Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium examine comment les acteurs malveillants exploitent les enregistrements DNS oubliés ou orphelins. Notre équipe CTI vous présente à présent une campagne de logiciels malveillants très discrète qui utilise des techniques d'exécution sans fichier pour déployer le RAT Remcos. Enfin, l'équipe conclut par un aperçu d'une nouvelle campagne de hameçonnage qui utilise un npm (gestionnaire de paquets Node) malveillant dans le cadre de son mécanisme de diffusion.
Hazy Hawk utilise les enregistrements DNS pour cibler des domaines
Un rapport récent d'Infoblox intitulé « » (s'ouvre dans un nouvel onglet) souligne comment des enregistrements DNS obsolètes — en particulier ceux qui renvoient vers des infrastructures cloud mises hors service — peuvent être détournés par des pirates et utilisés à des fins malveillantes. L'un de ces acteurs, Hazy Hawk, est un acteur malveillant spécialisé dans le DNS, connu pour agir précisément de la sorte.
Infoblox a identifié cet acteur au début de l'année 2025 , après que celui-ci eut pris le contrôle de sous-domaines appartenant aux Centres américains de contrôle et de prévention des maladies (CDC). Ces failles du DNS étant difficiles à identifier, les chercheurs estiment que Hazy Hawk dispose probablement d'un accès à un important service DNS passif.
À ce jour, on a constaté que le pirate ciblait des dizaines d'organisations.
Comment Hazy Hawk cible les ressources cloud
Hazy Hawk est spécialisé dans le détournement de ressources cloud abandonnées, telles que les compartiments AWS S3 et les points de terminaison Azure, en exploitant des enregistrements DNS oubliés. Comme le souligne Infoblox, la mise en œuvre de ce type d'attaques nécessite un niveau de sophistication technique avancé et peu courant.
Hazy Hawk est désormais passé maître dans l'art de repérer les failles dans les enregistrements DNS, de détourner des noms de domaine et de les réutiliser pour héberger des URL malveillantes. Pour échapper à la détection, l'auteur de l'attaque détourne les sous-domaines de sites populaires et réputés, masque les URL, utilise du contenu provenant d'autres sites pour sa page et redirige les victimes via au moins une URL qui exploite un service bien connu.
Les victimes de cette attaque sont souvent redirigées vers un système de répartition du trafic (TDS) qui déterminera où elles doivent être acheminées.
Infoblox constate que la page de destination ne correspond souvent pas à l'appât initial. Par exemple, bon nombre des URL utilisées par l’auteur de l’attaque exploitent le sous-domaine « cdc.gov », qui avait été détourné auparavant, et redirigent la victime vers une page Blogspot, puis vers une page « .xyz ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Infoblox, Hazy Hawk nous rappelle que « le DNS n'étant généralement pas perçu comme un vecteur de menace, ce type d'attaques peut passer inaperçu pendant de longues périodes ».
Cet acteur cible activement des organisations de premier plan et n'a pas besoin de franchir leur périmètre de sécurité pour atteindre son objectif.
Ce type d'attaque est difficile à détecter, à moins que vous ne surveilliez activement la bonne santé de votre système DNS.
Une nouvelle campagne de logiciels malveillants diffuse le RAT Remcos sans fichier
Un article récent de Qualys intitulé « » (s'ouvre dans un nouvel onglet) met en lumière une campagne de logiciels malveillants furtive qui utilise des techniques d'exécution sans fichier pour déployer Remcos RAT, un puissant cheval de Troie d'accès à distance (RAT).
Cette attaque exploite PowerShell et des outils natifs de Windows, tels que « mshta.exe », pour contourner les systèmes de protection traditionnels des terminaux.
Comment le logiciel malveillant s'introduit et reste dans le système
Selon Qualys, l'attaque commence par un fichier nommé « “new-tax3,11.zip ». Des fichiers LNK malveillants sont intégrés dans les archives ZIP ; ceux-ci exécutent un fichier d'application HTML (HTA) obfusqué contenant un script VBS.
Qualys a analysé le fichier « “new-tax311.zip » et a constaté que l'exécution initiale s'effectuait via MSHTA afin d'exécuter un fichier HTA obscurci. Ce fichier HTA contient du code VBScript obscurci capable de contourner Windows Defender.
Le code télécharge également des scripts PowerShell afin de configurer PowerShell pour qu'il contourne la politique d'exécution, s'exécute en mode caché et crée une clé de registre à des fins de persistance. Le fichier HTA téléchargera également plusieurs charges utiles dans le répertoire public de l'utilisateur, dont l'une s'exécute au démarrage.
Comment le script diffuse le RAT Remcos
Le script PowerShell « “24.ps1 » est obscurci et regorge de fonctions et de variables dénuées de sens. Il utilise des opérations de manipulation de chaînes personnalisées pour décoder deux blobs encodés en base64 . Le script appelle également Win32 API pour allouer de la mémoire, ainsi que pour injecter et exécuter du code en mémoire.
L'un des fichiers décodés serait le fichier binaire du RAT Remcos. Il est compilé à l'aide de Visual Studio C++ 8 et fonctionne via plusieurs modules distincts afin d'assurer sa persistance, de collecter des informations sur le système, de contourner le contrôle de compte d'utilisateur (UAC) et de se connecter à son domaine C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bon nombre des tactiques, techniques et procédures (TTP) utilisées lors de cette attaque correspondent à celles d'acteurs relevant d'États-nations ou de menaces persistantes avancées (APT), ce qui confère à cette campagne une importance accrue. Cette campagne utilise de nombreuses techniques courantes, notamment des logiciels malveillants sans fichier, des LOLBins et des RAT courants.
Il s'agit là d'une énième campagne qui privilégie le contournement des systèmes de défense — un processus de plus en plus automatisé par les auteurs de menaces.
[À lire également : 15 termes de cybersécurité que vous (et votre PDG) devriez déjà connaître]
Des cybercriminels associent l'AES et des paquets npm malveillants dans le cadre d'une campagne de hameçonnage
Des chercheurs de Fortra (s'ouvre dans un nouvel onglet) ont découvert une nouvelle campagne de hameçonnage qui utilise un paquet npm malveillant dans le cadre de son mécanisme de diffusion. Ce paquet, qui a été diffusé via le registre npm, avait pour but de collecter des identifiants en se faisant passer pour des modules légitimes.
Comment fonctionne une attaque par hameçonnage ?
Fortra a analysé une attaque de hameçonnage de type « » qui commence par un e-mail contenant une pièce jointe .HTM malveillante. L'e-mail a bien été acheminé dans la boîte de réception, probablement parce que le fichier semble inoffensif. Le fichier contient du code chiffré qui a nécessité une analyse plus approfondie et qui s'est avéré renvoyer à du JavaScript.
Comme le souligne Fortra, le fichier JavaScript « faisait partie d'un paquet npm malveillant hébergé sous le couvert d'une bibliothèque open source classique ». Le paquet chargerait et exécuterait un script de deuxième étape chargé de créer des liens de hameçonnage personnalisés à partir de l'adresse e-mail de la victime, la redirigeant vers une fausse page de connexion à Microsoft 365 .
Que contient cet e-mail de hameçonnage ?
Comme indiqué, l'e-mail de hameçonnage contient une pièce jointe malveillante au format .HTM. Après une analyse plus approfondie, Fortra a découvert que le fichier utilise le chiffrement AES pour dissimuler une chaîne de caractères stockée dans une variable spécifique.
Le chiffrement AES est rarement utilisé dans les campagnes de hameçonnage, car les auteurs ont souvent recours à des méthodes de dissimulation moins sophistiquées. Après avoir déchiffré le contenu, ils ont découvert qu'il renvoyait vers une URL hébergée sur « jsDelivr », un CDN destiné à la diffusion, entre autres, de paquets npm.
Comprendre le paquet npm malveillant
Lorsque Fortra a mené son enquête, le paquet npm avait déjà été bloqué. Cependant, il a tout de même réussi à installer le paquet via Node.js et a constaté que l'un des dossiers téléchargés, MOMENTUM, contenait un fichier « NOW.API.JS », qui constitue la prochaine étape de l'attaque. Ce fichier charge du contenu malveillant supplémentaire.
Comment les victimes sont redirigées vers des sites de hameçonnage
Fortra a identifié une série de redirections vers des URL malveillantes. Le code JavaScript mentionné précédemment renvoyait vers une URL malveillante connue. Ils ont découvert que le site de redirection renvoyé par l'API était hors ligne et avait été signalé par Cloudflare comme étant un site de hameçonnage. Fortra a identifié une version plus récente du package contenant des URL mises à jour, dont l'une renvoie vers une page de hameçonnage active. Ce site redirigerait la victime vers une page de destination dans le but de dérober ses identifiants.
Le dernier site de hameçonnage était hors ligne au moment de l'enquête menée par Fortra. Un rapport antérieur d’« Any.Run » a été obtenu, révélant une capture d’écran montrant à quoi ressemblait la page lorsqu’elle était en ligne. Ce site est une fausse page de connexion « Microsoft 365 » typique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Fortra, les différentes techniques utilisées dans cette attaque ne sont pas inédites. Mais lorsqu'ils sont combinés, ils constituent une menace plus redoutable. Les acteurs combinent désormais couramment différentes techniques, tactiques et procédures (TTP) pour renforcer l'efficacité de leurs campagnes, et celle-ci ne fait pas exception.
L'analyse de Fortra nous rappelle également que le vol d'identifiants est, et restera, un objectif majeur pour les acteurs malveillants. C'est pourquoi il est essentiel de garder une longueur d'avance sur ces TTP et de se tenir informé des dernières ruses et astuces.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
