Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium enquête sur une campagne de logiciels malveillants qui utilise des logiciels piratés pour diffuser le logiciel de vol de données « Atomic macOS Stealer » (AMOS). L'équipe se penche ensuite sur TAG-150, un acteur malveillant en pleine évolution qui déploie des logiciels malveillants sur mesure dans le cadre d'opérations sophistiquées de hameçonnage et d'accès à distance. Pour finir, nous terminons par un aperçu de la campagne de logiciels malveillants « GPUGate », qui cible les entreprises informatiques d'Europe occidentale.
La campagne de vol de données « AMOS » cible macOS
Trend Micro a récemment analysé , une campagne de logiciels malveillants qui utilise des logiciels piratés pour diffuser AMOS et exfiltrer des données sensibles des utilisateurs, notamment des identifiants, des portefeuilles cryptographiques et des fichiers système.
Selon Trend Micro, les pirates utilisent des commandes trompeuses du Terminal macOS et des domaines changeants pour contourner les mesures de sécurité et maintenir leur présence sur les systèmes infectés.
Présentation générale de la campagne AMOS
Dans le cadre de cette campagne, les pirates ciblent les utilisateurs de macOS à l'aide d'applications contrefaites ou « piratées ». Les victimes sont amenées à télécharger un programme d'installation de l'application souhaitée, qui contient le logiciel malveillant AMOS.
Dans certains cas, on demande aux utilisateurs de copier-coller des commandes directement dans leur terminal afin de déclencher le logiciel malveillant. Trend Micro souligne que ces pirates utilisent des URL et des domaines changeants, de sorte que le domaine et la commande de téléchargement varient à chaque visite afin d'échapper à la détection.
Chaîne d'infection et transmission d'AMOS
- L'attaquant accède au système par le biais de faux téléchargements d'applications qui redirigent finalement la victime vers la page d'accueil d'AMOS.
- La victime verra apparaître une option « Télécharger pour macOS » ou des instructions lui demandant d'exécuter une commande. Dans les deux cas, un script d'installation malveillant est exécuté.
- Ce script télécharge un fichier AppleScript et configure un LaunchDaemon afin d'exécuter le script en continu jusqu'à ce que l'utilisateur se connecte.
- Lorsque l'utilisateur se connecte, le fichier binaire caché s'exécute pour assurer la persistance. Ce script collectera des données, notamment le nom d'utilisateur et le mot de passe, les données du navigateur, celles du trousseau et bien d'autres encore, puis les compressera dans un fichier ZIP avant de les exfiltrer.
Perspectives de MDR
L'équipe « Managed Detection and Response » (MDR) de Trend Micro a observé la succession d'événements, qui a débuté par une activité suspecte au niveau des processus, suivie d'opérations visant à voler des identifiants, puis d'une exfiltration de données. Cela a permis de mener une enquête plus approfondie.
La première alerte qu'ils ont constatée concernait l'extraction de données d'identification à partir de navigateurs Web, via la copie du fichier SQLite « Login Data » de Chrome, qui stocke les identifiants. La deuxième alerte concernait un script destiné à voler des données, notamment les identifiants de connexion et des fichiers provenant de navigateurs courants. Cela a également permis de recueillir des informations issues du profileur système.
Accès initial
Trend Micro a établi qu’AMOS avait été introduit sur l’appareil via le téléchargement d’un logiciel piraté, car bon nombre des utilisateurs touchés s’étaient rendus à plusieurs reprises sur le même site hébergeant diverses fausses applications logicielles destinées spécifiquement à macOS.
Les utilisateurs concernés avaient recherché et téléchargé « CleanMyMac » sur leurs ordinateurs. En cliquant sur le bouton de téléchargement, les utilisateurs étaient redirigés vers la page d'accueil d'AMOS. Après avoir cliqué, les utilisateurs étaient redirigés, et la destination de la redirection changeait à chaque visite, tout comme l'URL intégrée à la commande.
Comment les victimes installent-elles AMOS ?
Les victimes disposent de deux méthodes pour installer AMOS. La première méthode consiste à cliquer sur le bouton de téléchargement, ce qui permettra de télécharger un fichier .dmg ainsi que les instructions d'installation. L'autre méthode consiste à demander à la victime de copier, coller et exécuter une commande malveillante.
- Avec la première méthode, le fichier « Installer_v.2,13.dmg » est téléchargé et le numéro de version change. Le fichier contient des instructions invitant la victime à cliquer avec le bouton droit de la souris pour l'ouvrir. Trend Micro souligne que Gatekeeper est intervenu dans ce cas en raison de la version de macOS utilisée, bloquant ainsi le logiciel malveillant avant qu'il n'ait pu mener à bien son attaque.
- La deuxième méthode, « », qui présente un meilleur taux de réussite, consiste à demander aux victimes d'exécuter directement une commande. Lorsque cette commande est exécutée, AMOS est installé sur l'ordinateur hôte. La victime voit alors s'afficher une fenêtre « Préférences Système » qui lui demande de saisir son mot de passe à plusieurs reprises jusqu'à ce qu'elle entre le mot de passe correct. Un script supplémentaire vérifiera ensuite s'il s'exécute dans un environnement virtualisé et, le cas échéant, mettra fin à son exécution. Une fois ces vérifications effectuées, le logiciel malveillant procédera à l'exfiltration des données, mettra en place des mécanismes de persistance, masquera les fenêtres du terminal et manipulera les fichiers système et les applications.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'utilisation de logiciels piratés comme vecteur d'attaque rappelle que les auteurs de menaces exploitent souvent la facilité d'accès, ce qui rend indispensable pour les organisations de surveiller et de restreindre l'accès aux référentiels de logiciels non autorisés.
Les capacités étendues de vol de données du logiciel malveillant AMOS reflètent une tendance croissante chez les logiciels malveillants ciblant macOS. De plus, le recours par les attaquants à des domaines tournants et à des scripts obscurcis témoigne d’un haut niveau d’agilité opérationnelle, rendant insuffisante la détection traditionnelle basée sur les signatures et soulignant l’intérêt de la détection des menaces basée sur le comportement.
TAG-150 déploie un nouveau logiciel malveillant CastleRAT
Un rapport récent de Recorded Future présente en détail TAG-150, un acteur malveillant en pleine évolution. Cet acteur a mis en place une infrastructure à plusieurs niveaux ainsi qu'une suite de logiciels malveillants sur mesure, dont le CastleRAT récemment découvert, afin de mener des opérations sophistiquées d'hameçonnage et d'accès à distance.
Comme l'explique Record Future, leurs campagnes s'appuient sur des tactiques trompeuses et un large éventail d'outils pour cibler leurs victimes, tout en s'adaptant activement à la médiatisation et aux mesures de défense mises en place.
Qui est TAG-150 ?
Recorded Future utilise le code TAG-150 pour désigner l'acteur lié au « développement et à l'utilisation des familles de logiciels malveillants CastleLoader, CastleBot et, plus récemment, CastleRAT ».
Recorded Future surveille le TAG-150 depuis le mars 2025. D'après leurs recherches, bon nombre de ces infections trouvent leur origine dans des attaques de type « ClickFix » ( ) ou dans de faux dépôts GitHub se faisant passer pour des applications légitimes. On pense que ce groupe utilise un modèle de « malware-as-a-service » (MaaS) pour diffuser toute une série de charges utiles de deuxième phase.
Analyse de l'infrastructure TAG-150
Recorded Future a communiqué des informations sur l'infrastructure à plusieurs niveaux de l'acteur :
- Niveau 1 : L'infrastructure de niveau 1 comprend plusieurs serveurs C2 hébergeant différentes familles de logiciels malveillants, telles que CastleLoader, CastleRAT et d'autres. Ces serveurs sont gérés via les serveurs Tier 2 .
- Niveau 2 : Le niveau 2 est constitué de serveurs VPS qui serviraient « d’intermédiaires entre les serveurs de niveau 1, en contact direct avec les victimes, et l’infrastructure de niveau 3 ». On sait que l'acteur accède à ces serveurs via RDP avant de se connecter aux serveurs de niveau 1. Dans de nombreux cas, Recorded Future a constaté que l'acteur contournait le niveau 2 et se connectait aux serveurs de niveau 1 à partir de l'infrastructure de niveau 3 .
- Niveau 3 : Au niveau 3, les chercheurs ont identifié des serveurs VPS qui utilisaient tous le même certificat TLS, l'un d'entre eux servant probablement de plaque tournante. Ils ont également identifié une adresse IP résidentielle russe qui a communiqué avec des serveurs des niveaux 1 et 2, ce qui, selon eux, pourrait être le fait d'un deuxième opérateur.
- Niveau 4 : Le serveur principal du niveau 3 communique avec un serveur de secours potentiel situé au niveau 4. La communication s'est déroulée au cours d'une « session UDP persistante de port élevé à port élevé s'étendant sur plusieurs semaines ».
Les variantes Python et C de CastleRAT
Le logiciel malveillant CastleRAT existe à la fois sous une variante Python et sous une variante C. Ces deux variantes utilisent un protocole binaire personnalisé, interrogent une API de géolocalisation, téléchargent des fichiers exécutables et offrent des fonctionnalités de shell à distance.
Selon Recorded Future, la variante C de ce logiciel malveillant intègre un enregistreur de frappe, un outil de capture de texte, des fonctionnalités de capture d'écran, de manipulation de fichiers, d'exécution de commandes shell, et bien plus encore.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
TAG-150’s L'agilité opérationnelle de ce groupe se manifeste par la rapidité avec laquelle il met au point de nouvelles versions de logiciels malveillants et adapte son infrastructure, ce qui laisse supposer qu'il dispose à la fois de ressources importantes et de compétences techniques solides.
Leur recours à une infrastructure à plusieurs niveaux et à des logiciels malveillants sur mesure tels que CastleRAT témoigne d'une évolution des outils standard vers des solutions sur mesure, ce qui pourrait indiquer que ce groupe gagne en maturité.
GPUGate cible les entreprises informatiques d'Europe occidentale
Selon Arctic Wolf, la campagne de logiciels malveillants « GPUGate » utilise Google Ads et des liens de commit GitHub pour inciter les professionnels de l'informatique à télécharger un programme d'installation de GitHub Desktop infecté par un cheval de Troie, qui ne s'active que sur les systèmes équipés de véritables cartes graphiques, contournant ainsi les méthodes traditionnelles de détection en sandbox.
L'analyse d'Arctic Wolf met également en évidence des techniques de contournement sophistiquées. Les pirates maîtrisent parfaitement le russe et ciblent l'Europe occidentale en adoptant une approche très sélective et discrète.
Vecteur d'infection initial de GPUGate
L'attaque commence par une publicité malveillante, sous la forme d'une annonce Google sponsorisée apparaissant en haut des résultats de recherche Google et qui ressemble à un site légitime dédié à GitHub Desktop.
L'acteur a créé un commit dans un dépôt GitHub légitime, puis a modifié le fichier README afin qu'il contienne des liens de téléchargement malveillants. Arctic Wolf souligne qu'un pirate pourrait intégrer le hachage malveillant dans l'URL de la page, de sorte qu'une page d'apparence identique à celle du dépôt d'origine s'affiche, mais dont le fichier README contiendrait les liens malveillants.
La page affiche des données légitimes, car la validation est réelle, ce qui rend plus difficile pour les victimes de la reconnaître comme malveillante. « Le seul indice permettant de savoir que la page correspond à la vue d'un commit unique est une petite bannière en haut de la page indiquant que le visiteur consulte un commit spécifique, et non la branche par défaut du dépôt. » L'attaquant va encore plus loin en ajoutant une ancre au lien, de sorte que la victime soit redirigée vers le bas de la page de validation, là où se trouve le contenu malveillant.
Les liens de téléchargement malveillants redirigent la victime depuis GitHub vers un site gitpage[.]app malveillant.
Deuxième étape : GitHubDesktopSetup-x64.exe
Le logiciel malveillant est téléchargé sous le nom de GitHubDesktopSetup-x64.exe. La taille du fichier est importante afin de refléter fidèlement celle du véritable programme d'installation de GitHub Desktop.
Le créateur du logiciel malveillant a également modifié l'en-tête de celui-ci afin d'empêcher l'extraction des fichiers. Le fichier MSI contient 171 fichiers exécutables, dont la plupart sont des fichiers inoffensifs destinés à compliquer l'analyse. Cependant, Arctic Wolf souligne qu’au moins l’un d’entre eux est malveillant.
Le logiciel malveillant effectuera des vérifications afin d'exclure les appareils qui ne répondent pas aux exigences matérielles qu'il a définies. L'un de ces contrôles porte sur la longueur du nom du périphérique, car les machines virtuelles portent souvent des noms plus courts ou génériques, tandis que les GPU légitimes ont généralement des noms plus longs.
Fonctionnalités de GPUGate
Arctic Wolf met en avant certaines des caractéristiques les plus marquantes de GPUGate :
- Pour une exécution discrète, : PowerShell se lancera avec certains paramètres permettant de masquer les fenêtres à l'utilisateur et de contourner les politiques d'exécution.
- Pour garantir la persistance, , il crée une tâche planifiée qui se lance au redémarrage.
- Pour contourner les mesures de défense, , ce logiciel exclut les emplacements de stockage du logiciel malveillant Defender de l'analyse, de sorte que ses composants malveillants ne soient pas détectés.
- En ce qui concerne le site C2, , celui-ci utilise plusieurs domaines et adresses IP redondants, ce qui lui permet de continuer à fonctionner même si l'un d'entre eux venait à être mis hors service.
Ce logiciel malveillant collecte et exfiltre des données sensibles à partir des systèmes de fichiers locaux. Arctic Wolf souligne que GPUGate pourrait être capable de déployer un rançongiciel et de supprimer les fichiers de sauvegarde ainsi que les options de restauration du système.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
En exigeant un véritable GPU pour le déchiffrement, GPUGate marque un tournant vers des logiciels malveillants capables de s'adapter à leur environnement, ce qui rend le sandboxing traditionnel et l'analyse automatisée bien moins efficaces.
Cette campagne ne vise pas seulement les systèmes équipés de cartes graphiques, mais également les utilisateurs susceptibles de disposer de privilèges élevés. Cela implique un certain niveau de profilage préalable à l'attaque, qui pourrait s'inscrire dans le cadre d'une stratégie d'attaque plus large.
Au cours de ses recherches, Arctic Wolf a constaté que l’un des sites contrôlés par les pirates hébergeait également le logiciel malveillant « AMOS » pour macOS, développé par l’ , accessible à l’adresse. Le lien potentiel avec AMOS accentue cette menace.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
