Dans le tour d'horizon de cette semaine, CTI analyse la manière dont des acteurs malveillants nord-coréens ciblent les demandeurs d'emploi à l'aide d'une souche de logiciel malveillant pour macOS appelée « Ferret ». CTI se penche ensuite sur la récente augmentation du nombre d'attaques visant les utilisateurs de macOS. CTI se penche également sur une campagne de hameçonnage qui utilise des liens SharePoint pour rediriger les victimes vers un rapport Power BI authentique.
Des pirates informatiques nord-coréens ciblent les demandeurs d'emploi à l'aide du logiciel malveillant « Ferret »
Des cybercriminels nord-coréens diffusent désormais une variante de logiciel malveillant pour macOS, baptisée « Ferret », dans le cadre d'un faux processus de recrutement.
Alors qu’Apple a déployé des mises à jour de signatures afin de protéger les utilisateurs finaux contre le logiciel malveillant Ferret, les chercheurs en sécurité des systèmes d’exploitation ( ) de SentinelOne (s’ouvre dans un nouvel onglet) ont récemment découvert certains échantillons, baptisés « FlexibleFerret », qui échappent à la détection par XProtect, l’outil de détection des logiciels malveillants intégré aux appareils d’Apple.
Contexte de la famille de logiciels malveillants « Ferret »
Plusieurs rapports antérieurs rédigés par divers chercheurs ont fourni des détails sur les composants du logiciel malveillant issu de la campagne « Contagious Interview » menée par l' : (s'ouvre dans un nouvel onglet),, . Dans le cadre de cette campagne, les victimes communiquent avec une personne qu’elles prennent pour un recruteur et sont invitées à installer un logiciel destiné à un entretien virtuel ou d’autres éléments nécessaires au déroulement de l’entretien.
Apple a récemment publié une mise à jour majeure pour XProtect visant à contrer certains composants de logiciels malveillants, notamment une porte dérobée se faisant passer pour un fichier du système d'exploitation et deux modules de persistance liés à la famille Ferret.
Qu'est-ce que FlexibleFerret ?
Comme indiqué plus haut, SentinelOne a identifié de nouveaux échantillons de la famille de logiciels malveillants Ferret, qu’elle a baptisée « FlexibleFerret ».
Les chercheurs ont initialement découvert ces échantillons supplémentaires après avoir réorienté leurs recherches à partir d'autres composants du logiciel malveillant Ferret. Le « dropper » qu'ils ont découvert est un paquet Apple Installer contenant deux applications, un binaire autonome et un script.
Comment fonctionne FlexibleFerret ?
SentinelOne a déterminé que le programme d'installation utilisera ce script pour déployer et exécuter des composants supplémentaires après avoir obtenu les privilèges élevés nécessaires, en consignant ses actions dans un fichier journal.
Le fichier binaire contenu dans le paquet se connectera à un domaine de hameçonnage pendant que le script exécutera l'une des applications qu'il contient.
Cette application affichera un message d'erreur à l'intention de la victime afin de lui faire croire que le processus se déroule normalement. Pendant ce temps, le logiciel malveillant s'installe de manière persistante en arrière-plan.
FlexibleFerret et ChromeUpdate
Les composants Ferret récemment découverts sont liés aux dernières règles Ferret d'Apple. Le fichier binaire lui-même présente une similitude de 86 % avec le fichier binaire ChromeUpdate et contient des chaînes de caractères pratiquement identiques.
Selon SentinelOne, XProtect ne détecte actuellement pas les fichiers binaires contenus dans le programme d'installation malveillant comme étant des logiciels malveillants.
En quoi consiste la campagne « Contagious Interview » ?
FlexibleFerret participe à la campagne « Contagious Interview » organisée par , (s'ouvre dans un nouvel onglet), qui se déroule depuis au moins 2023.
Cette campagne cible principalement les développeurs à la recherche d'un emploi et demande souvent à de faux candidats de télécharger des composants contenant des logiciels malveillants, prétendument nécessaires pour passer un entretien.
Dans un cas notable, un acteur malveillant a élargi son champ d'action pour cibler les utilisateurs de GitHub plutôt que les simples demandeurs d'emploi, comme l'a constaté SentinelOne.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le rapport de SentinelOne fournit des informations essentielles sur une campagne en cours dans le cadre de laquelle des acteurs nord-coréens se font passer pour des recruteurs.
Le nouveau logiciel malveillant « Ferret » laisse supposer que ces acteurs continuent de développer des outils pour renforcer leur campagne, tandis que le fait qu'ils ciblent des utilisateurs génériques de GitHub indique qu'ils pourraient étendre leur champ d'action au-delà des candidats à un emploi.
Les utilisateurs de macOS sont confrontés à une menace croissante liée aux logiciels de vol d'informations
Palo Alto constate une recrudescence (s'ouvre dans un nouvel onglet) des attaques visant les utilisateurs de macOS ; ses données de télémétrie indiquent en effet une augmentation de 101 % du nombre de logiciels de vol d'informations ciblant macOS au cours des deux derniers trimestres de 2024. Par ailleurs, cette étude a identifié les trois logiciels de vol d'informations les plus répandus sous macOS : Poseidon, Atomic et Cthulhu.
Les trois principaux logiciels d'espionnage ciblant macOS
- Atomic Stealer (AMOS) existe depuis au moins 2023 et est disponible sur des forums clandestins sous la forme d'un « malware-as-a-service » (MaaS). Plusieurs versions ont été mises en service depuis son apparition, les premières versions ayant été développées en Go et les plus récentes en C++.
Quelle que soit la version, de nombreux opérateurs d'AMOS le diffusent par le biais de publicités malveillantes afin de dérober des notes et des documents, des données de navigateur, des portefeuilles de cryptomonnaies et des données de messagerie instantanée. - Le logiciel malveillant « Poseidon Stealer » a été mis en avant sur des forums cybercriminels par une personne utilisant le pseudonyme « Rodrigo4 », qui aurait également travaillé comme programmeur pour AMOS. Palo Alto indique que le logiciel malveillant « Poseidon MaaS » a été vendu l'été dernier à un acquéreur inconnu, bien que ce logiciel malveillant continue d'être actif dans la nature.
Ce logiciel de vol d'informations est souvent diffusé par le biais de programmes d'installation infectés par des chevaux de Troie qui imitent des logiciels et des applications légitimes. Ces programmes d'installation sont souvent diffusés via des publicités Google malveillantes (s'ouvre dans un nouvel onglet) ou par e-mail, et contiennent un fichier AppleScript codé permettant de déployer le logiciel malveillant.
Selon Palo Alto, Poseidon est capable d'exécuter diverses tâches, telles que la collecte d'informations système, le vol de données de navigateur et de portefeuilles de cryptomonnaies, ainsi que l'extraction de mots de passe à partir de gestionnaires de mots de passe.
- Cthulhu Stealer est également proposé sous forme d'offre MaaS. Ce logiciel de vol d'informations est souvent diffusé par le biais de programmes d'installation d'applications malveillantes. Ces programmes d'installation affichent une boîte de dialogue invitant la victime à saisir un mot de passe afin de mettre à jour les paramètres du système.
Ce logiciel de vol d'informations cible un éventail d'informations bien plus large, notamment les fichiers de configuration de FileZilla, les fichiers de notes, certaines extensions de fichiers, les données de navigateur, etc.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Au cours des dernières années, le nombre de menaces ciblant macOS, notamment le ransomware « » (s'ouvre dans un nouvel onglet), les vulnérabilités et les programmes de vol d'informations, a considérablement augmenté.
Cette augmentation pourrait s'expliquer par la généralisation des appareils macOS. Toutefois, il se pourrait aussi tout simplement que les cybercriminels recherchent des domaines où la concurrence est moins forte. Après tout, le monde de la cybercriminalité fonctionne de plus en plus comme une entreprise.
Les recherches menées par Palo Alto apportent des informations précieuses sur trois logiciels de vol de données spécifiques à macOS susceptibles de déboucher sur d'autres activités malveillantes.
Des cybercriminels exploitent MS Power BI dans le cadre d'une campagne de hameçonnage
Cofense a détecté (s'ouvre dans un nouvel onglet) une campagne de hameçonnage qui utilise des liens SharePoint pour rediriger les victimes vers un rapport Power BI authentique, les incitant à cliquer sur un lien pour « ouvrir le document », ce qui les conduit vers la véritable page de hameçonnage.
À quoi ressemble l'e-mail de hameçonnage concernant MS Power BI ?
Les e-mails de hameçonnage « » (s'ouvre dans un nouvel onglet) diffusés dans le cadre de cette campagne utilisent un objet lié aux confirmations de paiement afin de créer un sentiment d'urgence et d'inciter le destinataire à cliquer de manière impulsive. Chaque e-mail reprend également les éléments d'identité visuelle et la mise en page habituels afin de faire croire aux victimes qu'il s'agit d'un fichier SharePoint légitime.
Que se passe-t-il lorsque vous cliquez sur le lien Power BI ?
Si la victime clique sur le lien « Ouvrir » figurant dans l'e-mail, elle sera redirigée vers un lien Power BI authentique.
Selon Cofense, l'utilisation de liens Power BI réels augmente le risque que ces e-mails contournent les passerelles de messagerie sécurisées et parviennent plus facilement à convaincre les victimes de la légitimité de leurs actions.
Cofense indique que le premier signe indiquant qu'il y a un problème est le moment où l'on demande à la victime de cliquer sur un bouton portant la mention « Ouvrir le document ». Ce bouton vous redirige vers la véritable page de hameçonnage.
Comment fonctionne la page de hameçonnage ?
La page de hameçonnage ressemble à une page de connexion Microsoft classique qui vous demande un nom d'utilisateur et un mot de passe. Le seul élément suspect sur la page elle-même est l'URL, qui n'est manifestement pas l'URL officielle de Microsoft.
Cofense souligne également que cette demande d'identifiants pour accéder à un document partagé est inhabituelle et peut laisser présager un problème potentiel.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne d'hameçonnage illustre parfaitement la manière dont les cybercriminels exploitent souvent des outils de confiance, en particulier ceux utilisés en milieu professionnel.
Étant donné que ces e-mails de hameçonnage contiennent des liens Power BI légitimes, la méthode traditionnelle
formation des employés à la cybersécurité
Dans ce cas précis, passer la souris sur les liens suspects pour les identifier ne fonctionnerait pas.
Ce type d'e-mails de hameçonnage nécessite que les victimes ciblées repèrent des signes avant-coureurs supplémentaires (par exemple, le fait de ne pas s'attendre à recevoir un e-mail) pour les identifier comme des tentatives de hameçonnage.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés par l' : (s'ouvre dans un nouvel onglet),et .
