Dans le résumé de cette semaine, CTI examine comment les acteurs malveillants nord-coréens ciblent les demandeurs d’emploi avec une souche de malware macOS appelée Ferret. Ensuite, CTI enquête sur une augmentation récente du nombre d’attaques ciblant les utilisateurs de macOS. CTI examine également une campagne d’hameçonnage qui utilise des liens SharePoint pour diriger les victimes vers un rapport Power BI légitime.
Les pirates nord-coréens ciblent les demandeurs d’emploi avec des logiciels malveillants Ferret
Les acteurs malveillants nord-coréens livrent désormais une souche de malware macOS appelée Ferret dans le cadre d’un faux processus d’entretien d’embauche.
Bien qu’Apple ait mis à jour les signatures pour protéger les utilisateurs finaux contre les logiciels malveillants Ferret, les chercheurs de SentinelOne ont récemment découvert quelques échantillons, surnommés FlexibleFerret, qui restent non détectés par l’outil malveillant sur l’appareil d’Apple XProtect.
Contexte de la famille de logiciels malveillants Ferret
Plusieurs rapports antérieurs de divers chercheurs ont partagé des détails sur les composants des logiciels malveillants de la campagne Contagious Interview. Dans cette campagne, les victimes communiquent avec une personne qu’elles pensent être un intervieweur pour un emploi et sont invitées à installer un logiciel pour une réunion virtuelle ou d’autres composants nécessaires au processus d’entretien.
Apple a récemment publié une mise à jour de clé pour XProtect afin de cibler des composants malveillants spécifiques, y compris une porte dérobée se faisant passer pour un fichier de système d’exploitation et deux modules de persistance liés à la famille Ferret.
Qu’est-ce que FlexibleFerret ?
Comme indiqué ci-dessus, SentinelOne a identifié de nouveaux échantillons de la famille de logiciels malveillants Ferret, qu’ils appellent FlexibleFerret.
Les chercheurs ont découvert à l’origine ces échantillons supplémentaires après avoir pivoté à partir d’autres composants malveillants Ferret. Le compte-gouttes qu’ils ont découvert est un package Apple Installer contenant deux applications, un binaire autonome et un script.
Comment fonctionne FlexibleFerret ?
SentinelOne a déterminé que le package du programme d’installation utilisera le script pour supprimer et exécuter des composants supplémentaires après avoir obtenu les privilèges élevés nécessaires, en enregistrant ses actions dans un fichier journal.
Le binaire dans le package contactera un domaine d’hameçonnage pendant que le script exécute l’une des applications contenues.
Cette application enverra un message d’erreur à la victime pour l’amener à croire que le processus se poursuit comme étant authentique. Pendant ce temps, le logiciel malveillant établit la persistance en arrière-plan.
FlexibleFerret et ChromeUpdate
Les composants Ferret nouvellement découverts sont liés aux dernières règles Ferret d’Apple. Le binaire lui-même montre une similarité de 86 % avec le binaire ChromeUpdate et contient des chaînes presque identiques.
Selon SentinelOne, XProtect ne reconnaît pas actuellement les binaires dans le package du programme d’installation malveillant comme des logiciels malveillants.
Qu’est-ce que la campagne Contagious Interview ?
FlexibleFerret fait partie de la campagne Contagious Interview en cours, qui est en cours depuis au moins 2023 ans.
Cette campagne cible principalement les développeurs à la recherche d’un emploi et demande souvent aux faux candidats de télécharger les composants chargés de logiciels malveillants nécessaires à un entretien.
Dans un cas notable, un acteur malveillant a élargi son champ d’action pour cibler les utilisateurs de GitHub plutôt que les seuls demandeurs d’emploi, comme déterminé par SentinelOne.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Le rapport de SentinelOne offre des informations clés sur une campagne en cours où les acteurs nord-coréens se font passer pour des recruteurs d’emploi.
Le nouveau logiciel malveillant Ferret suggère que ces acteurs continuent de développer des outils pour améliorer la campagne, tandis que le ciblage des utilisateurs génériques de GitHub indique que les acteurs peuvent étendre leur portée au-delà des candidats à un emploi.
Les utilisateurs de macOS sont confrontés à une menace croissante de la part des infostealers
Palo Alto constate une augmentation des attaques ciblant les utilisateurs de macOS avec sa télémétrie montrant une augmentation de 101 % des infostealers macOS au cours des deux derniers trimestres de 2024. De plus, elle a identifié les trois infostealers macOS les plus répandus comme Poseidon, Atomic et Cthulhu.
Les trois principaux infostealers ciblant macOS
- Atomic Stealer (AMOS) existe depuis au moins 2023 et est disponible sur les forums souterrains en tant que malware en tant que service (MaaS). Plusieurs versions sont actives depuis son émergence, avec des itérations antérieures développées dans Go et des versions plus récentes écrites en C++.
Quelle que soit la version, de nombreux opérateurs AMOS la distribuent via une publicité malveillante pour voler des notes et des documents, des données de navigateur, des portefeuilles de cryptomonnaies et des données de messagerie instantanée. - Poseidon Stealer a été annoncé dans des forums cybercriminels par quelqu’un avec un alias de Rodrigo4 qui aurait également utilisé pour coder pour AMOS. Palo Alto note que le MaaS Poseidon a été vendu l’été dernier à une source inconnue, bien que le logiciel malveillant ait continué d’être actif de manière sauvage.
Cet infostealer est fréquemment fourni par des installateurs trojantés qui imitent des logiciels et applications légitimes. Ces programmes d’installation sont souvent distribués via des publicités ou des e-mails Google malveillants et incluent un fichier AppleScript codé pour déployer le logiciel malveillant.
Selon Palo Alto, Poseidon peut exécuter diverses tâches, telles que la collecte d’informations système, le vol de données de navigateur et de portefeuilles de cryptomonnaie, et la collecte de mots de passe auprès des gestionnaires de mots de passe.
[Lire également : la nouvelle réflexion sur la sécurité des mots de passe pourrait vous surprendre]
- Cthulhu Stealer est également vendu en tant qu’offre MaaS. Cet infostealer est souvent fourni via des programmes d’installation d’applications malveillantes. Ces programmes d’installation présentent à la victime une boîte de dialogue lui demandant de saisir un mot de passe pour mettre à jour les paramètres du système.
Cet infostealer cible un éventail beaucoup plus large d’informations, y compris les fichiers de configuration FileZilla, les fichiers de notes, les extensions de fichiers spécifiques, les données du navigateur, etc.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Au cours des dernières années, le nombre de menaces axées sur macOS, y compris les ransomwares, les vulnérabilités et les voleurs d’informations, a considérablement augmenté.
Cette augmentation pourrait être due à l’adoption généralisée des appareils macOS. Cependant, il se peut également que les acteurs malveillants recherchent des domaines moins concurrentiels. Après tout, le monde cybercriminel fonctionne de plus en plus comme une entreprise.
Les recherches de Palo Alto offrent des informations précieuses sur trois infostealers macOS spécifiques qui peuvent mener à d’autres activités malveillantes.
Les acteurs malveillants tirent parti de MS Power BI dans la campagne de phishing
Cofense a observé une campagne d’hameçonnage qui utilise des liens SharePoint pour diriger les victimes vers un rapport Power BI authentique, les incitant à cliquer sur un lien pour « ouvrir un document », les conduisant à la page d’hameçonnage réelle.
À quoi ressemble l’e-mail d’hameçonnage MS Power BI ?
Les e-mails d’hameçonnage de cette campagne utilisent une ligne d’objet liée aux confirmations de paiement pour créer un sentiment d’urgence et déclencher un clic impulsif. Chaque e-mail contient également une image de marque et un formatage familiers pour inciter les victimes à croire qu’il s’agit d’un fichier SharePoint légitime.
[Lire également : Qu’est-ce que l’ingénierie sociale dans la cybersécurité ? Un guide complet]
Que se passe-t-il lorsque vous cliquez sur le lien Power BI ?
Si la victime clique sur le lien « ouvrir » dans l’e-mail, elle sera dirigée vers un lien Power BI authentique.
Selon Cofense, l’utilisation de liens Power BI réels augmente la probabilité que ces e-mails contournent les passerelles de messagerie sécurisées et persuadent plus facilement les victimes de croire que leurs actions sont légitimes.
Cofense mentionne que le premier signe que quelque chose ne va pas est lorsque la victime est invitée à cliquer sur un bouton qui dit « Ouvrir le document ». Ce bouton mène à la véritable page d’hameçonnage.
Comment fonctionne la page d’hameçonnage ?
La page d’hameçonnage est une page de connexion Microsoft typique qui demande un nom d’utilisateur et un mot de passe. Le seul signal d’alerte sur la page elle-même est l’URL, qui n’est très clairement pas l’URL Microsoft légitime.
Cofense note également que cette demande d’informations d’identification pour accéder à un document partagé est inhabituelle et peut suggérer un problème potentiel.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne d’hameçonnage est un excellent exemple de la manière dont les acteurs malveillants exploitent souvent des outils de confiance, en particulier ceux utilisés sur le lieu de travail.
Étant donné que ces e-mails d’hameçonnage comprennent des liens légitimes de Power BI, les
formation à la cybersécurité des employés
de survoler et d’identifier les liens suspects ne fonctionneraient pas dans ce cas.
Ces types d’e-mails d’hameçonnage nécessitent que les victimes ciblées remarquent des signaux d’alerte supplémentaires (par ex., ne pas s’attendre à recevoir d’e-mail) pour les reconnaître comme des tentatives d’hameçonnage.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
