Les logiciels malveillants utilisent de plus en plus TLS pour masquer la communication
Les experts en sécurité travaillant avec Sophos ont récemment publié un rapport sur l'évolution des tendances en matière de malwares et de ransomwares. La publication montre qu'il y a eu une augmentation très importante des logiciels malveillants qui utilisent TLS, ou sécurité de la couche de transport, pour obscurcir la communication et éviter la détection.
TLS fait référence au protocole de chiffrement qui gère la communication dans HTTPS normal, successeur de SSL ou couche de sockets sécurisés. TLS est utilisé dans un certain nombre d'autres applications en dehors de la communication HTTP sécurisée.
Selon les statistiques publiées par Sophos, les logiciels malveillants qui utilisent TLS pour la communication, qu'il s'agisse de recevoir des commandes de son serveur C2 ou de télécharger des charges utiles supplémentaires, ont presque doublé. Il y a un an, environ 24% des logiciels malveillants utilisaient le cryptage TLS dans leurs communications, alors que ce chiffre a presque doublé, à 46%.
L'adoption croissante de TLS est due au fait que cette couche supplémentaire d'obscurcissement rend d'autant plus difficile pour les chercheurs en sécurité de détecter et d'empêcher la propagation de logiciels malveillants, y compris les ransomwares.
Les logiciels malveillants peuvent utiliser TLS dans tous ses principaux modes de communication, qu'il s'agisse de télécharger des données volées à partir du réseau compromis, de communiquer avec son serveur C2 ou de télécharger des charges utiles supplémentaires sur le système de la victime.
Sophos a déclaré qu'une grande partie du problème avec TLS étant plus répandu dans les logiciels malveillants est que les opérateurs de logiciels malveillants utilisent de plus en plus de plates-formes Web et cloud légitimes qui sont intrinsèquement sécurisées avec TLS. Les solutions et services cloud sont couramment utilisés à la fois pour le déchargement des données volées et pour l'hébergement des charges utiles malveillantes.
L'équipe de sécurité de Sophos déclare en outre qu'au cours des trois derniers mois, plus de la moitié de tous les serveurs C2 ont utilisé TLS et HTTPS pour communiquer avec leurs charges utiles malveillantes associées. Un exemple de logiciel malveillant utilisant des services légitimes à ses fins est une souche particulière du ransomware BitLocker qui a téléchargé ses scripts malveillants à partir d'une feuille de calcul hébergée sur Google Docs, en utilisant à nouveau le cryptage TLS dans le processus.
Ceci n'est qu'un exemple illustratif fourni par Sophos. La société a également publié des statistiques sur l'utilisation des destinations d'appels de logiciels malveillants. Parmi les grandes solutions d'hébergement légitimes, Google Cloud est en tête avec une part de 9%, suivi du fournisseur de télécommunications indien BSNL.
