Cette semaine, CTI examine comment un cybercriminel utilise une boîte à outils open source appelée Gophish pour mener des campagnes de hameçonnage. Dans la suite de cet article, CTI examine comment les auteurs de menaces intègrent du contenu malveillant dans des fichiers de disque dur virtuel afin de contourner les passerelles de messagerie sécurisées (SEG) et les outils antivirus. Enfin, CTI fait le point sur le célèbre logiciel malveillant Bumblebee, qui semble connaître un regain d'activité.
Un acteur malveillant utilise la boîte à outils Gophish dans le cadre de campagnes de hameçonnage
Une campagne récente exploite des chaînes d'infection modulaires reposant soit sur des documents malveillants (maldoc), soit sur des infections de type HTML ; dans les deux cas, l'intervention de la victime est nécessaire pour déclencher la suite de la chaîne d'infection. Les chercheurs ont également découvert, dans le cadre de cette attaque, un RAT (cheval de Troie d'accès à distance) PowerShell qui n'avait jamais été répertorié auparavant.
Utilisation de la boîte à outils Gophish
Cisco Talos a analysé les liens malveillants suivants : (s'ouvre dans un nouvel onglet) , présents dans ces e-mails de hameçonnage , et a identifié les domaines d'hébergement contrôlés par les attaquants, utilisés pour diffuser un document Microsoft Word malveillant et un fichier HTML.
Le nom de domaine renvoie à une adresse IP identifiée comme correspondant à une instance AWS EC2 . Ce même serveur renvoie également vers un autre domaine qui diffuse des fichiers HTML malveillants contenant du code JavaScript intégré. Il a été établi que l'auteur de l'attaque hébergeait la boîte à outils Gophish sur ce serveur, accessible sur le port 3333.
Une campagne à plusieurs volets
La campagne comporte deux vecteurs d'attaque initiaux :
- Le premier vecteur d'attaque est un document Word malveillant.
- Le deuxième vecteur d'attaque consiste à utiliser des fichiers HTML contenant du code JavaScript malveillant.
Une infection basée sur Maldoc servant à diffuser PowerRAT
Dans cette chaîne d'infection, la victime doit ouvrir le document Word malveillant et cliquer sur le bouton « Afficher le contenu » situé dans la bannière du document. Cette action permet l'exécution du programme malveillant de type macro VB (Visual Basic).
L'acteur a intégré de manière stratégique un bloc de données encodé en base64 dans le document, mais a choisi une couleur de texte identique à celle de l'arrière-plan du document. La macro va installer un fichier .hta (fichier d'application HTML) malveillant et un chargeur PowerShell sur l'ordinateur de la victime.
Cisco Talos a également découvert un nouveau RAT PowerShell parmi les charges utiles exécutées dans cette chaîne d'infection. Cet outil s'exécute dans la mémoire de la machine et peut exécuter des scripts et des commandes PowerShell supplémentaires. Il effectue des missions de reconnaissance, collecte des informations, enregistre des données en mémoire et les exfiltre.
Infection basée sur le langage HTML visant à diffuser le virus DCRAT
Dans cet exemple, l'auteur utilise des fichiers HTML contenant du code JavaScript malveillant.
Lorsque la victime clique sur un lien figurant dans l'e-mail de hameçonnage, un fichier HTML contenant du code malveillant s'ouvre sur son ordinateur. Parallèlement, le code JavaScript s'exécute, ce qui entraîne le téléchargement d'une archive .zip.
La victime doit décompresser manuellement l'archive et exécuter le fichier exécutable qu'elle contient, qui se fait passer pour l'application légitime VK Messenger. Cette action entraînera inévitablement une infection par le virus DCRAT.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les deux chaînes d'infection de cet acteur nécessitent un certain niveau d'interaction de la part de l'utilisateur pour que le reste de l'attaque puisse se dérouler avec succès.
Un nombre croissant d'attaques repose sur l'intervention de l'utilisateur, comme les attaques « ClickFix » décrites sur , qui exigent que les utilisateurs collent et exécutent une commande malveillante.
Il est un peu surprenant de constater qu’autant de campagnes reposent sur l’interaction des utilisateurs, car cela laisse une marge d’échec à l’attaque. Il s'agit là d'un exemple emblématique illustrant à quel point la sensibilisation et la formation des utilisateurs d' peuvent être déterminantes.
Les pirates contournent les SEG et les antivirus
Cofense a découvert (s'ouvre dans un nouvel onglet) que des acteurs malveillants intègrent du contenu malveillant dans des fichiers de disque dur virtuel afin d'échapper à la détection par les SEG et les solutions antivirus.
Tendances de la campagne
Cofense a constaté que des fichiers de disques durs virtuels étaient utilisés comme vecteur de diffusion dans plusieurs campagnes menées tout au long de l'année 2024. Les leurres varient d'une campagne à l'autre, mais tous semblent donner de bons résultats : Remcos RAT et/ou XWorm RAT.
- mai 2024 campagne : Cette campagne utilisait des e-mails de hameçonnage contenant un lien qui se présentait comme un document fiscal pertinent, mais qui téléchargeait en réalité un fichier de disque dur virtuel. Une fois le fichier téléchargé, la victime exécuterait la charge utile principale, qui installerait le RAT Remcos.
- Campagne de juin/juillet 2024 : Dans le cadre de cette campagne, des e-mails de hameçonnage se faisaient passer pour des messages provenant de Postes Canada et de divers autres services postaux. Les e-mails contenaient des archives .zip en pièce jointe, présentées comme une étiquette de colis, mais qui renfermaient en réalité un fichier de disque dur virtuel. L'ouverture du fichier de disque dur virtuel inciterait la victime à ouvrir un fichier LNK malveillant qui, au final, installerait DotNETLoader et le RAT XWorm, lesquels installeraient ensuite le RAT Remcos.
- août 2024 campagne : En août, les auteurs ont ciblé leurs victimes en leur envoyant des archives .zip censées contenir plusieurs CV à examiner, mais qui renfermaient en réalité le même fichier de disque dur virtuel et le même fichier Visual Basic Script, destinés à exécuter le RAT Remcos en mémoire. Cette campagne comprenait des fichiers « autorun.inf », qui sont des fichiers de configuration utilisés par les anciennes versions de Windows pour « définir les actions pouvant être exécutées automatiquement lors du montage du volume ». Dans ces anciennes versions de Windows (antérieures à Windows Vista), ces fichiers peuvent être utilisés à des fins malveillantes pour exécuter automatiquement des logiciels malveillants.
Contournement des SEG
Les fichiers de disques durs virtuels peuvent être transmis via des liens vers des services de partage de fichiers légitimes afin de contourner les SEG. Cependant, ils semblent également capables de contourner les SEG de leur propre initiative.
De nombreux SEG ne parviennent pas à analyser les fichiers de disques durs virtuels. Certains des outils capables d’analyser les fichiers de disques durs virtuels s’appuient sur des solutions antivirus qui peuvent elles-mêmes rencontrer des difficultés à détecter les contenus malveillants présents dans les images de disques durs.
Dans le cadre de la campagne susmentionnée, qui avait pour thème les CV, les auteurs ont réussi à contourner les SEG de Cisco, Proofpoint et FireEye.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce n'est pas vraiment une surprise que les cybercriminels cherchent de nouveaux moyens de diffuser du contenu malveillant, en particulier un contenu capable de contourner de nombreuses solutions de sécurité des e-mails.
Cela s'apparente à la manière dont les cybercriminels se sont tournés vers l'utilisation de codes QR dans les e-mails de hameçonnage — une technique connue sous le nom de « quishing » — qui reste courante aujourd'hui. À l'heure actuelle, ces fichiers de disques durs virtuels semblent capables de contourner certaines solutions, ce qui incitera probablement d'autres acteurs malveillants à les exploiter dans le cadre de leurs attaques.
C'est pourquoi nous verrons probablement les éditeurs commencer à étudier des moyens de détecter efficacement ces fichiers malveillants, comme c'est déjà le cas avec le phishing par code QR.
Le malware Bumblebee refait surface après avoir été neutralisé
Des chercheurs ont repéré (s'ouvre dans un nouvel onglet) le célèbre chargeur de malware « Bumblebee » lors d'attaques récentes, ce qui laisse présager une possible résurgence.
Ces observations interviennent quelques mois seulement après que les autorités internationales chargées de la lutte contre la criminalité ont saisi plusieurs serveurs à travers le monde, ce qui a eu des répercussions sur de nombreuses opérations de chargement de logiciels malveillants, dont celle de Bumblebee.
Accès initial
Les chercheurs estiment que ces dernières attaques commencent par un e-mail de hameçonnage qui incite les victimes à télécharger un fichier .zip malveillant. Le fichier .zip contient un fichier LNK qui déclenchera l'attaque et entraînera l'exécution de la charge utile « Bumblebee » en mémoire.
LNK et PowerShell
À l'instar des précédentes campagnes « Bumblebee » d' , cette dernière campagne utilise des fichiers LNK et PowerShell. Dans le cadre de cette campagne, ce fichier servait de programme de téléchargement et permettait de télécharger et d'exécuter l'étape suivante.
Une fois le fichier LNK ouvert, une commande PowerShell sera exécutée pour télécharger un fichier MSI. Le fichier est renommé « %AppData%\y.msi » et s'exécute à l'aide de msiexec.
Nouvelle approche de MSI
La famille de logiciels malveillants Bumblebee semble désormais diffuser des programmes malveillants via des fichiers MSI. D'autres familles de logiciels malveillants de type « », telles que DarkGate et Latrodectus, ont également utilisé des fichiers MSI pour exécuter leurs charges utiles.
Netskope a examiné (s'ouvre dans un nouvel onglet) quelques échantillons se faisant passer pour des programmes d'installation de NVIDIA ou de Midjourney. On a constaté qu'ils chargeaient et exécutaient tous la charge utile en mémoire sans l'enregistrer sur le disque.
Bumblebee semble adopter une approche discrète pour éviter la création d'autres processus. Netskope a constaté que ce logiciel malveillant utilisait la table SelfReg pour forcer l'exécution d'une fonction d'exportation. Ceci sert de clé pour déterminer le fichier à exécuter dans le tableau, qui, dans le cas observé par Netskope, était la DLL de charge utile finale. La DLL se trouve dans un fichier CAB. Une fois l'installation du fichier MSI lancée, la DLL est chargée de manière parallèle dans le processus msiexec, puis la charge utile Bumblebee est décompressée et exécutée.
Charge utile du Bumblebee
Les chercheurs ont identifié certaines des caractéristiques les plus connues de la famille de logiciels malveillants Bumblebee dans la charge utile décompressée. Ils ont constaté que la méthode d'extraction de la configuration est identique à celle des versions précédentes de Bumblebee.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La découverte par Netskope de nouvelles campagnes impliquant le logiciel malveillant Bumblebee laisse entrevoir une possible résurgence de cette famille de logiciels malveillants tristement célèbre.
Si les mesures de lutte menées par les forces de l'ordre constituent certes un pas dans la bonne direction, elles ne constituent toutefois pas une solution durable. « Bumblebee » a connu un franc succès à son apogée, ce qui fait de ce retour potentiel un phénomène à suivre de près.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
