Cette semaine, CTI se penche sur un nouveau groupe de ransomware appelé FunkSec, apparu fin 2024. Par la suite, CTI vous présente les détails d'une nouvelle campagne de « malvertising » ciblant les entreprises et les particuliers qui font de la publicité via Google Ads. Enfin, le CTI met en lumière la manière dont les auteurs de menaces recourent de plus en plus à de faux logiciels et programmes d'installation pour diffuser des logiciels malveillants destinés à voler des informations.
Le ransomware FunkSec menace ses victimes dans le monde entier
Les chercheurs de Check Point Security (s'ouvre dans un nouvel onglet) tirent la sonnette d'alarme au sujet de FunkSec, une nouvelle opération de rançongiciel de type « » (s'ouvre dans un nouvel onglet) qui semble recourir à l'IA pour développer son logiciel malveillant.
Selon Check Point, FunkSec a fait plus de 85 victimes en décembre. Toutefois, la légitimité de ces allégations est discutable, car certaines des informations disponibles proviennent de fuites antérieures.
Qu'est-ce que le ransomware FunkSec ?
À l'instar de nombreux groupes de ransomware aujourd'hui, FunkSec recourt à des tactiques de double extorsion. Cependant, contrairement à d'autres groupes, il semble exiger des rançons modestes, certaines pouvant descendre jusqu'à 10 000 dollars.
Un examen plus approfondi des activités du groupe et des discussions le concernant sur le dark web montre que ses motivations se situent à la frontière entre la cybercriminalité et l'hacktivisme. Check Point souligne également que ce sont probablement des acteurs inexpérimentés qui mènent les opérations principales de FunkSec. Outre les ransomwares, ce groupe propose plusieurs autres outils, notamment un générateur intelligent de mots de passe, un outil de scraping et un outil de déni de service distribué (DDoS) de type « » : (s'ouvre dans un nouvel onglet).
Le ransomware de FunkSec a rapidement évolué, chaque nouvelle version étant publiée à quelques jours d'intervalle. La dernière version, la v1,5, présenterait un faible taux de détection. Check Point a obtenu un échantillon et a déterminé que le développement était toujours en cours et qu'il s'agissait probablement du travail d'un développeur de logiciels malveillants peu expérimenté.
Check Point a également découvert que toutes les versions du rançongiciel qu’ils ont identifiées avaient été mises en ligne depuis l’Algérie, ce qui pourrait donner une indication sur l’identité de l’auteur et laisse à nouveau supposer qu’il s’agit d’un groupe inexpérimenté.
Développement de logiciels malveillants assisté par l'IA
FunkSec semble s'appuyer largement sur les capacités d'IA d' (s'ouvre dans un nouvel onglet) pour améliorer ses logiciels malveillants. Check Point a remarqué que ses scripts mis à disposition du public comportaient de nombreux commentaires de code rédigés dans un anglais parfait, qui ont probablement été générés par un agent LLM à l'adresse (s'ouvre dans un nouvel onglet). On observe des schémas similaires dans le code source associé à leur rançongiciel, dont on pense également qu’il a été créé à l’aide de l’IA.
Dans d'autres messages publiés par le groupe, celui-ci établit un lien direct entre le développement de ce rançongiciel et l'intelligence artificielle. Cela va dans le sens d'autres déclarations publiques de ce groupe, d'autant plus qu'il a lancé un chatbot basé sur l'IA afin de renforcer encore davantage ses activités.
Comment fonctionne FunkSec ?
Check Point a procédé à une analyse approfondie des échantillons du ransomware FunkSec actuellement en circulation et a constaté ce qui suit :
- À la base, FunkSec est un binaire Rust épuré, ce qui le rend plus difficile à analyser. Les chercheurs ont été particulièrement surpris par la redondance présente dans le code binaire, car le flux de contrôle se répète et appelle des fonctions à plusieurs reprises.
- Une fois que le logiciel malveillant a obtenu les privilèges élevés nécessaires, il exécute plusieurs commandes afin de désactiver Windows Defender, la journalisation des événements de sécurité, la journalisation des événements des applications, etc. Il met également fin aux processus figurant dans une liste prédéfinie.
- Le logiciel malveillant parcourra tour à tour chaque disque dur et chiffrera tous les fichiers portant l'une des extensions ciblées. Les fichiers chiffrés porteront l'extension
.funksec. Ensuite, le logiciel malveillant enregistrera la demande de rançon sur le disque.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
FunkSec aurait fait plusieurs victimes depuis son apparition le mois dernier, bien que la légitimité et l'exactitude de ces affirmations soient sujettes à caution.
Les recherches menées par Check Point indiquent que ce groupe n’est pas aussi sophistiqué que d’autres, et ce pour plusieurs raisons, notamment son recours massif à l’IA (s’ouvre dans un nouvel onglet). Les cybercriminels n'ont pas eu recours à l'IA l'année dernière autant que les chercheurs l'avaient prévu, du moins pas de manière sophistiquée. Il semblerait que les cybercriminels recourent principalement à l'IA en raison d'un manque de compétences plutôt que pour créer des logiciels malveillants et des ransomwares plus complexes.
Une arnaque par « malvertising » cible les utilisateurs de Google Ads
Malwarebytes a récemment publié des informations (s'ouvre dans un nouvel onglet) concernant une nouvelle campagne de publicité malveillante ciblant les particuliers et les entreprises qui utilisent Google Ads à des fins publicitaires.
Cette campagne vise à pirater des comptes Google Ads en usurpant l'identité d'annonces publicitaires et en redirigeant les victimes vers des pages de hameçonnage. Malwarebytes estime que l'objectif principal pourrait être de revendre ces comptes piratés sur des forums clandestins à des fins malveillantes.
Comment les cybercriminels usurpent l'identité de Google Ads
C'est par hasard que Malwarebytes a commencé à remarquer des activités suspectes impliquant des comptes Google. L'entreprise a pu remonter à l'origine de cette activité : il s'agissait de publicités malveillantes diffusées via Google Ads.
L'annonce sponsorisée de Google Ads semble authentique, mais si vous cliquez sur les trois points situés à côté pour obtenir plus d'informations sur l'annonceur, vous constaterez qu'il s'agit d'un compte piraté. L'annonce indique qu'elle est diffusée par un annonceur dont l'identité a été vérifiée par Google (ce qui est vrai puisqu'il s'agit d'un compte réel — qui a simplement été piraté), mais l'annonceur est le nom d'une personne et non Google lui-même.
Types d'appâts et de techniques d'hameçonnage utilisés
Si une victime clique sur l'une de ces publicités malveillantes, elle est redirigée vers une page qui ressemble fortement à la page d'accueil de Google Ads. Le site est hébergé sur « sites.google[.]com », ce qui renforce sa crédibilité. Sur ces pages, un autre bouton intitulé « Commencer maintenant » permet, lorsque l'on clique dessus, de rediriger l'utilisateur vers un site de hameçonnage de type « » : (s'ouvre dans un nouvel onglet),et . Cette page a pour objectif de dérober les identifiants Google Ads de la victime et de les transmettre à un serveur distant contrôlé par l'auteur de la menace.
Qui se cache derrière cette campagne de publicités malveillantes sur Google Ads ?
Malwarebytes a identifié deux groupes de cybercriminels à l'origine de cette campagne :
- Le premier groupe, « », est composé d'acteurs lusophones qui opéreraient depuis le Brésil. Malwarebytes a signalé plus de 50 publicités Google frauduleuses provenant de ce groupe en l'espace de quelques jours seulement.
- Le deuxième groupe, « », utilise des comptes publicitaires basés à Hong Kong et serait, selon toute vraisemblance, basé en Asie. Ils utilisent une chaîne de diffusion similaire, mais le kit de phishing lui-même varie.
Par ailleurs, il existe une troisième campagne liée à celle-ci qui repose sur un faux CAPTCHA plutôt que sur les sites de Google.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Malwarebytes, les comptes Google Ads piratés revêtent une grande valeur au sein de la communauté cybercriminelle, ce qui explique les nombreuses campagnes exploitant ces comptes compromis.
En piratant des comptes Google Ads, les cybercriminels évitent d'assumer les coûts liés à la diffusion d'annonces frauduleuses et font porter cette charge au propriétaire ou à l'entreprise victime du piratage.
La publicité malveillante est en hausse depuis des mois (s'ouvre dans un nouvel onglet), voire depuis des années, et cette campagne nous rappelle une fois de plus qu’il faut faire preuve de prudence quant aux liens sur lesquels vous cliquez dans les résultats des moteurs de recherche, en particulier ceux qui apparaissent sous forme d’annonces sponsorisées.
Les cybercriminels utilisent de faux logiciels et programmes d'installation pour diffuser des logiciels malveillants
Le dernier rapport de Trend Micro, intitulé « » (s'ouvre dans un nouvel onglet) , examine la menace croissante que représentent les faux logiciels et programmes d'installation utilisés comme vecteurs de diffusion de logiciels malveillants de type « infostealer ».
Selon Trend Micro, les cybercriminels utilisent YouTube et divers réseaux sociaux pour diffuser des liens vers de faux programmes d'installation, tout en recourant à des services d'hébergement de fichiers réputés pour dissimuler l'origine du logiciel malveillant.
Les cybercriminels incitent souvent leurs victimes potentielles à télécharger de faux programmes d'installation en créant des profils sur des plateformes telles que YouTube. Trend Micro souligne que ces profils proposent souvent des tutoriels d'installation qui incitent davantage les victimes à cliquer sur des liens malveillants figurant dans la description de la vidéo ou dans la section des commentaires. Dans un cas précis, le lien figurant dans la section des commentaires redirige les victimes vers une autre page YouTube où apparaît un lien de téléchargement vers le faux programme d'installation.
Si la victime clique sur le lien vers le faux programme d'installation, un fichier sera téléchargé depuis le site d'hébergement légitime MediaFire. Dans d'autres cas observés, la menace a été mise en ligne sur le site d'hébergement de fichiers Mega.
Trend Micro a également constaté des cas où des victimes tombaient par inadvertance sur de faux programmes d'installation alors qu'elles les recherchaient via des moteurs de recherche. Dans ces cas-là, les résultats sont disponibles sur des sites tels qu’OpenSea, une place de marché dédiée aux NFT, et SoundCloud, une plateforme de partage de musique.
Exemples d'analyse d'infection par de faux programmes d'installation de logiciels
Le rapport de Trend Micro consacré à cette menace a analysé deux scénarios dans lesquels le processus de téléchargement s'est déroulé avec succès et le contenu s'est exécuté sans encombre, ce qui apporte des informations précieuses sur l'ensemble du processus.
- Fichiers d'installation volumineux permettant de contourner les mesures de sécurité
Dans un cas observé par Trend Micro, le fichier d'installation décompressé pesait 900 Mo. Ce fichier volumineux permet de contourner les systèmes de défense et peut échapper à l'analyse en bac à sable, car il ressemble davantage à un fichier d'installation légitime. L'infection se déclenche lorsque le fichier exécutable présent à l'adresse.zipest exécuté.
En examinant l'un des fichiers batch exécutés, Trend Micro a constaté qu'il contenait des entrées obscurcies. Après avoir nettoyé le fichier batch, les chercheurs ont constaté qu'il générait le script AutoIt en fusionnant des fichiers, puis l'exécutait, ce qui entraînait la création de fichiers supplémentaires. Il peut alors procéder à une injection de processus, voler des données dans les environnements de navigateur et établir une connexion avec plusieurs adresses C2 . - Téléchargement d'un fichier compressé
Dans un autre exemple, l'infection a commencé lorsque la victime a téléchargé un fichier compressé à partir d'un site d'hébergement connu.
La décompression du fichier et la saisie d'un mot de passe lancent le programme d'installation. Ce programme d'installation lancera des processus légitimes dans lesquels il injectera du code, installera AutoIt et se connectera à son serveur C2 pour télécharger d'autres logiciels malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Depuis un certain temps déjà, les cybercriminels utilisent de faux programmes d'installation et des logiciels piratés pour diffuser des logiciels malveillants, ce qui montre que cette méthode doit s'avérer efficace dans une certaine mesure.
Les campagnes analysées par Trend Micro sont similaires à celles qui exploitent de manière abusive les commentaires des dépôts GitHub. Ces campagnes tirent parti de la grande confiance que les utilisateurs accordent à ces plateformes, ce qui rend d'autant plus crucial pour chacun de faire attention à ce qu'il télécharge.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et , et lancez une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
