Dans le tour d'horizon de cette semaine, l'équipe CTI de Tanium examine comment des informaticiens nord-coréens utiliseraient, selon certaines informations, des « deepfakes » en temps réel pour accéder aux systèmes d'entreprises. Dans la suite de cette série, l'équipe enquête sur un courtier en accès initial (IAB) connu sous le nom de ToyMaker. Pour finir, nous concluons par un aperçu de la manière dont plusieurs groupes soutenus par des États exploitent la technique d'ingénierie sociale « ClickFix » (s'ouvre dans un nouvel onglet) pour diffuser des logiciels malveillants.
Les cybercriminels utilisent des « deepfakes » en temps réel pour obtenir un accès
Selon un nouveau rapport de Palo Alto intitulé « » (s'ouvre dans un nouvel onglet), les informaticiens nord-coréens utiliseraient une technologie de « deepfake » en temps réel pour s'infiltrer dans des organisations par le biais de postes de télétravail (s'ouvre dans un nouvel onglet).
Plusieurs articles ont récemment été publiés concernant l'augmentation du nombre de candidats qui utilisent des « deepfakes » en temps réel lors d'entretiens d'embauche (s'ouvre dans un nouvel onglet). Les acteurs malveillants nord-coréens, en particulier, ont « systématiquement manifesté un intérêt marqué pour les techniques de manipulation d'identité ».
Il y a tout juste deux ans, Palo Alto avait révélé comment des acteurs nord-coréens créaient des identités fictives à l'aide de données personnelles piratées. Ces informaticiens nord-coréens n'ont cessé de perfectionner leurs tactiques, techniques et procédures (TTP), en intégrant désormais la technologie du « deepfake » en temps réel à leur arsenal. Cela permet à un seul informaticien de passer un entretien pour un poste en utilisant plusieurs identités créées par deepfake, ce qui l'aide à éviter d'être identifié.
Est-il facile de créer une identité « deepfake » ?
Un chercheur de Palo Alto, sans aucune expérience préalable en matière de manipulation d'images et ne disposant que de connaissances limitées sur les deepfakes, a décidé de créer une identité synthétique pour passer des entretiens d'embauche. À l'aide d'un ordinateur vieux de cinq ans, l'équipe a créé un profil en seulement 70 minutes, démontrant ainsi à quel point il serait facile pour des acteurs malveillants, quel que soit leur niveau de compétence, de faire de même.
Pour ce faire, cette personne a utilisé des images individuelles générées par un site appelé thispersonnotexist[.]org. Le site « autorise l'utilisation des visages générés à des fins personnelles et commerciales, et propose des outils gratuits pour créer des deepfakes ».
À partir de ces images, ils ont pu créer plusieurs identités. Il suffirait à cette personne de changer de vêtements et d'image d'arrière-plan pour distinguer clairement les différents personnages.
Ils ont réessayé, cette fois-ci en consacrant plus de temps à cette opération, en utilisant un processeur graphique plus performant et en augmentant la résolution, tout en suivant exactement le même processus, ce qui a donné des résultats encore plus convaincants.
Comment repérer les « deepfakes » vidéo en temps réel
Palo Alto a mis en évidence quelques failles dans les systèmes de deepfake que les défenseurs peuvent exploiter pour identifier les fausses identités, notamment :
- Mouvements rapides de la tête
- On parle de « visage mal formé » lorsqu'une main ou un autre objet passe devant celui-ci
- Changements brusques d'éclairage
- Retards dans le développement des mouvements buccaux et de la parole
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les chercheurs de Palo Alto ont tenté de créer des « deepfakes » en temps réel en utilisant uniquement des outils facilement accessibles et du matériel peu coûteux, afin de démontrer à quel point il est facile pour des acteurs de se forger des identités crédibles. Ce qu'il faut retenir, c'est qu'il est étonnamment facile de créer de fausses identités.
L'évolution constante de cette menace, associée à des améliorations constantes apportées aux d'IA (s'ouvre dans un nouvel onglet) et à la technologie des deepfakes, rend ces attaques extrêmement difficiles à détecter. Comme le souligne Palo Alto, une collaboration étroite entre les ressources humaines et le service de sécurité est essentielle pour identifier cette menace en constante évolution et s'en prémunir.
Il est important de consulter le site et de visionner les vidéos réalisées par Palo Alto (s'ouvre dans un nouvel onglet) , mentionnées dans le rapport, afin de bien comprendre à quel point ces « deepfakes » peuvent être convaincants.
ToyMaker IAB collabore avec des groupes pratiquant la double extorsion
Cisco Talos a publié des informations (s'ouvre dans un nouvel onglet) concernant un courtier d'accès initial (IAB) baptisé ToyMaker. Cet acteur, motivé par des intérêts financiers, cible des systèmes vulnérables, déploie une porte dérobée sur mesure appelée LAGTOY et tente d'extraire des identifiants.
Cisco Talos a constaté que ToyMaker avait cédé cet accès au groupe de ransomware « Cactus », spécialisé dans la double extorsion.
Comment fonctionne ToyMaker ?
Dans la semaine qui a suivi la première intrusion, ToyMaker a mené des opérations de reconnaissance, puis a procédé au vol d'identifiants et au déploiement d'une porte dérobée. Il s'en est suivi une accalmie, avant que Cactus n'entre en scène, en utilisant les identifiants que ToyMaker avait volés.
ToyMaker exploite souvent des vulnérabilités connues pour s'introduire dans une organisation et commencer à mener des opérations de reconnaissance. Après avoir exécuté quelques commandes de base à des fins de reconnaissance, l'acteur lancera un écouteur SSH. Le terminal peut alors recevoir une connexion provenant d'un autre hôte infecté, ce qui entraîne la création d'un fichier binaire nommé « sftp-server.exe » — le module serveur SFTP d'OpenSSH. Cet exécutable peut ensuite se connecter à Internet pour télécharger l'exécutable Magnet RAM Capture.
Magnet RAM Capture est un outil d'investigation numérique gratuit souvent utilisé pour obtenir un vidage de mémoire de l'hôte. ToyMaker peut alors s'en servir pour extraire les identifiants. L'acteur utilisera ensuite son propre implant de shell inversé personnalisé, LAGTOY, pour s'assurer une présence durable sur le système.
Qu'est-ce que la porte dérobée LAGTOY ?
LAGTOY est un implant simple utilisé par ToyMaker ; il est également répertorié sous le nom de « HOLERUN ».
Le cheval de Troie contacte périodiquement le C2, à la recherche de commandes à exécuter sur l'appareil infecté. Il intègre des contrôles anti-débogage et est conçu pour s'exécuter en tant que service sous le nom « WmiPrvSV ». L'adresse IP et le port C2 de ce logiciel malveillant sont tous deux codés en dur. LAGTOY utilise une logique temporelle pour son exécution, ce qui semble être une caractéristique propre à cette famille.
Cactus et ToyMaker
Après avoir obtenu l'accès de la part de ToyMaker, Cactus a commencé à effectuer des analyses du réseau, à recenser les terminaux et à effacer ses traces. Les identifiants obtenus par ToyMaker ont permis à Cactus d'accéder à plusieurs systèmes et d'exfiltrer des fichiers.
Cet acteur a également utilisé plusieurs outils d'administration à distance pour s'introduire dans le système, créé des shells inversés via OpenSSH, supprimé l'accès au fichier de clé privée SSH, créé de nouveaux comptes utilisateurs, exécuté des commandes visant à désactiver les outils de sécurité et utilisé des binaires injectés via Metasploit.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs de l'IAB peuvent parfois passer inaperçus, car ils ne mettent pas en œuvre des chaînes d'attaques complexes. L'analyse et la chronologie établies par Cisco Talos mettent en évidence le rôle important que jouent les IAB dans le paysage des menaces, en facilitant la mise en œuvre des plans d'autres acteurs.
Cet exemple nous rappelle à quel point les mesures de sécurité , telles que l'application de correctifs de vulnérabilité (s'ouvre dans un nouvel onglet) et le remplacement des identifiants compromis, peuvent être importantes.
Des pirates informatiques soutenus par des États recourent à la technique d'ingénierie sociale « ClickFix »
Selon Proofpoint (s'ouvre dans un nouvel onglet), plusieurs groupes soutenus par des États exploitent désormais la technique d'ingénierie sociale « ClickFix » pour diffuser des logiciels malveillants. Cette technique « remplace les étapes d'installation et d'exécution dans les chaînes d'infection existantes » pour ces acteurs.
Autres attaques récentes de type « ClickFix » à connaître :
- Silk Typhoon, fausses demandes de rançon et ClickFix (s'ouvre dans un nouvel onglet)
- Vortax diffuse un logiciel malveillant de vol d'informations ; un logiciel malveillant sous Linux utilise des emojis pour exécuter des commandes (s'ouvre dans un nouvel onglet)
Proofpoint a observé que plusieurs acteurs étatiques originaires de Corée du Nord, d'Iran et de Russie ont utilisé cette technique entre la fin de l'année 2024 et le début de l'année 2025.
TA427 , alias Kimsuky (Corée du Nord)
Cet acteur malveillant nord-coréen, également connu sous le nom de Kimsuky, a été repéré par Proofpoint en janvier et février 2025 alors qu’il ciblait des organisations du secteur des groupes de réflexion. Ces attaques ont exploité une chaîne d'infection reposant sur la technique « ClickFix », que le groupe n'avait jamais utilisée auparavant.
Le groupe a commencé ses attaques en envoyant des e-mails aux victimes et en engageant la conversation afin de gagner leur confiance. L'acteur a ensuite guidé la victime vers un site où on lui a demandé de copier, coller et exécuter une commande PowerShell censée enregistrer son appareil dans le cadre de cette arnaque. Proofpoint souligne qu’une chaîne n’a pas réussi à recevoir de charges utiles supplémentaires, tandis qu’une autre instance similaire de l’attaque a utilisé une chaîne en plusieurs étapes pour exécuter plusieurs scripts, ce qui a donné lieu à QuasarRAT (s’ouvre dans un nouvel onglet).
TA450 , alias MuddyWater (Iran)
Dans le rapport « novembre 2024 », Proofpoint a observé cet acteur, également connu sous les noms d’ , MuddyWater (s’ouvre dans un nouvel onglet), utiliser ClickFix.
L'attaque « » a débuté par un e-mail de hameçonnage (s'ouvre dans un nouvel onglet) qui se présentait comme une mise à jour de sécurité de Microsoft. Cela a finalement poussé la victime à lancer PowerShell avec des droits d'administrateur, puis à copier, coller et exécuter une commande contenue dans l'e-mail.
TA422 et UNK_RemoteRogue (Russie)
Dans l'article « décembre 2024 », Proofpoint a constaté qu'un acteur russe envoyait à deux organisations des messages dépourvus d'objet, susceptibles d'exploiter des serveurs Zimbra compromis pour servir d'infrastructure.
Ces e-mails contenaient un lien usurpant l'identité de Microsoft Office et invitaient le destinataire à se rendre sur le site. Le site simulait également un document Word et demandait à la victime de copier et d'exécuter le code qu'il contenait. Ce site est allé encore plus loin en ajoutant un lien vers une vidéo YouTube expliquant comment utiliser PowerShell.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La technique ClickFix est désormais très répandue parmi les cybercriminels, ce qui rend d'autant plus remarquable la découverte par Proofpoint de son utilisation par des acteurs étatiques.
Il reste à voir si d'autres acteurs étatiques commenceront à adopter cette technique, mais le fait que ces acteurs ne l'aient utilisée qu'une seule fois pourrait indiquer qu'il s'agissait en quelque sorte d'une phase d'essai.
Il convient également de noter que la technique « ClickFix » gagne en popularité au fil des mois, d’où l’importance de sensibiliser les utilisateurs à certains signes révélateurs.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
