Cette semaine, CTI se penche sur deux groupes malveillants spécialisés dans les attaques de type « Business Email Compromise » (BEC) , à savoir « », qui mènent actuellement des campagnes mondiales et multilingues. Nous allons maintenant vous présenter une analyse détaillée de la dernière campagne menée par le groupe nord-coréen APT37’s (également connu sous les noms de ScarCruft et RedEyes), dans le cadre de laquelle cet acteur malveillant diffuse un nouveau logiciel malveillant furtif, baptisé M2RAT , en recourant à une combinaison intéressante de stéganographie et d’exploitation de vulnérabilités au cours de son opération de cyberespionnage. Pour finir, nous conclurons par une analyse détaillée de la dernière attaque visant un référentiel de logiciels open source : il s'agit d'une campagne ayant donné lieu à la publication de cinq paquets malveillants, contenant tous le logiciel malveillant « W4SP Stealer » destiné au vol d'informations, sur les sites 27 janvier et 29 janvier 2023.
1. Des groupes BEC mènent des attaques multilingues consistant à usurper l'identité de dirigeants, ciblant des entreprises du monde entier
Deux groupes spécialisés dans les attaques de type « Business Email Compromise » (BEC) utilisent désormais des outils de traduction automatisée pour faciliter, simultanément et dans différentes langues, des fraudes aux paiements et des détournements de salaires.
Le BEC reste l'une des cybermenaces qui connaît la croissance la plus rapide et qui cause le plus de dommages financiers. Le rapport « » du FBI estime (s'ouvre dans un nouvel onglet) que les escroqueries de type BEC ont entraîné plus de 43 milliards de dollars de pertes depuis 2016 — année où les attaques de type BEC se sont classées pour la première fois (s'ouvre dans un nouvel onglet) en tête de la liste établie par le FBI des cybercrimes les plus coûteux aux États-Unis. Il occupe cet emplacement depuis lors.
Des chercheurs constatent des attaques ciblées et multilingues
Des chercheurs d’Abnormal Intelligence auraient identifié deux groupes recourant à l’usurpation d’identité de cadres supérieurs dans le cadre d’attaques de type « BEC » ( ) visant des entreprises internationales. (s’ouvre dans un nouvel onglet) Ces groupes sont suivis par la société sous les noms de « Midnight Hedgehog » — spécialisé dans la fraude aux paiements — et « Mandarin Capybara » — un groupe spécialisé dans les attaques par détournement de paie.
Au total, ces deux groupes sont à l'origine de campagnes de type BEC menées dans pas moins de 13 langues différentes, notamment le danois, le néerlandais, l'estonien, le français, l'allemand, le hongrois, l'italien, le norvégien, le polonais, le portugais, l'espagnol et le suédois.
TTP observées
Les cyberattaques multilingues à grande échelle visant des victimes partout dans le monde relevaient autrefois de la compétence des acteurs malveillants les plus redoutables. Il s'agissait de réseaux de cybercriminalité hautement qualifiés et sophistiqués, disposant de budgets importants et d'un accès à des ressources considérables. En effet, la rédaction de plusieurs versions convaincantes d'e-mails en langues étrangères obligeait souvent ces groupes à recruter des linguistes ou à employer des locuteurs natifs au sein de leur personnel.
Toutefois, les récentes avancées technologiques rendent ce processus beaucoup plus simple et moins coûteux à mettre en œuvre. En conséquence, les obstacles qui empêchaient les cybercriminels les moins expérimentés de se lancer dans des opérations aussi ambitieuses se sont progressivement estompés.
La disponibilité de technologies marketing efficaces et peu coûteuses, associée à la multiplication des applications de traduction d'une grande précision, a eu pour effet de multiplier considérablement les capacités des auteurs de cybermenaces, leur permettant ainsi d'intensifier rapidement leurs activités et de mener des campagnes aux conséquences financières désastreuses à l'échelle mondiale. Par ailleurs, l’avènement de l’ , de l’apprentissage automatique et l’intégration de ces technologies dans les outils de traduction, dans le but d’améliorer le contexte et le réalisme, ont permis aux pirates de manipuler plus facilement des plateformes basées sur l’IA telles que ChatGPT (s’ouvre dans un nouvel onglet) à des fins malveillantes.
Les joueurs
Le rapport d'Abnormal Intelligence porte sur les activités de deux groupes multilingues spécialisés dans les escroqueries de type BEC, chacun ayant sa propre spécialité.
Midnight Hedgehog (spécialité : fraude aux paiements à l'échelle mondiale)
Midnight Hedgehog recourt principalement à une tactique désormais courante dans les escroqueries par ingénierie sociale à but lucratif, en utilisant l’usurpation d’identité de dirigeants (s’ouvre dans un nouvel onglet) afin d’inciter les destinataires à effectuer des paiements pour des services fictifs — généralement en se faisant passer pour le PDG d’une entreprise.
Les comédiens de Midnight Hedgehog semblent mener des recherches approfondies sur les fonctions et les responsabilités liées aux postes occupés par leurs cibles. Ils se font une idée précise de la relation entre la cible et le PDG afin de créer des comptes de messagerie falsifiés très convaincants qui imitent des comptes authentiques.
Ces attaques visent généralement les responsables financiers ou d'autres cadres supérieurs chargés de lancer les transactions de l'entreprise, ou encore des employés de rang inférieur ou inexpérimentés qui sont également habilités à prendre des décisions financières et à effectuer des paiements au nom de l'organisation.
Les activités de Midnight Hedgehog remonteraient, selon certaines sources, au moins à l'époque d' janvier 2021. Les attaques provenaient de comptes hébergés par de nombreux fournisseurs de messagerie en ligne gratuits, tels que Gmail, Yandex, Earthlink et Web.de. Les noms de domaine créés par le groupe ont été enregistrés auprès de NameCheap ou de GoDaddy. Les données d'Abnormal Intelligence indiquent que les membres du groupe sont répartis dans plusieurs pays, notamment le Royaume-Uni, les États-Unis, le Canada et le Nigeria.
Mandarin Capybara (spécialité : attaques par détournement de la paie internationale)
Mandarin Capybara utilise également un large éventail de langues dans ses attaques pour se faire passer pour des dirigeants d'entreprise. Cependant, la principale différence réside dans le fait que Mandarin Capybara se livre à un détournement de salaires, et non à une fraude aux paiements. Cela implique de cibler les collaborateurs des ressources humaines et de les convaincre de modifier les coordonnées bancaires associées aux comptes contrôlés par le dirigeant, afin de les remplacer par celles d'un compte contrôlé par les pirates.
Une autre différence entre les deux groupes réside dans les schémas de ciblage de Mandarin Capybara. Contrairement à « Midnight Hedgehog », qui n'a été observé qu'en ciblant des entreprises européennes avec des messages rédigés dans une langue autre que l'anglais, les victimes de « Mandarin Capybara » sont réparties sur une vaste zone géographique, ce qui affecte des entreprises du monde entier.
En ce qui concerne les premiers e-mails de Mandarin Capybara, ces messages ne diffèrent guère de bon nombre des modèles de détournement de paie utilisés quotidiennement par les réseaux de BEC. En général, l'attaquant demande s'il peut mettre à jour son compte de paie, les modifications devant prendre effet avant le prochain jour de paie.
Il est intéressant de noter qu’Abnormal Intelligence indique avoir observé plusieurs cas dans lesquels le groupe a lancé une campagne de type BEC dans une première langue, avant de lancer peu après une deuxième campagne, à partir du même compte de messagerie (mais dans une deuxième langue), ciblant une autre organisation.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Les attaques de type BEC occupent depuis sept années consécutives la première place parmi les formes de cybercriminalité causant le plus de préjudices financiers. » À ce titre, CTI estime que tout éclairage que nous pouvons apporter sur la méthodologie de ce type particulier de cybercriminels constitue une information précieuse — en particulier lorsqu’il s’agit de groupes comme ceux-ci, qui font preuve d’une affinité pour l’innovation et manifestent une volonté avérée de recourir à des tactiques, techniques et procédures (TTP) novatrices. »
« Malheureusement, il n'existe aucun fournisseur ni aucune solution technique capable, à lui seul, de vous protéger, vous et votre entreprise, contre les attaques de type BEC. » « Toutefois, des cas comme celui-ci soulignent l’importance sans cesse croissante d’une formation et d’une sensibilisation à l’ingénierie sociale qui soient solides, adaptées aux fonctions, ciblées et dispensées régulièrement. »
2. Les pirates informatiques de RedEyes utilisent un nouveau logiciel malveillant pour voler des données sur Windows et les téléphones
Un rapport récent intitulé « » (s'ouvre dans un nouvel onglet), publié par le Centre d'intervention d'urgence en matière de sécurité (ASEC) d'AhnLab, analyse en détail la campagne APT37’s . La campagne APT37, également connue sous le nom de « RedEyes », utilise un nouveau logiciel malveillant M2RAT capable de contourner les détections ainsi que la stéganographie dans le cadre de sa campagne de cyberespionnage.
APT37 is a Un groupe nord-coréen soutenu par l'État, « » (s'ouvre dans un nouvel onglet) , qui mène des campagnes de cyberespionnage depuis au moins 2012. Ce groupe a déjà pris pour cible des victimes en Corée du Sud, au Japon, au Vietnam, en Russie, au Népal, en Chine, en Inde, en Roumanie, au Koweït et dans d'autres régions du Moyen-Orient. Ce groupe est connu pour voler des informations personnelles stockées sur les ordinateurs ainsi que des données provenant des téléphones portables de certaines personnes.
Présentation de la campagne
Dans le cadre de cette attaque, APT37 exploite une ancienne vulnérabilité d'EPS (CVE-2017-8291 (s'ouvre dans un nouvel onglet)), ainsi que la stéganographie pour diffuser du code malveillant.
La faille exploitée lors de cette attaque est d'ailleurs assez ancienne et a depuis fait l'objet d'un correctif. L'auteur de la menace semble avoir tenté cette attaque en sachant que la personne utilisait une version obsolète et qu'elle était donc vulnérable. Le nouveau logiciel malveillant identifié dans le cadre de cette campagne a été baptisé « M2RAT (Map2RAT) », d'après le nom de la section de mémoire partagée exploitée lors de l'attaque.
Les principales fonctions du M2RAT sont l'enregistrement des frappes clavier, la fuite de données, l'exécution et l'arrêt de processus, ainsi que la capture d'écran. Ce programme malveillant ne stocke pas les données issues de l'enregistrement des frappes clavier ni les captures d'écran sur le système de la victime, mais les transmet au serveur C2 de l'attaquant afin de ne laisser aucune trace sur le système.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le modèle M2RAT utilisé dans cette campagne présente certaines caractéristiques intéressantes. » Il convient notamment de souligner l'utilisation d'une section mémoire visant à réduire au minimum les échanges avec la C2. Cette fonctionnalité complique encore davantage l’analyse pour les chercheurs en sécurité, les obligeant à analyser en plus cette section de mémoire pour obtenir une vue d’ensemble des commandes utilisées par le logiciel malveillant. L’utilisation de ce logiciel malveillant par APT37’s témoigne clairement de sa capacité à renouveler en permanence son arsenal de logiciels malveillants afin d’empêcher que ses campagnes ne soient facilement détectables. »
3. Les développeurs sont la cible du logiciel malveillant « W4SP Stealer » présent dans des paquets PyPI malveillants
Dans un nouvel exemple illustrant la multitude de menaces qui pèsent sur la chaîne d’approvisionnement des logiciels libres, les chercheurs en sécurité de Fortinet (s’ouvre dans un nouvel onglet) ont découvert « plusieurs nouvelles attaques de type 0-day dans les paquets PyPI (Python Package Index) orchestrées par l’auteur de logiciels malveillants ‘Core1337’, qui a publié les paquets suivants : ‘3m-promo-gen-api’, « Ai-Solver-gen », « hypixel-coins », ‘httpxrequesterv2’ et « httpxrequester ». »
Ces attaques ont été rendues publiques au cours d'une brève période comprise entre le 10 janvier 27-29. Chacun de ces paquets malveillants contenait W4SP Stealer (s'ouvre dans un nouvel onglet), un logiciel malveillant destiné au vol d'informations.
Détails de l'attaque
Cinq paquets malveillants ont été découverts sur le référentiel PyPI, un référentiel de logiciels destiné à héberger des paquets créés dans le langage de programmation Python. Cet outil a pour but de permettre aux développeurs de trouver des paquets existants qui répondent aux différentes exigences de leurs projets, ce qui leur fait gagner du temps et leur évite des efforts.
Ces paquets ont été supprimés dès leur découverte, mais pas avant que des centaines de développeurs aient téléchargé ce logiciel malveillant. Selon les chercheurs de Fortinet, chaque paquet comportait une version et une description vide, et tous contenaient un code malveillant similaire.
L'analyse de Fortinet a permis de déterminer que, une fois installés, ces logiciels tentent de voler les mots de passe enregistrés dans les navigateurs, les cookies et les portefeuilles de cryptomonnaies. BleepingComputer a confirmé que le type de logiciel malveillant destiné au vol d'informations contenu dans ces paquets malveillants est le « W4SP Stealer » — une variante de logiciel malveillant de ce type qui a été largement utilisée dans le cadre de campagnes consistant à injecter des paquets logiciels malveillants dans des référentiels de logiciels open source (notamment , PyPI (s'ouvre dans un nouvel onglet),et ).
W4SP Voleur
Selon BleepingComputer, ce logiciel malveillant récupère des données provenant de navigateurs tels que Chrome, Opera et Edge. Ensuite, il tente d'extraire les cookies d'authentification de Discord, Discord Canary, Discord PTB et du client LightCord. Ensuite, le logiciel malveillant tentera de voler les portefeuilles de cryptomonnaies Atomic Wallet et Exodus, ainsi que les cookies du jeu « The Nations Glory ».
Ce logiciel malveillant cible également une liste de sites web afin de récupérer toute autre information sensible sur les utilisateurs susceptible d'aider les pirates à pirater des comptes.
Les sites visés comprennent, sans s'y limiter, les suivants :
- Coinbase.com
- Gmail.com
- YouTube.com
- Instagram.com
- PayPal.com
- Telegram.com
- Hotmail.com
- Outlook.com
- Aliexpress.com
- ExpressVPN.com
- eBay.com
- Playstation.com
- Xbox.com
- Netflix.com
- Uber.com
Une fois qu’il a recueilli suffisamment de données sur l’hôte compromis, le logiciel malveillant transmet les informations dérobées via un webhook Discord, qu’il publie sur le serveur de l’attaquant.
Selon BleepingComputer, « les webhooks de Discord permettent aux utilisateurs d'envoyer des messages contenant des fichiers vers un serveur Discord et font souvent l'objet d'abus visant à voler des fichiers, des jetons Discord et d'autres informations. »
Comme si cela ne suffisait pas, les chercheurs de Fortinet ont également constaté l’existence, au sein du programme W4SP , de fonctions qui analysent les fichiers à la recherche de certains mots-clés ; s’ils en trouvent, le logiciel malveillant tente de les voler via le service de transfert de fichiers « transfer.sh ». Ces mots-clés concernent principalement les services financiers : mots de passe bancaires, informations PayPal, données liées aux cryptomonnaies et fichiers d'authentification multifactorielle (MFA) de .
Certains de ces mots-clés sont également en français, ce qui laisse supposer une région d'origine possible pour le ou les auteurs de la cyberattaque.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette attaque fait preuve d'une certaine efficacité. » Un créateur de logiciels malveillants a réussi à publier plusieurs paquets, tous portant des noms différents mais contenant un code similaire destiné à lancer des attaques, en utilisant dans la plupart des cas un seul script Python et les webhooks de Discord. Cela devrait nous rappeler une fois de plus que les référentiels de logiciels libres tels que PyPI ne sont en aucun cas à l'abri des abus et sont encore loin d'être suffisamment sécurisés. »
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
