Pour commencer ce tour d'horizon hebdomadaire, nous nous penchons sur un avis conjoint novateur en matière de cybersécurité concernant le logiciel malveillant Snake — décrit comme l'outil de cyberespionnage le plus sophistiqué jamais mis au point par le Centre 16 du Service fédéral de sécurité russe (FSB). CTI analyse ensuite un rapport de Meta qui révèle une augmentation du nombre de logiciels malveillants se faisant passer pour ChatGPT sur ses différentes plateformes. Enfin, CTI examine une alerte de sécurité publiée par Cisco Talos, qui décrit en détail une nouvelle plateforme de « phishing-as-a-service » (PhaaS) baptisée « Greatness », ciblant les organisations utilisant Microsoft 365.
1. La CISA publie un avis conjoint sur la cybersécurité détaillant les activités du logiciel malveillant « Snake »
L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a publié un rapport conjoint sur la cybersécurité, rédigé en collaboration avec le ministère de la Justice (DoJ), le FBI, la NSA, la Cyber National Mission Force (CNMF) de l'USCYBERCOM, le Centre national de cybersécurité (NCSC) du Royaume-Uni, le Centre australien de cybersécurité (ACSC), le Centre canadien de cybersécurité et le Centre national de cybersécurité de Nouvelle-Zélande.
Ce rapport fournit des informations de fond détaillées sur le logiciel malveillant « Snake » (s'ouvre dans un nouvel onglet), décrit comme « l'outil de cyberespionnage le plus sophistiqué conçu et utilisé par le Centre 16 du Service fédéral de sécurité russe (FSB) ».
Les communiqués de presse ultérieurs de la NSA et du ministère de la Justice décrivent les efforts interinstitutionnels menés par les organismes susmentionnés pour identifier et démanteler l'infrastructure opérationnelle de Snake.
Qu'est-ce que le logiciel malveillant Snake ?
Selon BleepingComputer, Snake a d’abord été identifié sous les noms suivants : , Uroburos (s’ouvre dans un nouvel onglet). Son développement aurait débuté dès la fin de l’année 2003 et les premières versions définitives de l’implant auraient été finalisées au début de l’année suivante. Des attaques d'espionnage impliquant ce logiciel malveillant, attribuées à des pirates informatiques soutenus par l'État russe, ont rapidement suivi.
La CISA attribue la sophistication de Snake à trois aspects principaux.
- Snake parvient à atteindre un niveau de discrétion exceptionnel au sein des composants hôtes et des communications réseau.
- L'architecture technique interne de Snake permet d'intégrer facilement des composants nouveaux ou de remplacement. Cela facilite également le développement et l'interopérabilité des instances de Snake s'exécutant sur différents systèmes d'exploitation hôtes. Les auteurs ont identifié des implants « Snake » interopérables conçus pour cibler les systèmes d'exploitation Windows, macOS et Linux.
- Snake témoigne d'une conception et d'une mise en œuvre rigoureuses en matière d'ingénierie logicielle. L'implant ne contient que très peu de bogues.
À l'efficacité considérable de cet implant s'ajoute la capacité de ses développeurs FSB à mettre rapidement en œuvre de nouvelles fonctionnalités et techniques en réponse aux informations open source concernant les tactiques, techniques et procédures (TTP) de Snake.
Les auteurs de l'avis conjoint citent les modifications constantes apportées à Snake comme un obstacle récurrent à l'identification et à la collecte de Snake et des artefacts qui y sont liés — ce qui, en fin de compte, freine toute initiative sérieuse visant à mettre au point des détections fiables pouvant être exploitées avec des outils de défense basés sur l'hôte et sur le réseau.
La création d'un implant de cyberespionnage aussi efficace et étonnamment durable que Snake repose avant tout sur sa capacité à rester indétectable sur le long terme. Les logiciels malveillants de ce type sont conçus pour des campagnes d'espionnage qui impliquent de rester en place, sans être détecté, pendant des mois, voire des années, afin de garantir un accès continu à des renseignements précieux et de faciliter leur collecte et leur exfiltration.
À la lumière de ces éléments, Snake est le résultat « d'une sophistication sans pareille » d'une initiative résolue du FSB, visant à permettre un accès clandestin à des cibles de grande valeur pendant une durée indéterminée, afin de répondre aux besoins en matière de renseignement (IR).
Qui est à l'origine du logiciel malveillant « Snake » ?
Les coauteurs de l'avis conjoint attribuent les opérations « Snake » à « une unité connue relevant du Centre 16 du FSB ».
Outre Snake, cette unité disposerait, selon certaines informations, d'un accès à divers autres éléments de la boîte à outils qui appartiendraient au célèbre groupe de cybercriminels soutenu par la Russie, Turla. Snake fait régulièrement partie de leur arsenal, ce qui témoigne de l'impact considérable de cet implant sur de multiples aspects des cyberopérations actuelles du FSB.
La note d'information affirme que Snake constitue un élément central des opérations du Centre 16’s depuis presque aussi longtemps que cette unité opère sous l'égide du FSB.
Victimologie du logiciel malveillant « Snake »
Au cours de l'enquête, des infrastructures liées à cette opération ont été découvertes dans plus de 50 pays d'Amérique du Nord, d'Amérique du Sud, d'Afrique, d'Europe, d'Asie et d'Australie, y compris aux États-Unis et en Russie.
Des organisations basées aux États-Unis et issues de divers secteurs ont été touchées, notamment l'éducation, le secteur privé, les médias, ainsi que des secteurs considérés comme des infrastructures critiques, tels que les administrations publiques, les services financiers, l'industrie manufacturière et les communications.
Extrait du communiqué conjoint :
Bien que Snake exploite des infrastructures dans tous les secteurs d'activité, son ciblage est à la fois ciblé et tactique. Par exemple, si un système infecté ne répondait pas aux communications de Snake, les acteurs du FSB le réinfectaient de manière stratégique en l'espace de quelques jours. À l'échelle mondiale, le FSB a utilisé Snake pour recueillir des renseignements sensibles auprès de cibles hautement prioritaires, telles que les réseaux gouvernementaux, les centres de recherche et les journalistes.
Méthodologie « Snake »
Une déclaration sous serment de l' (s'ouvre dans un nouvel onglet) et ainsi qu'un mandat de perquisition (s'ouvre dans un nouvel onglet) révèlent que les agences gouvernementales américaines surveillent le virus Snake, les logiciels malveillants qui y sont liés et les opérations associées depuis la majeure partie des 20 dernières années — un effort qui a notamment consisté à surveiller de près les pirates informatiques de Turla alors qu'ils déployaient Snake depuis un site du FSB en Russie.
Ces initiatives conjointes, ainsi que d'autres, ont permis d'acquérir des connaissances approfondies sur l'architecture de Snake, ainsi que sur les autres outils et TTP utilisés lors des opérations impliquant cet implant.
Extrait du communiqué conjoint :
Le FSB déploie généralement Snake sur les nœuds d'infrastructure exposés vers l'extérieur d'un réseau, puis utilise d'autres outils et TTP sur le réseau interne pour mener des opérations d'exploitation supplémentaires. Une fois qu'il a réussi à s'introduire dans un réseau cible et à y consolider sa présence, le FSB procède généralement à une analyse du réseau et s'efforce d'obtenir les identifiants d'administrateur ainsi que l'accès aux contrôleurs de domaine. Un large éventail de mécanismes a été utilisé pour collecter les identifiants des utilisateurs et des administrateurs afin de se propager latéralement sur le réseau ; parmi ceux-ci figurent notamment les enregistreurs de frappe, les analyseurs de trafic réseau et les outils open source.
Ces opérations sont rendues possibles par des pirates informatiques du FSB qui effectuent au préalable une reconnaissance du réseau : ils cartographient les réseaux et obtiennent les identifiants nécessaires pour accéder aux domaines des cibles.
Snake est un outil de collecte de renseignements si efficace qu’il était rare que ses opérateurs aient recours à des implants supplémentaires « lourds » ; ils s’appuyaient plutôt principalement sur des outils d’accès à distance internes légers et, occasionnellement, sur de petits shells inversés à distance pour faciliter les fonctions interactives de Snake.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« À tout le moins, les révélations contenues dans l’avis conjoint et les différents communiqués de presse d’ (s’ouvre dans un nouvel onglet) concernant le démantèlement de l’infrastructure mondiale de logiciels malveillants de Snake par une équipe composée d’agences multinationales de cybersécurité et de forces de l’ordre nous rappellent de manière frappante deux choses :
- Tout d'abord, les pirates informatiques et les développeurs de logiciels malveillants soutenus par l'État russe opèrent à un niveau qui rivalise avec celui de nombreux grands éditeurs de logiciels actuels. Cela transparaît clairement dans la complexité, la longévité et l'efficacité exceptionnelle de Snake.
- « Deuxièmement, il apparaît clairement que les services de renseignement américains adoptent une attitude plus offensive à l’égard des cybercriminels (qu’ils soient soutenus par un État ou non) opérant depuis le territoire étranger. »
2. Des pirates informatiques utilisent des leurres liés à ChatGPT pour diffuser des logiciels malveillants sur Facebook
Meta, la société mère de Facebook, constate une augmentation (s'ouvre dans un nouvel onglet) du nombre de logiciels malveillants se faisant passer pour ChatGPT sur l'ensemble de ses plateformes.
Depuis mars 2023, l'équipe de sécurité de Meta a identifié 10 familles de logiciels malveillants utilisant ChatGPT et d'autres thèmes liés à l'IA pour diffuser ces logiciels malveillants. Parmi ces familles de logiciels malveillants, on trouve Ducktail et
NodeStealer cible ses victimes par le biais d'extensions de navigateur malveillantes, de publicités et de diverses plateformes de réseaux sociaux.
Voici quelques points clés à retenir :
- Au cours des derniers mois, Meta a enquêté et pris des mesures contre plusieurs variétés de logiciels malveillants qui exploitaient l'intérêt du public pour ChatGPT et les fonctionnalités liées à l'IA. Les dernières tentatives observées par Meta ne visaient pas uniquement Facebook, mais concernaient également des services de partage de fichiers tels que Dropbox, Google Drive, Mega, MediaFire, Discord, Trello (d'Atlassian), OneDrive et iCloud, utilisés pour héberger des logiciels malveillants.
- Dans un cas observé par Meta, l'acteur malveillant a créé des extensions de navigateur malveillantes qui ont été mises à disposition dans des boutiques en ligne officielles et qui prétendaient proposer des outils basés sur ChatGPT. Ces extensions de navigateur ont ensuite fait l'objet d'une promotion sur les réseaux sociaux et par le biais de résultats de recherche sponsorisés afin d'inciter les victimes à télécharger des logiciels malveillants.
- Dans certains cas, les extensions comprenaient des fonctionnalités légitimes de ChatGPT ainsi que le logiciel malveillant. En réponse à cela, Meta a empêché le partage, sur ses plateformes, de plus de 1 000 URL malveillantes uniques liées à ChatGPT.
Qu'est-ce que le logiciel malveillant Ducktail ?
Le logiciel malveillant « Ducktail » existe depuis un certain temps déjà et est conçu pour voler les cookies des navigateurs et exploiter les sessions Facebook non authentifiées. Il cible également LinkedIn afin d'inciter les victimes, par le biais d'attaques d'ingénierie sociale, à télécharger des logiciels malveillants, et utilise des services d'hébergement de fichiers pour héberger ses logiciels malveillants.
Au fil des ans, Meta a suivi et bloqué différentes versions de Ducktail. Dans sa dernière version, les opérateurs de Ducktail ont commencé à accorder automatiquement des droits d'administrateur aux demandes d'actions liées à la publicité envoyées par des pirates, dans le but d'accélérer leurs opérations.
Qu'est-ce que la souche de logiciel malveillant NodeStealer ?
Meta a récemment découvert et neutralisé une nouvelle souche de logiciel malveillant appelée NodeStealer. janvier 2023 a constaté que son équipe de sécurité avait détecté un logiciel malveillant ciblant les navigateurs Internet sur les appareils Windows, dans le but de voler les cookies ainsi que les identifiants et mots de passe enregistrés. NodeStealer est un logiciel malveillant JavaScript sur mesure dont on pense qu'il est d'origine vietnamienne.
Meta a pris des mesures pour neutraliser NodeStealer, apparemment dans les deux semaines qui ont suivi son déploiement. Ils ont adressé de nombreuses demandes de suppression à des bureaux d'enregistrement tiers, à des hébergeurs et à des fournisseurs de services d'applications qui étaient visés par ces acteurs malveillants. Selon Meta, ces mesures ont permis de neutraliser efficacement ce logiciel malveillant.
NodeStealer est généralement diffusé sous la forme d'un fichier PDF ou Excel déguisé, doté d'une icône et d'un nom de fichier légitimes afin d'inciter les utilisateurs à ouvrir le fichier malveillant.
Son objectif est de voler les mots de passe enregistrés et les informations de session contenues dans les cookies des navigateurs basés sur Chromium. Ce logiciel malveillant cible les navigateurs Chrome, Opera, Microsoft Edge et Brave pour obtenir ces informations.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L'intérêt du grand public pour ChatGPT et les technologies liées à l'IA ne cesse de croître, ce qui explique tout à fait que les acteurs malveillants s'efforcent de tirer parti de cet intérêt grandissant. »
« Meta affirme avoir mis fin aux activités de la famille de logiciels malveillants NodeStealer, et, bien que cela soit certainement une bonne nouvelle, ce n’est qu’une question de temps avant que la prochaine cyberactivité liée à ChatGPT ne fasse son apparition. »
3. Un nouvel outil de « phishing-as-a-service » fait son apparition dans la nature
Cisco Talos a publié une alerte de sécurité décrivant en détail une nouvelle plateforme de phishing-as-a-service (PhaaS) de type « » (s'ouvre dans un nouvel onglet) , baptisée «Greatness».
On a constaté que cette plateforme ciblait des organisations utilisant Microsoft 365, de nombreuses victimes étant situées aux États-Unis. Le service comprend des fonctionnalités qui préremplissent l’adresse e-mail de la victime et affichent automatiquement le logo et l’image d’arrière-plan appropriés, extraits de la véritable page de connexion Microsoft 365 de l’organisation.
Le kit de phishing fonctionne en association avec l'API Greatness pour demander des informations à la victime et tente de se connecter à la page officielle Microsoft 365 en temps réel.
Qu'est-ce que la plateforme Greatness PhaaS ?
La présence de « Greatness » a été constatée dans de nombreuses campagnes de hameçonnage depuis au moins la mi-2022, avec des pics d'activité observés sur décembre 2022 et mars 2023. Il intègre des fonctionnalités similaires à celles que l'on retrouve dans certaines des offres PhaaS les plus avancées d' , notamment l'authentification multifactorielle (MFA) , le contournement de , le filtrage d'adresses IP et l'intégration avec les bots Telegram.
À l'heure actuelle, cet outil se concentre sur les pages « Microsoft 365 » et met à la disposition de ses affiliés un générateur de fichiers joints et de liens permettant de créer des pages de connexion très convaincantes. Comme indiqué précédemment, ce programme est capable de préremplir l'adresse e-mail de la victime et d'afficher automatiquement le logo et l'image d'arrière-plan de l'entreprise concernés, qu'il a extraits de la page de connexion authentique. Cela rend Greatness particulièrement attrayant pour les cybercriminels qui cherchent à piéger les utilisateurs professionnels par le biais d'attaques de hameçonnage.
Les affiliés utilisant Greatness doivent déployer et configurer un kit de hameçonnage fourni avec une clé API, ce qui permet même aux acteurs malveillants inexpérimentés de tirer parti de ce service. Le kit de hameçonnage et l'API font office de proxy pour le système d'authentification Microsoft 365 , en menant une attaque de type « homme du milieu » afin de dérober les identifiants d'authentification ou les cookies de la victime.
Le Greatness PhaaS se compose de trois éléments, à savoir un kit de phishing comprenant le panneau d'administration, l'API du service et un bot Telegram ou une adresse e-mail.
Activité et victimologie
- « Greatness » semble avoir fait son apparition mi-2022, avec des pics d'activité sur décembre 2022 et mars 2023, d'après le nombre d'échantillons de pièces jointes disponibles sur VirusTotal.
- Chaque campagne observée présente une orientation géographique légèrement différente. Cependant, plus de 50 % de l'ensemble des cibles étaient situées aux États-Unis.
- « Greatness » est conçu pour compromettre les utilisateurs de Microsoft 365 , ce qui lui confère un vivier de victimes potentielles très vaste. D'après les recherches menées par Cisco Talos, les secteurs de l'industrie, de la santé et des technologies ont été les plus ciblés par Greatness.
Un aperçu de la séquence d'attaque « Greatness »
Le déroulement d'une attaque dans le cadre d'une campagne impliquant Greatness commence lorsqu'une victime reçoit un e-mail malveillant. Ces e-mails contiennent généralement un fichier HTML en pièce jointe et incitent la victime à l'ouvrir.
Lorsque la victime ouvre le fichier HTML, le navigateur Web exécute un court extrait de code JavaScript obscurci afin d'établir une connexion avec le serveur de l'attaquant. Cette connexion permet à Greatness d'obtenir le code HTML de la page de hameçonnage et de l'afficher à l'utilisateur dans la même fenêtre de navigateur. Le code contient une image floue et une roue qui tourne, ce qui donne l'impression que le document est en cours de chargement. La page redirigera la victime vers une page de connexion « Microsoft 365 » sur laquelle son adresse e-mail sera déjà renseignée, ainsi que l'arrière-plan et le logo personnalisés utilisés par son entreprise.
Une fois que la victime a saisi son mot de passe, Greatness tente de se connecter à Microsoft 365 à l'aide des identifiants de la victime. Si la victime a activé l'authentification multifactorielle (MFA), le service lui demandera de s'authentifier.
Lorsque le service reçoit la demande d'authentification à deux facteurs (MFA), il continue à se faire passer pour la victime en arrière-plan, en menant à bien le processus de connexion et en récupérant les cookies de session authentifiés. Ces informations sont ensuite transmises au partenaire de service via sa chaîne Telegram ou directement via le panneau de contrôle en ligne.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Ce qui est particulièrement intéressant avec le Greatness PhaaS, c’est qu’il ne se limite pas au simple vol d’identifiants, comme c’est le cas avec le phishing traditionnel. » « Greatness transmet en temps réel les identifiants volés à la page de connexion officielle de Microsoft, ce qui permet à l'auteur de la menace d'accéder immédiatement au compte de la victime. »
« On ne dispose pas encore de beaucoup d'informations sur la forme que prennent les leurres utilisés dans les e-mails « Greatness », mais CTI vous tiendra informés dès que de nouvelles informations seront disponibles. »
Avez-vous des réflexions sur ces récits que vous souhaiteriez partager ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
