Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium enquête sur une campagne de logiciels malveillants qui utilise des logiciels craquelés pour distribuer le voleur Atomic macOS (AMOS). Ensuite, l’équipe examine TAG-150, un acteur malveillant en évolution rapide qui déploie des logiciels malveillants personnalisés dans le cadre d’opérations sophistiquées d’hameçonnage et d’accès à distance. Enfin, nous concluons par une présentation de la campagne de logiciels malveillants GPUGate qui cible les entreprises informatiques d’Europe occidentale.
La campagne de vol AMOS cible macOS
Trend Micro a récemment analysé une campagne de logiciels malveillants qui utilise des logiciels craquelés pour distribuer des AMOS et exfiltrer des données utilisateur sensibles, y compris des informations d’identification, des portefeuilles cryptographiques et des fichiers système.
Selon Trend Micro, les attaquants utilisent des commandes trompeuses du terminal macOS et des domaines rotatifs pour contourner les mesures de sécurité et maintenir la persistance sur les systèmes infectés.
Aperçu de la campagne AMOS
Dans cette campagne, les attaquants ciblent les utilisateurs de macOS avec des applications fausses ou « craquelées ». Les victimes sont trompées dans le téléchargement d’un programme d’installation pour l’application souhaitée, qui fournit le logiciel malveillant AMOS.
Dans certains cas, les utilisateurs sont invités à copier-coller des commandes directement dans leur terminal pour déclencher le logiciel malveillant. Trend Micro souligne comment ces attaquants utilisent des URL et des domaines rotatifs afin que le domaine et la commande de téléchargement changent à chaque visite pour échapper à la détection.
Chaîne d’infection AMOS et livraison
- L’attaquant accède au système via de faux téléchargements d’applications qui conduisent finalement la victime à la page d’accueil pour AMOS.
- La victime verra une option de « téléchargement pour macOS » ou des instructions pour exécuter une commande. Dans les deux cas, un script d’installation malveillant est exécuté.
- Ce script télécharge un fichier AppleScript et configure un démon LaunchDaemon pour exécuter continuellement le script jusqu’à ce que l’utilisateur se connecte.
- Lorsque l’utilisateur se connecte, le binaire masqué s’exécute pour établir la persistance. Ce script collectera des données, y compris le nom d’utilisateur et le mot de passe, les données du navigateur, les données du porte-clés, et bien plus encore, en les compressant sur un code postal et en les exfiltrant.
Informations issues du MDR
L’équipe MDR (Managed Detection and Response) de Trend Micro a observé la séquence d’événements commençant par l’activité suspecte du processus, les tâches de vol d’informations d’identification et l’exfiltration de données. Cela a permis une enquête plus approfondie.
La première alerte qu’ils ont observée a capturé l’extraction des données de connexion des navigateurs Web, copiant le fichier SQLite des données de connexion de Chrome qui stocke les informations d’identification. La deuxième alerte concernait un script pour voler des données, y compris des informations d’identification de navigateur et des fichiers provenant de navigateurs courants. Cela a également recueilli des informations sur le profileur du système.
Accès initial
Trend Micro a déterminé que l’AMOS était livré sur l’appareil sous forme de téléchargement de logiciels craqués, car de nombreux utilisateurs affectés avaient visité le même site plusieurs fois qui hébergeait diverses applications logicielles factices spécifiquement pour macOS.
Les utilisateurs concernés avaient recherché et téléchargé « CleanMyMac » sur leurs machines. Cliquer sur le bouton de téléchargement a conduit les utilisateurs à la page d’accueil AMOS. Après avoir cliqué, les utilisateurs ont été redirigés et la destination de la redirection change à chaque visite avec l’URL intégrée dans la commande.
Comment les victimes installent AMOS
Les victimes ont deux façons d’installer AMOS. La première méthode consiste à cliquer sur le bouton de téléchargement qui chargera un fichier .dmg avec les instructions d’installation. L’autre méthode demande à la victime de copier, coller et exécuter une commande malveillante.
- Pour la première méthode, Installer_v.2,13.dmg télécharge et le numéro de version change. Le fichier affiche des instructions pour que la victime clique avec le bouton droit de la souris et l’ouvre. Trend Micro note que Gatekeeper est intervenu dans ce cas en raison de la version de macOS en cours d’exécution, bloquant le logiciel malveillant avant qu’il ne puisse terminer sa compromission.
- La deuxième méthode, qui a un meilleur taux de réussite, demande aux victimes d’exécuter une commande directement. Lorsque cela est exécuté, AMOS est installé sur l’hôte. La victime est alors invitée à saisir une case « Préférences système » qui lui demande de saisir son mot de passe à plusieurs reprises jusqu’à ce que le mot de passe correct soit saisi. Un script supplémentaire vérifiera ensuite s’il s’exécute dans un environnement virtualisé, en quittant si oui. Après ces vérifications, le logiciel malveillant exfiltrera les données, établira la persistance, masquera les fenêtres du terminal et manipulera les fichiers système et les applications.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’utilisation de logiciels craqués comme vecteur de livraison est un rappel que les acteurs malveillants exploitent souvent la commodité, ce qui rend essentiel pour les organisations de surveiller et de restreindre l’accès aux référentiels logiciels non autorisés.
Les vastes capacités de vol de données du logiciel malveillant AMOS reflètent une tendance croissante aux logiciels malveillants ciblés par macOS. De plus, l’utilisation par les attaquants de domaines rotatifs et de scripts masqués démontre un niveau élevé d’agilité opérationnelle, rendant la détection traditionnelle basée sur les signatures insuffisante et soulignant la valeur de la détection des menaces basée sur le comportement.
TAG-150 déploie un nouveau logiciel malveillant CastleRAT
Un rapport récent de Recorded Future détaille TAG-150, qui est un acteur de menace en évolution rapide. Cet acteur a développé une infrastructure à plusieurs niveaux et une suite de logiciels malveillants personnalisés, y compris le CastleRAT nouvellement découvert, pour mener des opérations sophistiquées d’hameçonnage et d’accès à distance.
Comme l’explique Record Future, leurs campagnes tirent parti de tactiques trompeuses et d’un vaste ensemble d’outils pour cibler les victimes tout en s’adaptant activement à l’exposition publique et aux mesures défensives.
Qui est TAG-150 ?
Recorded Future utilise TAG-150 pour faire référence à l’acteur lié au « développement et à l’utilisation des familles de logiciels malveillants CastleLoader, CastleBot et, plus récemment, CastleRAT ».
Recorded Future observe TAG-150 depuis mars 2025. Selon leurs recherches, de nombreuses infections commencent par des attaques de style ClickFix ou de fausses repos GitHub qui se font passer pour des applications légitimes. Le groupe est censé exploiter un modèle de malware en tant que service (MaaS) pour fournir une gamme de charges utiles de deuxième étape.
Analyse de l’infrastructure TAG-150
Informations partagées sur l’infrastructure à plusieurs niveaux de l’acteur :
- Niveau 1 : l’infrastructure de niveau 1 contient plusieurs serveurs C2 pour différentes familles de logiciels malveillants comme CastleLoader, CastleRAT, etc. Ces serveurs sont gérés via des serveurs de niveau 2 .
- Niveau 2 : le niveau 2 se compose de serveurs VPS qui sont censés fonctionner « comme intermédiaires entre les serveurs de niveau 1 en contact avec les victimes et l’infrastructure de niveau 3 ». L’acteur est connu pour accéder à ces serveurs via RDP avant de se connecter aux serveurs de niveau 1. Dans de nombreux cas, Recorded Future a observé l’acteur contourner le niveau 2 et se connecter aux serveurs de niveau 1 à partir de l’infrastructure de niveau 3 .
- Niveau 3 : dans le niveau 3, des chercheurs ont identifié des serveurs VPS qui utilisaient tous le même certificat TLS, l’un d’entre eux agissant probablement comme hub. Ils ont également identifié une adresse IP russe résidentielle qui communiquait avec les serveurs de niveau 1 et de niveau 2, ce qui, selon eux, pourrait être le travail d’un deuxième opérateur.
- Niveau 4 : le serveur principal du niveau 3 communique avec un serveur de sauvegarde potentiel du niveau 4. La communication s’est produite au cours d’une « session UDP persistante de haut port à haut port s’étendant sur plusieurs semaines ».
Variantes Python et C de CastleRAT
Le logiciel malveillant CastleRAT a à la fois une variante Python et une variante C. Les deux variantes utilisent un protocole binaire personnalisé, interrogent une API de géolocalisation, téléchargent des exécutables et offrent des capacités de shell à distance.
Selon Recorded Future, la variante C du logiciel malveillant est fournie avec un keylogger, une tondeuse, des capacités de capture d’écran, de manipulation de fichiers, des commandes shell, etc.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’agilité opérationnelle TAG-150’s est évidente dans son itération rapide des logiciels malveillants et son adaptation de l’infrastructure, ce qui suggère que le groupe dispose à la fois de ressources suffisantes et d’une capacité technique.
Leur utilisation d’une infrastructure à plusieurs niveaux et de logiciels malveillants personnalisés tels que CastleRAT reflète un passage de l’outillage de base aux solutions personnalisées, ce qui pourrait indiquer que ce groupe arrive à maturité.
GPUGate cible les entreprises informatiques d’Europe occidentale
Selon Arctic Wolf, la campagne de logiciels malveillants GPUGate utilise Google Ads et GitHub engage des liens pour inciter les professionnels de l’informatique à télécharger un programme d’installation de bureau GitHub trojanisé qui s’active exclusivement sur les systèmes avec de vrais GPU, échappant ainsi à la détection sandbox traditionnelle.
L’analyse d’Arctic Wolf révèle également des techniques d’évasion avancées. Les attaquants maîtrisent la langue russe et ciblent l’Europe occidentale avec une approche hautement sélective et furtive.
Vecteur d’infection initiale GPUGate
L’attaque commence par une publicité malveillante, en utilisant une publicité Google parrainée en haut des résultats de recherche Google qui ressemble à un site légitime pour le bureau GitHub.
L’acteur a créé une validation dans un référentiel GitHub légitime, puis a modifié le README afin qu’il contienne des liens de téléchargement malveillants. Arctic Wolf note qu’un acteur pourrait intégrer le hachage malveillant dans l’URL de la page afin qu’une page qui ressemble exactement au référentiel d’origine soit affichée, mais avec le README contenant les liens malveillants.
La page affiche des données légitimes car la commission est réelle, ce qui rend plus difficile pour les victimes de les identifier comme malveillantes. La « seule indication que la page est une vue de validation unique est une petite bannière en haut indiquant que le visiteur affiche une validation spécifique, plutôt que la branche par défaut du référentiel. » L’attaquant va plus loin en ajoutant une ancre au lien, afin que la victime soit dirigée vers le bas de la page de validation où se trouve le contenu malveillant.
Les liens de téléchargement malveillants suppriment la victime de GitHub vers une application gitpage[.]malicieuse.
Deuxième étape : GitHubDesktopSetup-x64.exe
Le logiciel malveillant est téléchargé sous la forme GitHubDesktopSetup-x64.exe. Le fichier est volumineux pour correspondre à ce à quoi ressemblerait le véritable programme d’installation de GitHub Desktop.
Le créateur du logiciel malveillant a également modifié l’en-tête du logiciel malveillant pour empêcher l’extraction de fichiers. Le fichier MSI contient 171 exécutables, dont la plupart sont des fichiers bénins pour rendre l’analyse plus difficile. Cependant, Arctic Wolf note qu’au moins un est malveillant.
Le logiciel malveillant effectuera des vérifications pour exclure les appareils qui ne répondent pas aux exigences matérielles qu’il a établies. Une telle vérification examine la longueur du nom de l’appareil, car les machines virtuelles ont souvent des noms plus courts ou génériques, tandis que les GPU légitimes en ont généralement des plus longs.
Fonctionnalités de GPUGate
Arctic Wolf décrit certaines des fonctionnalités les plus remarquables de GPUGate :
- Pour une exécution furtive, PowerShell se lancera avec certains paramètres pour masquer les fenêtres de l’utilisateur et contourner les politiques d’exécution.
- Pour établir la persistance, il crée une tâche planifiée qui se lance au redémarrage.
- Pour échapper à la défense, il exclura les emplacements de stockage des logiciels malveillants Defender de l’analyse, de sorte que ses composants malveillants ne sont pas identifiés.
- Pour C2, il utilise plusieurs domaines redondants et adresses IP, afin de pouvoir continuer à fonctionner même si l’un d’eux est supprimé.
Le logiciel malveillant collecte et exfiltre les données sensibles des systèmes de fichiers locaux. Arctic Wolf note que GPUGate peut être en mesure de déployer des ransomwares et de supprimer des fichiers de sauvegarde vers et des options de récupération système.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
En nécessitant un véritable GPU pour le décryptage, GPUGate marque un passage aux logiciels malveillants sensibles à l’environnement, ce qui rend le sandboxing traditionnel et l’analyse automatisée beaucoup moins efficaces.
Cette campagne cible non seulement les systèmes avec des GPU, mais également les utilisateurs qui sont susceptibles d’avoir des privilèges élevés. Cela implique un certain niveau de profilage pré-attaque qui pourrait faire partie d’une stratégie d’attaque plus large.
Au cours de leurs recherches, Arctic Wolf a observé que l’un des sites contrôlés par des attaquants servait également le voleur macOS AMOS. Le lien potentiel avec AMOS augmente cette menace.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
