Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur Astaroth, un cheval de Troie bancaire sophistiqué ciblant les utilisateurs d'Amérique du Sud. Notre équipe fait également le point sur « TA585 », un acteur malveillant sophistiqué qui maîtrise l'ensemble de sa chaîne d'attaque et déploie fréquemment le logiciel malveillant « MonsterV2 ». Enfin, nous examinons comment les cybercriminels tirent parti de la réputation de confiance de la marque Microsoft dans le cadre d'escroqueries sophistiquées liées à l'assistance technique.
Le cheval de Troie Astaroth utilise GitHub pour héberger les configurations de ses logiciels malveillants
McAfee fournit des informations sur Astaroth, un cheval de Troie bancaire sophistiqué qui vole les identifiants en enregistrant les frappes lorsque les utilisateurs accèdent à des sites web bancaires ou liés aux cryptomonnaies.
Ce qui rend cette variante particulièrement résistante, c'est son utilisation d' , qui utilise des dépôts GitHub pour héberger les configurations de logiciels malveillants et contourner les mesures traditionnelles de désactivation des serveurs de commande et de contrôle (C2).
L'e-mail de hameçonnage d'Astaroth
Cette attaque commence par un e-mail de hameçonnage de type « » ( ) contenant un lien qui, une fois cliqué, télécharge un fichier ZIP. Selon McAfee, les leurres utilisés dans ces e-mails concernent souvent des liens vers DocuSign et des CV.
Le fichier ZIP téléchargé contient un fichier LNK qui, à son tour, contient une commande JavaScript obscurcie. McAfee indique que chaque lien est soumis à des restrictions géographiques.
Le code JavaScript téléchargé téléchargera plusieurs fichiers à partir d'un serveur choisi au hasard. Les fichiers téléchargés comprennent un script AutoIt compilé, un interpréteur AutoIt, une charge utile chiffrée et une configuration chiffrée du logiciel malveillant. JavaScript exécutera le script AutoIt afin de charger le shellcode en mémoire.
Analyse de la charge utile
Astaroth est la charge utile de cette campagne. Ce logiciel malveillant est écrit en Delphi et provoque l'arrêt du système s'il détecte qu'il est en train d'être analysé. Il vérifiera la présence de plusieurs outils sur le système, s'assurera que les paramètres régionaux du système correspondent à ceux des États-Unis et vérifiera en permanence si des navigateurs sont ouverts. Le logiciel malveillant interceptera les événements liés au clavier et enregistrera les frappes s'il détecte l'ouverture d'un site bancaire ou d'un site dédié aux cryptomonnaies.
C2 : communications et infrastructures
Les identifiants volés sont envoyés au serveur C2 de l'attaquant à l'aide d'un protocole binaire personnalisé.
McAfee précise que la configuration est mise à jour toutes les deux heures. Cette mise à jour s'effectue en « récupérant un fichier image à partir des URL de mise à jour de la configuration et en extrayant la configuration cachée de cette image ». Le fichier de configuration est masqué en raison du format dans lequel il est enregistré. McAfee a identifié plusieurs dépôts GitHub contenant des fichiers image présentant le même schéma, qui ont tous été supprimés depuis.
Pour assurer sa persistance, Astaroth crée un fichier LNK qui s'exécutera au démarrage et lancera le script AutoIt afin de déclencher le logiciel malveillant dès le démarrage du système.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les pirates exploitent de plus en plus les plateformes de confiance pour échapper à la détection. Cet acteur en particulier met en œuvre des mesures supplémentaires pour dissimuler son logiciel malveillant au sein du trafic normal en intégrant des données dans des images, ce qui complique la tâche des défenseurs pour détecter les anomalies.
Cette approche est actuellement très personnalisée et ciblée, et exclut spécifiquement les systèmes dont les paramètres régionaux sont liés aux États-Unis, bien que ses techniques soient applicables à l'échelle mondiale.
Le virus « TA585 » diffuse MonsterV2 logiciels malveillants dans le cadre de campagnes d'hameçonnage
Proofpoint a récemment publié une étude intitulée « » consacrée à « TA585 », un acteur malveillant sophistiqué qui maîtrise l'ensemble de sa chaîne d'attaque et déploie fréquemment le puissant logiciel malveillant « MonsterV2 » pour voler des identifiants, mener des activités de surveillance et injecter des charges utiles supplémentaires.
Selon Proofpoint, TA585 utilise des leurres trompeurs, des techniques avancées d'ingénierie sociale, ainsi que des infrastructures telles que ClickFix et CoreSecThree pour échapper à la détection et maximiser son impact.
Détails de la campagne
Le programme « TA585 » diffuse généralement des logiciels malveillants via des sites web piratés, qui affichent souvent un faux CAPTCHA à la victime. Si la victime exécute le script copié, le logiciel malveillant est alors téléchargé.
Proofpoint a également constaté que les charges utiles malveillantes de cet acteur étaient diffusées par e-mail plutôt que via de faux sites web imitant des pages CAPTCHA. Ces e-mails étaient principalement des notifications provenant de GitHub, dans lesquelles l'auteur mentionnait des utilisateurs de GitHub dans de fausses alertes de sécurité. D'autres chercheurs ont également constaté que cet acteur diffusait des logiciels malveillants par le biais de publicités malveillantes.
De nouvelles menaces liées aux CAPTCHA font la une de l'actualité
Au cours des derniers mois, les menaces liées aux CAPTCHA n'ont cessé d'évoluer, devenant de plus en plus sophistiquées et s'intégrant désormais aux campagnes d'hameçonnage, de diffusion de logiciels malveillants et de vol d'identifiants.
Voici quatre rapports marquants issus de nos récentes recherches :
1. sur le retour de ClickFix : Découvrez une analyse approfondie du retour de ClickFix dans le cadre de campagnes de menaces avancées exploitant les CAPTCHA à des fins de dissimulation et de persistance.
2. La campagne ClickFix détourne les CAPTCHA : Découvrez comment les pirates exploitent les techniques de contournement des CAPTCHA dans le cadre de campagnes en constante évolution.
3. Pages CAPTCHA frauduleuses dans UNC5518 campagnes : Découvrez comment UNC5518 utilise CORNFLAKE.V3 avec ClickFix à des fins d'obfuscation.
4. CAPTCHA dans les attaques de hameçonnage dissimulées par l'IA : Découvrez comment le CAPTCHA est utilisé pour masquer les opérations de hameçonnage et la diffusion de logiciels malveillants.
Environ MonsterV2 logiciels malveillants
MonsterV2 joue à la fois le rôle de programme de vol et de programme de chargement, et dépose souvent des logiciels malveillants supplémentaires tels que StealC. D'autres acteurs utilisent également le logiciel malveillant MonsterV2 . C'est lors d'une opération de « février 2025 » que Proofpoint a découvert pour la première fois le groupe MonsterV2 , après l'avoir repéré dans le cadre d'une campagne utilisant des leurres liés à l'IRS.
Selon Proofpoint, ce logiciel malveillant dispose de plusieurs fonctionnalités, notamment celle de recenser et d'exfiltrer des identifiants de connexion, des jetons, des données de navigateur, des fichiers, etc. Il peut également enregistrer les images de la webcam de la victime, visualiser le bureau, disposer de fonctionnalités de capture de clavier, télécharger et exécuter d'autres charges utiles, et bien plus encore. Proofpoint a également constaté que ce logiciel malveillant évite d'infecter les pays de la CEI. Ce logiciel malveillant fait l'objet d'une maintenance et de mises à jour régulières.
Lors de son initialisation, le logiciel malveillant tentera d'élever ses privilèges, puis de créer un mutex sur le système. Il déchiffrera et décompressera ensuite son fichier de configuration, puis se connectera à un domaine afin d'obtenir l'adresse IP et la localisation du système infecté avant de se connecter à son serveur C2 .
MonsterV2 et le crypteur SonicCrypt
Proofpoint a constaté que le logiciel malveillant MonsterV2 est généralement compressé à l'aide du crypteur SonicCrypt. Les logiciels malveillants créés à l'aide de SonicCrypt contiennent délibérément une grande quantité de code inutile afin de compliquer leur analyse. Avant de charger sa charge utile, SonicCrypt effectuera quelques vérifications anti-analyse, puis l'enregistrera dans un fichier sur le disque et l'exécutera.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le groupe TA585 évite les pays de la CEI et recourt au géorepérage lors du déploiement de logiciels malveillants, ce qui pourrait indiquer l'existence d'alliances régionales ou une tentative d'échapper aux autorités locales chargées de l'application de la loi.
Le contrôle de bout en bout exercé par l'acteur sur son infrastructure d'attaque, de la diffusion à la charge utile, révèle une évolution intéressante : l'acteur cherche en effet à réduire sa dépendance vis-à-vis des services tiers. Cela diffère de la tendance actuelle chez les acteurs , qui ont recours à des services tiers pour passer inaperçus.
Des cybercriminels utilisent le logo de Microsoft dans le cadre d'escroqueries au faux support technique
Selon Cofense, des cybercriminels exploitent la réputation de confiance de la marque Microsoft pour mener des escroqueries sophistiquées sous couvert d'assistance technique.
L'attaque commence par un e-mail leurre portant sur un paiement, qui redirige les victimes, via un faux CAPTCHA, vers une page bloquant le navigateur et affichant de fausses alertes de sécurité Microsoft, les incitant ainsi à appeler un faux numéro d'assistance. Une fois la communication établie, les pirates tentent de récupérer des identifiants ou d'installer des outils d'accès à distance.
Cette arnaque est similaire à d'autres qui circulent actuellement. Cependant, cette arnaque associe l'ingénierie sociale à de fausses alertes système et à des superpositions d'interface utilisateur, ce qui la rend plus complexe et plus dangereuse.
Présentation de l'attaque
L'e-mail de cette campagne utilise des techniques d'escroquerie classiques liées aux gains financiers et aux opérations bancaires pour appâter les victimes. Ce message se présente comme un remboursement ou un paiement émanant d'une société de location de voitures et demande au destinataire de confirmer son adresse e-mail pour recevoir les fonds.
Si la victime clique sur le bouton pour confirmer son adresse e-mail, elle est redirigée vers une fausse page CAPTCHA afin d'effectuer une vérification. Une fois qu'il a été vérifié qu'il s'agit bien d'un utilisateur humain, la victime est redirigée vers la véritable page de destination. C'est sur cette page d'accueil que la campagne va au-delà des méthodes d'escroquerie traditionnelles.
Une fois sur la page d'accueil, la victime verra s'afficher plusieurs fenêtres contextuelles se présentant comme des alertes de sécurité de Microsoft. Le navigateur est manipulé de manière à donner l'impression d'être verrouillé, et l'utilisateur ne parvient plus à localiser ni à contrôler sa souris. Ce verrouillage n'est qu'une illusion et peut être contourné simplement en maintenant la touche Échap enfoncée.
Cette attaque tire parti de la notoriété de la marque Microsoft, de son logo, de sa terminologie et du style de ses alertes pour inciter la victime à appeler le faux numéro de téléphone du support technique de Microsoft.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne simule une attaque par ransomware en « verrouillant » le navigateur, ce qui pousse les victimes à céder à la panique et à prendre des décisions précipitées. Elle utilise également la marque Microsoft pour tirer parti de la confiance que les utilisateurs lui accordent depuis des années, ainsi qu'un faux CAPTCHA afin de convaincre davantage l'utilisateur que cette activité est légitime.
Par conséquent, cette campagne pourrait s'avérer plus efficace que les escroqueries traditionnelles liées à l'assistance technique.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
