Dans son tour d'horizon de cette semaine, CTI passe en revue Intel471’s analyses récentes d'attaques combinant le hameçonnage par téléphone et par e-mail. CTI examine ensuite l'analyse réalisée par Mandiant portant sur 138 vulnérabilités exploitées, initialement divulguées en 2023. Vous trouverez également ci-dessous une présentation détaillée de l'analyse réalisée par Flashpoint concernant le logiciel de vol d'informations PureLogs ciblant le navigateur Chrome.
Les cybercriminels diffusent des logiciels malveillants par le biais du « callback phishing »
Intel471 a publié son analyse sur les attaques combinant le hameçonnage vocal et par e-mail — une stratégie connue sous le nom de « callback phishing », de « vishing hybride » ou de « Telephone-Oriented Attack Delivery » (TOAD).
Selon Intel471, ce type d'attaques a augmenté, parallèlement à une demande croissante des acteurs malveillants pour les services TOAD.
Qu'est-ce que le « callback phishing » ?
Une attaque typique commence par un e-mail de hameçonnage incitant le destinataire à appeler un numéro de téléphone précis. Le leurre d'ingénierie sociale « » utilisé dans ces campagnes peut varier, mais tous visent à amener la victime à entrer en contact téléphonique avec un acteur malveillant afin de mener à bien l'attaque.
Les dernières données indiquent que les attaques de hameçonnage par rappel téléphonique sont de plus en plus fréquentes. Proofpoint a récemment révélé que 10 millions d'attaques de type TOAD se produisent chaque mois et touchent environ 67 % des organisations à l'échelle mondiale.
Une demande en hausse
Parallèlement à la recrudescence de ces attaques, de nombreux acteurs malveillants souhaitent se tourner vers les attaques de type TOAD.
Intel471 a repéré plus de 50 acteurs à la recherche de cibles à exploiter dans le cadre de leur chaîne d'attaque. Certains de ces acteurs recherchaient des interlocuteurs parlant des langues spécifiques.
Attaques par ransomware et TOAD
Un nombre croissant d'auteurs de ransomware de type « » recherchent des services liés à TOAD pour mener leurs attaques. Ces services peuvent s'avérer utiles lors de la phase d'accès initial de leurs attaques.
Le rapport Intel471 indique que « la plupart des opérateurs de ransomware recherchent une coopération à long terme avec les personnes chargées de réclamer les rançons et leur proposent des rémunérations mensuelles ainsi qu’une part des rançons versées, ce qui montre que ces services sont très prisés par les acteurs malveillants impliqués dans les attaques par ransomware. »
Gain financier
Ce type d'attaques est généralement le fait d'acteurs motivés par l'appât du gain. Les attaques de hameçonnage par rappel téléphonique qui aboutissent peuvent rapporter une somme d'argent considérable à l'auteur de l'attaque et à la personne qui passe l'appel.
L'un de ces services d'appel, CrimeTalk, facture 10 dollars par appel. Intel471 a également repéré un acteur malveillant qui recherchait des appelants parlant italien, leur proposant 5 000 dollars par jour.
Services
Certains acteurs proposent des modèles de services davantage axés sur l'aspect commercial. On peut citer, par exemple, le service « M00N » de spam et d'hameçonnage, qui propose plusieurs méthodes pour envoyer des e-mails d'hameçonnage.
Un autre service, le Quattr0, propose divers appels frauduleux, notamment des appels destinés à des banques, des services de livraison, des boutiques en ligne, etc. Ce groupe affirme pouvoir passer des appels vers n'importe quel pays, à l'exception de la Russie.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels intègrent de plus en plus souvent des techniques, tactiques et procédures (TTP) de phishing par rappel dans leurs attaques, comme en témoigne le nombre élevé d'offres de services associées sur le marché noir.
De nombreuses organisations intègrent dans leurs formations de sensibilisation à la sécurité des conseils et astuces de base permettant d'identifier les e-mails de hameçonnage, mais il est probable que toutes ne fournissent pas d'informations utiles sur les formes de hameçonnage plus hybrides, telles que celles qui impliquent des rappels téléphoniques.
Le rapport Intel471’s constitue un bon rappel pour les organisations, les incitant à revoir leurs formations de sensibilisation à la sécurité afin de s'assurer qu'elles comprennent des informations sur la manière d'identifier les dernières tentatives d'hameçonnage.
Mandiant analyse les tendances relatives au délai d'exploitation des failles
Mandiant a analysé 138 vulnérabilités exploitées qui avaient été initialement révélées en 2023.
Parmi les points clés à retenir, on peut citer :
- 70 % des failles ont été exploitées sous forme de failles « zero-day »
- Le délai moyen avant l'exploitation n'était que de cinq jours
- Microsoft, Apple et Google ont été les éditeurs les plus ciblés
Délai avant exploitation (TTE)
Mandiant utilise le « Time-to-Exploit », ou TTE, pour définir le délai moyen nécessaire à l'exploitation d'une vulnérabilité avant ou après la publication d'un correctif.
Le TTE est en baisse depuis quelques années, et c'est au cours de l'année écoulée qu'il a enregistré sa plus forte baisse. En 2021-2022, le délai moyen (TTE) était de 32 jours, mais en 2023, Mandiant a constaté une moyenne de seulement cinq jours.
« Zero-day » contre « n-day »
Cette année, Mandiant a constaté un rapport de 30:70 entre les « n-days » (vulnérabilités exploitées après la mise à disposition des correctifs) et les « zero-days » (vulnérabilités exploitées avant la mise à disposition des correctifs), ce qui révèle une augmentation constante des exploitations de type « zero-day » par rapport aux dernières années.
Mandiant a constaté que les attaques étaient le plus susceptibles de se produire au cours du premier mois suivant la publication d'un correctif destiné à une vulnérabilité déjà divulguée. Mandiant a par ailleurs constaté que 12 % des vulnérabilités de type « n-days » avaient été exploitées en l'espace d'une seule journée, tandis que plus de la moitié d'entre elles l'avaient été en l'espace d'un mois.
Calendriers d'exploitation
Mandiant a également indiqué que 30 % des failles avaient été exploitées pour la première fois après leur divulgation au public.
En examinant les vulnérabilités pour lesquelles des exploits étaient disponibles avant que leur exploitation ne soit constatée, Mandiant a constaté un délai médian de sept jours à compter de la date de divulgation publique de l'exploit.
Pour les vulnérabilités pour lesquelles des exploits sont disponibles après qu’une exploitation a été constatée, ils ont identifié un délai médian de 15 jours à compter de la divulgation.
Exploitations par le fournisseur
Mandiant a répertorié chaque vulnérabilité par éditeur. Ils ont constaté une augmentation de 17 % par rapport au précédent record du nombre de fournisseurs les plus ciblés, en soulignant que Microsoft, Apple et Google figuraient en tête de liste des fournisseurs les plus ciblés depuis plusieurs années déjà.
Les pirates semblent désormais diversifier leurs cibles, Mandiant faisant état d'une augmentation du nombre global de fournisseurs ciblés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La hiérarchisation des correctifs devient un véritable défi, car les vulnérabilités sont exploitées de plus en plus rapidement chaque année.
À ce titre, la gestion des correctifs de vulnérabilité doit s'accompagner d'un système efficace de détection et d'intervention afin de s'adapter en temps réel.
Leur analyse montre également que les failles « zero-day » sont de plus en plus courantes, ce qui correspond aux tendances récentes observées dans le paysage des menaces.
PureLogs cible le navigateur Chrome
Flashpoint a récemment mené une enquête sur , le logiciel malveillant « PureLogs » qui cible activement le navigateur Chrome afin de dérober des informations sensibles. Seules quelques autres familles de logiciels malveillants sont actuellement capables d'extraire des données du navigateur Chrome, ce qui fait de cette menace un sujet à surveiller.
Flashpoint a recensé plus de 53 millions d'identifiants compromis ainsi que 13 millions d'appareils infectés à la suite d'activités de logiciels de vol d'informations en 2024. Ce logiciel malveillant est apparu pour la première fois en 2022 et circule depuis lors. Son prix peu élevé par rapport à d'autres logiciels de vol d'informations explique sans doute pourquoi il continue d'être utilisé.
Qu'est-ce que PureLogs ?
Le logiciel malveillant de vol d'informations PureLogs est écrit en C#. À l'instar de nombreuses autres familles de logiciels malveillants, elle recourt à plusieurs étapes d'assemblage.
Le logiciel malveillant tente de collecter des données sensibles à partir du navigateur Chrome, ce qui, selon Flashpoint, est une fonctionnalité « que ne partagent que quelques logiciels malveillants, tels que Lumma, Vidar et Meduza ».
Ce logiciel malveillant est présent sur les marchés clandestins ainsi que sur le « clearnet », où il dispose de sa propre plateforme de vente. PureLogs est actuellement l'un des logiciels de vol d'informations les moins chers du marché, ce qui le rend d'autant plus attractif pour les cybercriminels.
Outre les logiciels malveillants destinés au vol d'informations, l'auteur propose également l'accès à un mineur de cryptomonnaie, à des outils de remplacement du presse-papiers, à un botnet et à un client VNC (Virtual Network Computing) dissimulé.
Comment fonctionne PureLogs ?
Première étape
La première étape comprend le chargement et l'exécution. Cette étape contient un tableau d'octets qui sera déchiffré à l'aide de l'algorithme AES.
La clé AES et la valeur initiale sont toutes deux codées en dur sous forme de chaînes de caractères encodées en Base64 . Le fichier binaire est décompressé, ce qui entraîne le chargement et l'exécution en mémoire d'une DLL C#.
Deuxième étape
La deuxième étape effectuera des vérifications anti-sandbox avant de charger effectivement l'assembly final du programme de vol d'informations. Il commence par vérifier si des DLL sont actuellement chargées dans le processus. Il vérifiera également le PPID du processus, car celui-ci ne devrait pas être présent, l'assembly étant conçu pour être chargé dynamiquement dans la mémoire du processus d'origine.
Plusieurs requêtes WMI sont exécutées afin d'obtenir des informations sur le matériel et de vérifier la présence des chaînes « VMware » ou « Virtual ». Le logiciel malveillant vérifiera la taille de l'écran, l'architecture (nombre de bits) et le nom d'utilisateur afin de déterminer s'il s'exécute dans une machine virtuelle. Sinon, il établira une connexion avec son C2. Une fois cette connexion établie, le programme procédera au déchiffrement, à la décompression et à l'exécution de la dernière étape.
Troisième étape
Au cours de la troisième et dernière étape, PureLogs cherche à collecter des données en les volant :
- Données de navigation
- Extensions pour Chrome, Edge et Opera
- Applications de portefeuille cryptographique
- Applications de bureau
- Informations sur la machine
Le logiciel malveillant peut également être configuré pour extraire des dossiers, des fichiers en fonction de leur extension ou des fichiers en fonction de leur nom et de leur emplacement. Les acteurs ont également la possibilité de télécharger et d'exécuter des charges utiles supplémentaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Flashpoint, le paysage des cybermenaces regorge de nombreux programmes destinés à voler des informations. Les cybercriminels se tournent vers les logiciels de vol d'informations, car ceux-ci constituent un moyen rapide et facile d' obtenir des informations sensibles qu'ils peuvent vendre ou utiliser pour mener d'autres activités malveillantes.
Étant donné le grand nombre d'outils de vol d'informations disponibles, la barrière à l'entrée est remarquablement faible. Les acteurs disposent désormais d'une multitude de fonctionnalités et d'options parmi lesquelles choisir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , sur le forum de discussion de Taniumou sur pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
