Dans le résumé de cette semaine, CTI examine Intel471’s analyses récentes d’attaques qui combinent le phishing vocal et par e-mail. Ensuite, CTI examine l’analyse de Mandiant de 138 vulnérabilités exploitées initialement divulguées en 2023. Vous trouverez également une ventilation de l’analyse de Flashpoint de l’infostealer PureLogs ciblant le navigateur Chrome.
Les auteurs de menaces propagent les logiciels malveillants via l’hameçonnage par rappel
Intel471 a publié son analyse des attaques qui combinent l’ hameçonnage vocal et par e-mail , une stratégie connue sous le nom d’hameçonnage par rappel, d’hameçonnage hybride ou de livraison d’attaque par téléphone (TOAD).
Selon Intel471, ces types d’attaques ont augmenté, ainsi qu’une demande plus élevée parmi les acteurs malveillants pour les services TOAD.
Qu’est-ce que l’hameçonnage par rappel ?
Une attaque typique commence par un e-mail d’hameçonnage encourageant le destinataire à appeler un numéro de téléphone spécifique. L ’attrait réel de l’ingénierie sociale utilisé dans ces campagnes variera, mais tous cherchent à amener la victime au téléphone avec un acteur malveillant pour terminer l’attaque.
Les dernières données suggèrent que les attaques de phishing par rappel augmentent en fréquence. Proofpoint a récemment révélé que 10 millions d’attaques TOAD se produisent chaque mois et affectent environ 67 % des organisations dans le monde.
Augmentation de la demande
Parallèlement à l’augmentation de ces attaques, de nombreux acteurs malveillants souhaitent s’étendre aux attaques TOAD.
Intel471 ont observé plus de 50 acteurs à la recherche d’appelants à utiliser dans leur chaîne d’attaque. Certains de ces acteurs cherchaient des appelants qui parlaient des langues spécifiques.
Les rançongiciels et les attaques TOAD
Un nombre croissant d’ acteurs de rançongiciels recherchent des services liés à TOAD pour leurs attaques. Ces services peuvent être utiles dans la partie d’accès initial de leurs attaques.
Intel471 a déclaré que « la plupart des opérateurs de rançongiciels recherchent une coopération à long terme avec les appelants de rançon et proposent des frais mensuels ainsi que des parts de paiements de rançon, ce qui indique que ces services sont valorisés parmi les acteurs malveillants impliqués dans les rançongiciels. »
Gain financier
Ces types d’attaques sont généralement menés par des acteurs à la recherche d’un gain financier. Les attaques d’hameçonnage par rappel réussies ont le potentiel de générer une grande somme d’argent pour l’acteur et pour l’appelant.
L’un de ces services d’appelants, CrimeTalk, facture 10 USD par appel. Intel471 a également observé un acteur malveillant recherchant des appelants qui parlaient italien, offrant 5 000 USD par jour.
Services
Certains acteurs créent des modèles plus commerciaux de leurs services. Un exemple est le service M00N de spam/hameçonnage par e-mail, qui offre plusieurs façons de fournir des e-mails d’hameçonnage.
Un autre service, Quattr0, propose divers appels frauduleux, y compris des appels aux banques, des services de livraison, des boutiques en ligne, etc. Ce groupe prétend pouvoir passer des appels vers n’importe quel pays, sauf la Russie.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs incluent de plus en plus les TTP de phishing par rappel dans leurs attaques, comme en témoigne le nombre élevé d’offres de services connexes sur le marché souterrain.
De nombreuses organisations incluent des conseils et astuces de base dans leur formation de sensibilisation à la sécurité pour savoir comment identifier les e-mails d’hameçonnage, mais il est probable qu’elles n’incluent pas toutes des informations utiles sur les types d’hameçonnage plus hybrides, comme ceux qui incluent les rappels.
Le rapport Intel471’s est un bon rappel pour les organisations de revoir leur formation de sensibilisation à la sécurité pour s’assurer qu’il comprend des informations sur la manière d’identifier les dernières escroqueries par hameçonnage.
Mandiant analyse les tendances en matière de temps d’exploitation
Mandiant a analysé 138 vulnérabilités exploitées qui ont été initialement divulguées en 2023.
Les principaux points à retenir comprenaient :
- 70 % des vulnérabilités ont été exploitées en tant que zero-days
- Le délai moyen d’exploitation n’était que de cinq jours
- Microsoft, Apple et Google étaient les fournisseurs les plus exploités
Temps d’exploitation (TTE)
Mandiant utilise Time-to-Exploit, ou TTE, pour définir le temps moyen nécessaire à l’exploitation d’une vulnérabilité avant ou après la publication d’un correctif.
L’ETT a diminué ces dernières années, et la baisse la plus importante s’est produite l’année dernière. À partir de 2021-2022, l’ETT était de 32 jours, mais en 2023, Mandiant a observé une moyenne de seulement cinq jours.
Zéro jour vs n-jour
Cette année, Mandiant a remarqué un rapport de 30:70 lors de la comparaison de n-days (vulnérabilités exploitées après la disponibilité des correctifs) à zero-days (vulnérabilités exploitées avant la disponibilité des correctifs), ce qui révèle une augmentation régulière de l’exploitation zero-day par rapport aux dernières années.
Mandiant a constaté que l’exploitation était plus susceptible de se produire pendant le premier mois de publication d’un correctif pour une vulnérabilité précédemment divulguée. Mandiant a également constaté que 12 % des n-days ont été exploités en un seul jour, tandis que plus de la moitié d’entre eux ont été exploités en un mois.
Calendriers d’exploitation
Mandiant a également signalé que 30 % des vulnérabilités ont été exploitées pour la première fois après leur divulgation au public.
En examinant les vulnérabilités dont les exploits étaient disponibles avant l’exploitation observée, Mandiant a identifié une médiane de sept jours à compter de la date de divulgation de l’exploit public.
Pour les vulnérabilités avec des exploits disponibles après une exploitation observée, ils ont identifié une médiane de 15 jours à compter de la divulgation.
Exploitations par fournisseur
Mandiant a éliminé chaque vulnérabilité par fournisseur. Ils ont constaté une augmentation de 17 % par rapport au nombre précédent de fournisseurs les plus exploités, notant que Microsoft, Apple et Google sont les principaux fournisseurs exploités depuis quelques années maintenant.
Les attaquants semblent diversifier les cibles dès maintenant, Mandiant citant une augmentation du nombre global de fournisseurs exploités.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La hiérarchisation des correctifs devient incroyablement difficile, car les vulnérabilités sont exploitées de plus en plus rapidement chaque année.
Ainsi, la gestion des correctifs de vulnérabilité doit être associée à une détection et une réponse efficaces pour s’adapter en temps réel.
Leur analyse indique également que les zero-days deviennent de plus en plus populaires, ce qui s’aligne sur les tendances récentes du paysage des menaces.
PureLogs cible le navigateur Chrome
Flashpoint a récemment étudié l’infostealer PureLogs qui cible activement le navigateur Chrome pour voler des informations sensibles. Seules quelques autres familles de logiciels malveillants sont actuellement capables de collecter des données à partir du navigateur Chrome, ce qui rend cette menace à surveiller.
Flashpoint a observé plus de 53 millions d’informations d’identification compromises ainsi que 13 millions d’appareils infectés en raison de l’activité du voleur d’informations en 2024. Ce logiciel malveillant est apparu pour la première fois en 2022 et est en circulation depuis. Son faible niveau de prix par rapport à d’autres infostealers soutient probablement son utilisation continue.
Qu’est-ce que PureLogs ?
Le malware infostealer PureLogs est écrit en C#. Comme beaucoup d’autres familles de logiciels malveillants, il utilise plusieurs étapes d’assemblages.
Le voleur tente de collecter des données sensibles à partir du navigateur Chrome, que Flashpoint note comme une fonctionnalité « partagée par seulement quelques logiciels malveillants, tels que Lumma, Vidar et Meduza ».
Le logiciel malveillant maintient une présence sur les marchés souterrains et sur le clearnet avec un marché dédié. PureLogs est actuellement l’un des infostealers les moins chers du marché, ce qui le rend encore plus attrayant pour les acteurs malveillants.
En plus des programmes malveillants de vol d’informations, le créateur offre également un accès à un mineur de cryptomonnaies, des outils de remplacement de presse-papiers, un botnet et un client informatique réseau virtuel masqué.
Comment PureLogs fonctionne-t-il ?
Étape 1
La première étape consiste à charger et exécuter. Cette étape contient un tableau d’octets qui sera décrypté via l’algorithme AES.
La clé AES et la valeur initiale sont codées en dur comme Base64 chaînes codées. Le binaire est décompressé, ce qui entraîne un DLL C# chargé et exécuté en mémoire.
Étape 2
L’étape deux effectuera des vérifications anti-sandbox avant de charger réellement l’ensemble infostealer final. Cela commence par vérifier l’existence de DLL actuellement chargées dans le processus. Il vérifiera également le PPID pour le processus, car il ne doit pas être présent car l’assemblage est conçu pour être chargé dynamiquement dans la mémoire du processus d’origine.
Plusieurs requêtes WMI sont effectuées pour obtenir des informations sur le matériel et vérifier l’existence de chaînes « VMware » ou « virtuelles ». Le logiciel malveillant vérifiera la taille du moniteur, la bitness de l’architecture et le nom d’utilisateur pour déterminer s’il s’exécute sur une machine virtuelle. Sinon, il établira une connexion avec son C2. Après avoir effectué cette connexion, il décryptera, décompressera et exécutera l’étape finale.
Étape 3
Au cours de la troisième et dernière étape, PureLogs vise à acquérir des données en volant :
- Parcourir les données
- Extensions Chrome, Edge et Opera
- Applications de porte-monnaie cryptographique
- Applications de bureau
- Informations sur la machine
Le logiciel malveillant peut être configuré pour attraper des dossiers, des fichiers par extension ou des fichiers par nom et emplacement. Les acteurs ont également la possibilité de télécharger et d’exécuter des charges utiles supplémentaires.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le note Flashpoint, le paysage des cybermenaces est inondé de nombreux voleurs d’informations. Les acteurs malveillants recherchent des voleurs d’informations comme un moyen rapide et facile d’ obtenir des informations sensibles qu’ils peuvent vendre ou utiliser pour d’autres activités malveillantes.
Étant donné qu’il y a tant de voleurs d’informations parmi lesquels choisir, l’obstacle à l’entrée est remarquablement faible. Les acteurs disposent désormais d’une multitude de capacités et de fonctionnalités parmi lesquelles choisir.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
