Cette semaine, CTI examine un nouveau groupe de ransomwares appelé FunkSec qui a émergé fin 2024. Ensuite, CTI partage les détails d’une nouvelle campagne de publicité malveillante ciblant les entreprises et les personnes publicitaires via Google Ads. Enfin, la CTI met en lumière la manière dont les acteurs malveillants utilisent de plus en plus de logiciels et d’installateurs factices pour fournir des programmes malveillants d’infostealer.
Le ransomware FunkSec menace les victimes dans le monde entier
Les chercheurs de Check Point Security émettent l’alarme concernant FunkSec, une nouvelle opération de ransomware qui semble utiliser l’IA pour développer ses logiciels malveillants.
Selon Check Point, FunkSec a déclaré plus de 85 victimes en décembre. Cependant, la légitimité de ces allégations est douteuse, car certaines des informations disponibles sont recyclées à partir de fuites passées.
Qu’est-ce que le ransomware FunkSec ?
Comme de nombreux groupes de rançongiciels aujourd’hui, FunkSec utilise des tactiques de double extorsion. Cependant, contrairement à d’autres groupes, il semble exiger de faibles rançons, dont certains ne coûtent que 10 000 USD.
Un examen plus approfondi des activités et des discussions du groupe sur le dark web indique que la motivation du groupe chevauche la frontière entre cybercriminalité et piratage. Check Point note également que les acteurs inexpérimentés mènent probablement l’opération principale de FunkSec. En plus des rançongiciels, le groupe propose quelques autres outils, notamment une génération intelligente de mots de passe, un outil de raclage et un outil de déni de service distribué (DDoS).
Le ransomware de FunkSec a rapidement évolué, chaque version étant publiée à quelques jours d’intervalle. La dernière version, v1,5, prétend avoir un faible taux de détection. Check Point a obtenu un échantillon et a déterminé que l’effort de développement est continu et probablement le travail d’un développeur de logiciels malveillants moins expérimenté.
Check Point a également découvert que toutes les versions du rançongiciel qu’ils ont rencontrées ont été téléchargées depuis l’Algérie, ce qui pourrait indiquer l’identité de l’auteur et suggère à nouveau un groupe inexpérimenté.
Développement de programmes malveillants assisté par IA
FunkSec semble s’appuyer fortement sur les capacités d’IA pour améliorer ses logiciels malveillants. Check Point a remarqué que ses offres de scripts publics comportent de nombreux commentaires de code écrits en anglais parfait, probablement générés par un agent LLM. Des modèles similaires sont observés dans le code source lié à leur ransomware, qui aurait également été créé avec l’aide de l’IA.
Dans d’autres messages publiés par le groupe, ils lient spécifiquement le développement des ransomwares à l’IA. Cela s’aligne sur d’autres revendications publiques du groupe, d’autant plus qu’ils ont lancé un chatbot IA pour soutenir davantage leurs opérations.
[Lire également : 4 priorités de leadership critiques pour les RSSI à l’ère de l’IA]
Comment fonctionne FunkSec ?
Check Point a approfondi les échantillons de ransomware FunkSec actuellement en circulation et a déterminé :
- À la base, FunkSec est un binaire Rust dénudé, qui est plus difficile à reconstituer. Les chercheurs ont été particulièrement surpris par la redondance binaire, car le flux de contrôle se répète et les appels fonctionnent de manière répétée.
- Une fois que le logiciel malveillant a obtenu les privilèges élevés nécessaires, il exécute plusieurs commandes pour désactiver Windows Defender, la journalisation des événements de sécurité, la journalisation des événements d’application, etc. Il met également fin aux processus trouvés dans une liste codée en dur.
- Le logiciel malveillant naviguera dans chaque lecteur et chiffrera chaque fichier qui possède l’une des extensions de fichier ciblées. Les fichiers chiffrés auront une extension
.funksec. Ensuite, le logiciel malveillant écrira la note de rançon sur le disque.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
FunkSec a revendiqué plusieurs victimes depuis son émergence le mois dernier, bien que la légitimité et l’exactitude de ces réclamations soient discutables.
Les recherches de Check Point indiquent que ce groupe n’est pas aussi sophistiqué que d’autres pour quelques raisons, en particulier son utilisation étendue de l’IA. Les acteurs malveillants n’ont pas utilisé l’IA l’année dernière autant que les chercheurs l’avaient prévu, du moins pas de manière avancée. Il semble que les acteurs utilisent principalement l’IA en raison d’un manque de compétences plutôt que de créer des logiciels malveillants et des rançongiciels plus complexes.
L’escroquerie malvertissante cible les utilisateurs de Google Ads
Malwarebytes a récemment publié des informations sur une nouvelle campagne de publicité malveillante ciblant les personnes et les entreprises qui utilisent Google Ads pour la publicité.
Cette campagne cherche à voler des comptes Google Ads en usurpant l’identité des publicités et en dirigeant les victimes vers des pages d’hameçonnage. Malwarebytes pense que l’objectif global peut être de vendre ces comptes volés sur des forums souterrains à des fins malveillantes.
[Lire également : Qu’est-ce que l’ingénierie sociale dans la cybersécurité ? Un guide complet]
Comment les cybercriminels se font passer pour Google Ads
Malwarebytes a commencé à remarquer des activités suspectes impliquant des comptes Google par accident. L’entreprise a retracé l’activité jusqu’à des publicités malveillantes pour Google Ads.
La publicité sponsorisée pour Google Ads semble légitime, mais si vous cliquez sur les trois points à côté pour voir plus de détails sur l’annonceur, vous pouvez voir qu’il s’agit d’un compte compromis. La publicité indique qu’elle est gérée par une identité d’annonceur vérifiée par Google (ce qui est vrai car il s’agit d’un véritable compte, juste compromis), mais l’annonceur est le nom d’une personne au lieu de Google lui-même.
Types d’attentats et d’hameçonnage utilisés
Si une victime clique sur l’une des publicités malveillantes, elle est redirigée vers une page qui ressemble étroitement à la page d’accueil de Google Ads. Le site est hébergé sur « sites.google[.]com », ce qui renforce sa légitimité. Sur ces pages, il existe un autre bouton intitulé « Démarrer maintenant » qui, lorsqu’on clique dessus, redirige l’utilisateur vers un site d’hameçonnage. Cette page vise à voler les informations d’identification Google Ads de la victime et à les envoyer à un serveur distant contrôlé par l’acteur malveillant.
Qui est à l’origine de la campagne de publicité publicitaire Google Ads ?
Malwarebytes a identifié deux groupes de cybercriminels exécutant la campagne :
- Le premier groupe se compose d’acteurs portugais censés opérer au Brésil. Malwarebytes a signalé plus de 50 publicités Google frauduleuses qui provenaient de ce groupe en quelques jours seulement.
- Le second groupe utilise des comptes publicitaires de Hong Kong et est considéré comme opérant en dehors de l’Asie. Ils utilisent une chaîne de livraison similaire, mais le kit d’hameçonnage lui-même varie.
De plus, il existe une troisième campagne associée qui dépend d’un faux CAPTCHA au lieu des sites Google.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le souligne Malwarebytes, les comptes Google Ads volés ont une valeur significative au sein de la communauté cybercriminelle, ce qui explique les nombreuses campagnes exploitant ces comptes compromis.
En compromettant les comptes Google Ads, les acteurs malveillants échappent aux dépenses impliquées dans l’exécution de publicités frauduleuses et transfèrent plutôt cette charge au propriétaire ou à l’entreprise compromis.
La publicité malveillante est en hausse depuis des mois, voire des années, et cette campagne sert de rappel supplémentaire pour être prudent sur ce sur quoi vous cliquez dans les résultats du moteur de recherche, en particulier ceux qui apparaissent comme des publicités sponsorisées.
Les acteurs malveillants utilisent de faux logiciels et programmes d’installation pour pousser les logiciels malveillants
Le dernier rapport de Trend Micro examine la menace croissante posée par les logiciels et les installateurs factices comme méthode pour fournir des logiciels malveillants infostealer.
Selon Trend Micro, les acteurs malveillants tirent parti de YouTube et de divers sites de réseaux sociaux pour partager des liens pour de faux installateurs tout en tirant parti de services d’hébergement de fichiers réputés pour masquer l’origine du logiciel malveillant.
Les acteurs incitent souvent les victimes potentielles à télécharger de faux programmes d’installation en créant des profils sur des plateformes telles que YouTube. Trend Micro note que ces profils comportent fréquemment des tutoriels d’installation qui attirent davantage les victimes à cliquer sur des liens malveillants dans la section Description de la vidéo ou Commentaires. Dans un cas, le lien dans la section des commentaires dirige les victimes vers une autre page YouTube où un lien de téléchargement pour le faux programme d’installation apparaît.
Si la victime clique sur le faux lien du programme d’installation, un fichier sera téléchargé à partir du site d’hébergement MediaFire légitime. Dans d’autres cas observés, la menace a été téléchargée sur le site d’hébergement de fichiers Mega.
Trend Micro a également vu des cas où les victimes rencontrent par inadvertance de faux installateurs lors de leur recherche via des moteurs de recherche. Dans ces cas, les résultats sont trouvés sur des sites tels qu’OpenSea, une place de marché NFT, et SoundCloud, une plateforme de partage de musique.
[Lire également : Top 10 des prédictions audacieuses de cybersécurité pour 2025]
Exemples d’analyse d’infection de programmes d’installation de logiciels contrefaits
Le rapport de Trend Micro sur cette menace a analysé deux scénarios dans lesquels le processus de téléchargement a réussi et le contenu s’est exécuté sans heurts, ce qui offre des informations précieuses sur l’ensemble du processus.
- Évasion de fichier installé volumineux
Dans un cas observé par Trend Micro, le fichier du programme d’installation décompressé était de 900 Mo. Ce fichier volumineux permet d’échapper aux défenses et peut contourner l’analyse sandbox, car il ressemble plus étroitement à un fichier d’installateur légitime. L’infection démarre lorsque le fichier exécutable dans le fichier.zipest déclenché.
En regardant l’un des fichiers batch exécutés, Trend Micro a constaté qu’il contenait des entrées masquées. Après avoir nettoyé le fichier de lot, les chercheurs ont découvert qu’il créerait le script AutoIt en combinant les fichiers, puis en l’exécutant, ce qui entraînerait la suppression de fichiers supplémentaires. Il peut ensuite introduire l’injection de processus, voler des données dans les environnements de navigateur et établir une connexion avec plusieurs adresses C2 . - Téléchargement de fichier compressé
Dans un autre exemple, l’infection a commencé lorsque la victime a téléchargé un fichier compressé à partir d’un site d’hébergement connu.
Le déballage du fichier et la saisie d’un mot de passe exécuteront le programme d’installation. Ce programme d’installation créera des processus légitimes pour injecter du code, introduire AutoIt et se connecter à son C2 pour télécharger plus de logiciels malveillants.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les auteurs de menaces utilisent de faux programmes d’installation et des logiciels falsifiés pour fournir des logiciels malveillants depuis un certain temps, ce qui révèle qu’ils doivent fonctionner dans une certaine mesure.
Les campagnes analysées par Trend Micro sont similaires à celles qui abusent des commentaires du référentiel GitHub. Ces campagnes exploitent le niveau élevé de confiance que les utilisateurs ont dans ces plateformes, ce qui rend de plus en plus crucial pour les individus d’être conscients de ce qu’ils téléchargent.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
