SHEETCREEP : un logiciel malveillant personnalisé du Pakistan avec une faille de sécurité fatale

Dans un exemple frappant d'échec de la sécurité opérationnelle, les chercheurs ont découvert un logiciel malveillant personnalisé sophistiqué qui aurait été développé par le gouvernement pakistanais pour cibler des militaires et des politiques indiens de haut niveau. Le logiciel malveillant, nommé SHEETCREEP, représente une approche innovante du cyberespionnage, mais il s'est finalement compromis en raison d'une surveillance critique de la sécurité.

Découverte de SHEETCREEP

La communauté de la cybersécurité a récemment attiré l'attention sur SHEETCREEP, un logiciel malveillant sur mesure qui semble faire partie d'une cyber-opération parrainée par l'État contre l'Inde. Le logiciel malveillant a été découvert lors de la semaine du partenariat stratégique EAU-Inde, ce qui suggère un timing potentiel ou une pertinence pour les événements diplomatiques entre les deux pays.

Des chercheurs de Securonix, une société leader en cybersécurité, ont identifié le logiciel malveillant après avoir analysé les fichiers suspects envoyés à des cibles indiennes. L'enquête a révélé une opération sophistiquée dotée de capacités techniques importantes, finalement entachée par une erreur fondamentale en matière de sécurité opérationnelle.

Architecture technique de SHEETCREEP

SHEETCREEP utilise un processus d'infection en plusieurs étapes qui commence par un fichier .lnk (raccourci) malveillant. Une fois exécuté, ce raccourci lance du code C# malveillant qui établit la persistance sur le système de la victime. Le malware procède ensuite à l'exfiltration des données sensibles vers un document Google Sheets, qui sert de serveur de commande et de contrôle (C2).

L'utilisation de Google Sheets comme serveur C2 représente une approche innovante qui exploite des services cloud légitimes à des fins malveillantes. Cette technique permet aux opérateurs de maintenir la communication avec les systèmes infectés tout en évitant potentiellement les mesures de sécurité traditionnelles qui pourraient signaler les serveurs ou infrastructures dédiés.

Fonctionnalité	Description
Mode de livraison	Fichiers .lnk malveillants envoyés aux cibles
Exécution	Code C# malveillant exécuté via un raccourci
Persistance	Plusieurs mécanismes pour maintenir l'accès
Exfiltration de données	Document envoyé vers Google Sheets
Communication C2	Google Sheets utilisé comme serveur de commande et de contrôle

La faille de sécurité critique

Malgré sa sophistication technique, SHEETCREEP contient une surveillance de sécurité critique qui a finalement conduit à sa découverte et à son exposition. Le gouvernement pakistanais aurait codé en dur l'URL du serveur Google Sheets C2 et la clé d'accès directement dans la charge utile du malware.

Cette erreur de sécurité opérationnelle est particulièrement flagrante dans le contexte des cyberopérations parrainées par l'État. Des pratiques de sécurité opérationnelles appropriées nécessiteraient l'utilisation de configurations dynamiques ou cryptées qui pourraient être modifiées sans modifier le logiciel malveillant lui-même. Les informations d'identification codées en dur fournissent essentiellement aux chercheurs une feuille de route pour l'ensemble de l'opération.

Pourquoi le codage en dur des informations d'identification est une erreur critique

• Permet aux chercheurs d'identifier l'infrastructure C2
• Révèle le document Google Sheets spécifique utilisé
• Fournit la clé d'accès nécessaire pour contrôler les systèmes infectés
• Expose la liste complète des cibles et des opérations
• Rend impossible la modification de l'infrastructure sans redéployer les logiciels malveillants

Découverte et analyse

Les chercheurs en sécurité qui ont obtenu des échantillons de SHEETCREEP ont immédiatement reconnu l'importance des informations d'identification codées en dur. En examinant ces détails intégrés, ils ont pu accéder au document Google Sheets qui servait de serveur C2 pour le malware.

Le document contenait un trésor d'informations sur l'opération, notamment :

• Liste complète des personnes et organisations ciblées
• Détails sur la campagne d'infection
• Modèles de communication entre les systèmes infectés et les opérateurs
• Données exfiltrées de systèmes compromis

Les chercheurs ont découvert que le gouvernement pakistanais surveillait 91 personnes qu'ils jugeaient importantes, principalement du personnel militaire et politique en Inde. Cette liste fournit des preuves concrètes d'une opération coordonnée de cyberespionnage ciblant des individus spécifiques de grande valeur.

Composant de découverte	Importance
URL Google Sheets codée en dur	Identification de l'infrastructure du serveur C2
Clé d'accès intégrée	Identifiants fournis pour accéder au serveur C2
Liste des cibles	Révélation de 91 individus surveillés
Détails de l'opération	Montré la portée et les objectifs de la campagne

Implications et leçons

L'incident SHEETCREEP sert de mise en garde sur l'importance de la sécurité opérationnelle dans les cyberopérations. Malgré le développement d'un logiciel malveillant techniquement sophistiqué, les opérateurs n'ont pas réussi à mettre en œuvre les pratiques de sécurité de base qui auraient pu protéger leurs opérations.

L'incident met également en évidence la tendance croissante des acteurs parrainés par l'État à exploiter des services cloud légitimes à des fins malveillantes. En utilisant Google Sheets comme serveur C2, les opérateurs ont tenté de combiner leurs activités avec l'utilisation normale du cloud, ce qui pourrait rendre la détection plus difficile.

Pour les professionnels de la cybersécurité, le cas SHEETCREEP offre des informations précieuses sur les tactiques, techniques et procédures (TTP) utilisées par les acteurs parrainés par l'État. Comprendre ces méthodes aide les organisations à développer de meilleures défenses contre des menaces similaires.

Conclusion

SHEETCREEP représente à la fois l'innovation technique et l'échec opérationnel dans le domaine des cyberopérations parrainées par l'État. L'utilisation par le malware de Google Sheets comme serveur C2 fait preuve de créativité dans la résolution des problèmes, mais les informations d'identification codées en dur révèlent une incompréhension fondamentale de la sécurité opérationnelle.

À mesure que les chercheurs continuent d'analyser le malware et son infrastructure associée, l'ampleur de l'opération pourrait devenir plus claire. Entre-temps, l'incident SHEETCREEP rappelle que même les cyberopérations les plus sophistiquées peuvent être annulées par des oublis de sécurité élémentaires.

Pour les organisations et les individus potentiellement dans la ligne de mire des acteurs parrainés par l'État, l'incident souligne l'importance de mesures de cybersécurité robustes, notamment la sécurité du courrier électronique, la protection des points finaux et la formation de sensibilisation des utilisateurs pour détecter et prévenir de telles attaques sophistiquées.

> être le gouvernement pakistanais > développer des malwares personnalisés > utilisé pour cibler des cibles de haut niveau > utilisé contre des militaires et des politiques indiens > nommé SHEETCREEP > envoyer le fichier ppl indien > Semaine du partenariat stratégique EAU-Inde > fichier .lnk malveillant > .lnk exécute du code C Sharp malveillant > fait un tas de trucs pour la persévérance > exfiltre les données vers Google Sheets > Google Sheets peut être utilisé pour contrôler les ordinateurs victimes > Feuille de codes en dur du gouvernement du Pakistan, Google C2 > FEUILLE DE CODES HARDCODES GOOGLE C2 DU GOUVERNEMENT DU PAKISTAN > intégrer la clé d'accès dans la charge utile > INTÉGRER LA CLÉ D'ACCÈS DANS LA CHARGE UTILE > Les nerds des logiciels malveillants le trouvent > regarde à l'intérieur > trouver toutes les cibles du gouvernement pakistanais > surveiller 91 personnes qu'ils jugent importantes ILS ont commencé si fort. POURQUOI AVEZ-VOUS TOUT CODÉ EN HARDCORE. VOUS AVEZ BRÛLÉ VOTRE OPÉRATION https://www.securonix.com/blog/sheetcreep-evolved-google-sheets-rat/ > être le gouvernement du Pakistan > développer des malwares personnalisés > utilisé pour cibler des cibles de haut niveau > utilisé contre des militaires et des politiques indiens > nommé SHEETCREEP > envoyer le fichier ppl indien > Semaine du partenariat stratégique EAU-Inde > fichier .lnk malveillant > .lnk exécute du code C Sharp malveillant > fait un tas de trucs pour la persévérance > exfiltre les données vers Google Sheets > Google Sheets peut être utilisé pour contrôler les ordinateurs victimes > Feuille de codes en dur du gouvernement du Pakistan, Google C2 > FEUILLE DE CODES HARDCODES GOOGLE C2 DU GOUVERNEMENT DU PAKISTAN > intégrer la clé d'accès dans la charge utile > INTÉGRER LA CLÉ D'ACCÈS DANS LA CHARGE UTILE > Les nerds des logiciels malveillants le trouvent > regarde à l'intérieur > trouver toutes les cibles du gouvernement pakistanais > surveiller 91 personnes qu'ils jugent importantes ILS ont commencé si fort. POURQUOI AVEZ-VOUS TOUT CODÉ EN HARDCORE. VOUS AVEZ BRÛLÉ VOTRE OPÉRATION https://www.securonix.com/blog/sheetcreep-evolved-google-sheets-rat/