader / BazarBackdoor à TrickBot : 

  • Infrastructure d’envoi de mails similaire

  • Certificats de signature de code similaires

  • Infrastructure de distribution de maliciel smilaire

  • Utilisation du même algorithme de chiffrement

  • Recoupement du code

L’utilisation du service de résolution DNS décentralisé Emercoin rend difficile, voire impossible, la saisie des noms de domaines liés à Bazar par la justice.