Dans le résumé de cette semaine, l’équipe CTI de Tanium examine comment les travailleurs informatiques nord-coréens utiliseraient des contrefaçons en temps réel pour accéder aux organisations. Ensuite, l’équipe enquête sur un courtier d’accès initial (IAB) connu sous le nom de ToyMaker. Enfin, nous concluons par une vue d’ensemble de la manière dont plusieurs groupes parrainés par l’État tirent parti de la tactique d’ingénierie sociale ClickFix pour fournir des logiciels malveillants.
Les acteurs malveillants utilisent des deepfakes en temps réel pour obtenir l’accès
Selon un nouveau rapport de Palo Alto, les travailleurs informatiques nord-coréens seraient en train d’utiliser une technologie de contrefaçon approfondie en temps réel pour pénétrer dans les organisations via des postes de travail à distance.
Plusieurs rapports ont récemment été publiés concernant l’augmentation du nombre de candidats utilisant des simulations approfondies en temps réel pendant les entretiens d’embauche. Les acteurs malveillants nord-coréens ont spécifiquement « constamment démontré un intérêt significatif pour les techniques de manipulation d’identité ».
Il y a seulement deux ans, Palo Alto a rapporté comment les acteurs nord-coréens créaient des identités synthétiques à l’aide d’informations personnelles compromises. Ces travailleurs informatiques nord-coréens ont continué à faire progresser leurs tactiques, techniques et procédures (TTP), mettant désormais en œuvre une technologie de contrefaçon approfondie en temps réel dans le mélange. Cela permet à un seul informaticien d’interroger un seul poste à l’aide de plusieurs personas factices et de l’aider à éviter d’être identifié.
Est-il facile de créer une identité factice ?
Un chercheur de Palo Alto sans expérience préalable en manipulation d’images et avec des connaissances approfondies limitées a décidé de créer une identité synthétique pour les entretiens d’embauche. À l’aide d’un ordinateur de cinq ans, l’équipe a créé un profil en seulement 70 minutes, soulignant à quel point il serait facile pour les acteurs malveillants de tous les niveaux de faire de même.
Pour ce faire, la personne a utilisé des images uniques générées par un site appelé thispersonnotexist[.]org. Le site « permet l’utilisation des visages générés à des fins personnelles et commerciales, ainsi que des outils gratuits pour les faux profonds. »
En utilisant ces images, ils ont pu générer plusieurs identités. Tout ce que cette personne devrait faire est de changer ses vêtements et son image de fond pour vraiment différencier les différents personas.
Ils ont essayé à nouveau, cette fois avec plus de temps, un meilleur GPU et une résolution plus élevée du même processus exact, ce qui a créé des résultats encore plus convaincants.
Comment repérer les deepfakes vidéo en temps réel
Palo Alto a souligné quelques lacunes dans les systèmes de contrefaçon profonde que les défenseurs peuvent utiliser pour identifier les faux personas, notamment :
- Mouvements rapides de la tête
- Une face mal construite se produit lorsqu’une main ou un autre objet se déplace devant elle
- Changements soudains d’éclairage
- Retards dans le mouvement de la bouche et la parole
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les chercheurs de Palo Alto ont tenté de créer des deepfakes en temps réel en utilisant uniquement des outils facilement disponibles et du matériel bon marché pour démontrer à quel point il est facile pour les acteurs de créer des identités crédibles. L’enseignement clé est que la création de fausses identités est étonnamment facile.
L’évolution constante de cette menace, associée à des améliorations constantes de l’IA et de la technologie DeepFake, rend les attaques extrêmement difficiles à détecter. Comme le note Palo Alto, une étroite collaboration entre les RH et la sécurité est essentielle pour identifier et protéger contre cette menace en constante évolution.
Il est important de regarder les vidéos créées par Palo Alto dans le rapport pour comprendre pleinement à quel point ces faux profonds peuvent être convaincants.
ToyMaker IAB fonctionne avec des gangs à double extorsion
Cisco Talos a partagé les détails d’un courtier d’accès initial (IAB) nommé ToyMaker. Cet acteur financièrement motivé cible les systèmes vulnérables, déploie une porte dérobée personnalisée appelée LAGTOY et tente d’extraire des informations d’identification.
Cisco Talos a observé ToyMaker donner cet accès au gang de ransomware à double extorsion Cactus.
Comment ToyMaker fonctionne-t-il ?
Dans la semaine suivant la compromission initiale, ToyMaker s’est engagé dans la reconnaissance, suivie du vol d’informations d’identification et du déploiement de backdoor. Cela a été suivi d’une baisse d’activité avant que Cactus n’entre sur la photo, à l’aide d’informations d’identification que ToyMaker avait volées.
ToyMaker exploitera souvent les vulnérabilités connues pour pénétrer dans une organisation et commencer à effectuer une reconnaissance. Après avoir exécuté certaines commandes de base pour la découverte, l’acteur lancera un auditeur SSH. L’endpoint peut ensuite recevoir une connexion d’un hôte infecté différent, créant un binaire nommé « spep-server.exe », le module serveur SFTP d’OpenSSH. Cet exécutable peut ensuite vous contacter pour télécharger l’exécutable Magnet RAM Capture.
Magnet RAM Capture est un outil gratuit d’analyse légale souvent utilisé pour obtenir un vidage de mémoire de l’hôte. ToyMaker peut ensuite l’utiliser pour extraire des informations d’identification. L’acteur utilisera ensuite son propre implant à coque inversée personnalisé, LAGTOY, pour établir la persistance sur le système.
[Lire également : 15 termes de cybersécurité que vous (et votre PDG) devez connaître à présent]
Qu’est-ce que le backdoor LAGTOY ?
LAGTOY est un implant simple utilisé par ToyMaker et est également suivi comme « HOLERUN ».
Le backdoor contacte périodiquement le C2, recherchant des commandes à exécuter sur l’appareil infecté. Il contient des vérifications anti-débogage et est conçu pour s’exécuter en tant que service sous le nom « WmiPrvSV ». L’IP et le port C2 du logiciel malveillant sont tous deux codés en dur. LAGTOY utilise une logique temporelle pour son exécution, qui est considérée comme unique à cette famille.
Cactus et ToyMaker
Après avoir reçu l’accès de ToyMaker, Cactus a commencé à effectuer des analyses réseau, à répertorier les endpoints et à effacer leurs pistes. Les informations d’identification obtenues par ToyMaker ont permis à Cactus d’accéder à plusieurs systèmes et d’exfiltrer des fichiers.
Cet acteur a également utilisé plusieurs outils d’administration à distance pour l’accès, créé des shells inversés via OpenSSH, supprimé l’accès au fichier de clé privée SSH, créé de nouveaux comptes d’utilisateur, exécuté des commandes pour désactiver les outils de sécurité et utilisé des binaires injectés Metasploit.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs IAB peuvent parfois être négligés parce qu’ils n’effectuent pas de chaînes d’attaque complexes. L’analyse et le calendrier de Cisco Talos révèlent le rôle important que les IAB jouent dans le paysage des menaces en facilitant la mise en œuvre de leurs plans par d’autres acteurs.
Cet exemple sert de rappel sur l’importance des précautions telles que l’application de correctifs de vulnérabilité et la rotation des informations d’identification compromises.
Les pirates informatiques parrainés par l’État utilisent la tactique d’ingénierie sociale ClickFix
Selon Proofpoint, plusieurs groupes parrainés par l’État tirent désormais parti de la tactique d’ingénierie sociale ClickFix pour fournir des logiciels malveillants. Cette technique « remplace les étapes d’installation et d’exécution dans les chaînes d’infection existantes » pour ces acteurs.
Autres attaques ClickFix récentes pour en savoir plus sur :
- Typhon de soie, fausses notes de rançon et ClickFix
- Vortax répand les logiciels malveillants d’infostealer, les logiciels malveillants Linux utilisent des émojis pour exécuter des commandes
Proofpoint a observé plusieurs acteurs nationaux de Corée du Nord, d’Iran et de Russie utiliser cette technique entre la fin du 2024 et le début du 2025.
TA427 alias Kimsuky (Corée du Nord)
Cet acteur de menace nord-coréen, également connu sous le nom de Kimsuky, a été observé par Proofpoint en janvier et février 2025 cible des organisations du secteur des groupes de réflexion. Ces attaques utilisaient une chaîne d’infection à l’aide de la technique ClickFix que le groupe n’avait pas utilisée auparavant.
Le groupe a commencé les attaques en envoyant un e-mail aux victimes et en entamant une conversation pour renforcer la confiance. L’acteur a ensuite guidé la victime vers un site où il lui a été demandé de copier, coller et exécuter une commande PowerShell qui enregistrerait soi-disant son appareil dans le cadre de l’attrait. Proofpoint note qu’une chaîne n’a pas reçu de charges utiles supplémentaires, tandis qu’une autre instance similaire de l’attaque a utilisé une chaîne à plusieurs étapes pour exécuter plusieurs scripts, ce qui a entraîné QuasarRAT.
TA450 alias MuddyWater (Iran)
En novembre 2024, Proofpoint a observé cet acteur, également connu sous le nom de MuddyWater, à l’aide de ClickFix.
L’ attaque a commencé par un e-mail d’hameçonnage qui prétendait être une mise à jour de sécurité de Microsoft. Cela a finalement poussé la victime à exécuter PowerShell avec des privilèges d’administrateur, à copier, coller et exécuter une commande dans l’e-mail.
TA422 et UNK_RemoteRogue (Russie)
En décembre 2024, Proofpoint a observé un acteur russe envoyant des messages à deux organisations sans ligne d’objet qui étaient susceptibles d’abuser des serveurs Zimbra compromis pour l’infrastructure.
Ces e-mails contenaient un lien usurpant Microsoft Office et invitaient le destinataire à visiter le site. Le site a également usurpé un document Word et a demandé à la victime de copier et d’exécuter le code à partir de celui-ci. Ce site a fait un pas en avant en incluant un lien YouTube qui a montré comment exécuter PowerShell.
[Lire également : Voici un autre exemple concret de TA422 en action]
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La technique ClickFix est désormais très courante parmi les acteurs cybercriminels, ce qui rend la découverte de Proofpoint de son utilisation par les acteurs nationaux assez remarquable.
Il reste à voir si davantage d’acteurs nationaux commenceront à adopter cette technique, mais le fait que ces acteurs n’aient utilisé la technique qu’une seule fois peut indiquer une période d’essai de quelque sorte.
Il convient également de noter que la technique ClickFix devient de plus en plus populaire au fil des mois, ce qui rend important d’éduquer les utilisateurs sur certains des signes révélateurs.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
