Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium étudie comment les acteurs malveillants exploitent les enregistrements DNS oubliés ou orphelins. Ensuite, notre équipe CTI met en évidence une campagne furtive de logiciels malveillants qui utilise des techniques d’exécution sans fichier pour déployer Remcos RAT. Enfin, l’équipe conclut avec une nouvelle campagne d’hameçonnage qui utilise un gestionnaire de package npm (Node package manager) malveillant dans le cadre de son mécanisme de livraison.
Hazy Hawk utilise des enregistrements DNS pour cibler les domaines
Un rapport récent d’Infoblox souligne comment les enregistrements DNS obsolètes, en particulier ceux qui pointent vers une infrastructure cloud déclassée, peuvent être détournés par des attaquants et utilisés à des fins malveillantes. Un acteur, Hazy Hawk, est un acteur de menace averti en DNS qui est connu pour le faire.
Infoblox a pris connaissance de cet acteur début 2025 après avoir pris le contrôle des sous-domaines appartenant aux Centres américains pour le contrôle et la prévention des maladies (Centers for Disease Control and Prevention, CDC). Étant donné que ces lacunes dans le DNS sont difficiles à identifier, les chercheurs pensent que Hazy Hawk a probablement accès à un grand service DNS passif.
Jusqu’à présent, l’attaquant a été observé ciblant des dizaines d’organisations.
Comment Hazy Hawk cible les ressources cloud
Hazy Hawk se spécialise dans le détournement des ressources cloud abandonnées telles que les compartiments AWS S3 et les endpoints Azure en exploitant les enregistrements DNS oubliés. Comme le remarque Infoblox, l’exécution de ces types d’attaques nécessite un niveau avancé et rare de sophistication technique.
Hazy Hawk est devenu capable d’identifier les lacunes dans les enregistrements DNS, de pirater les domaines et de les réutiliser pour héberger des URL malveillantes. Pour échapper à la détection, l’acteur piratera les sous-domaines des domaines populaires et réputés, masquera les URL, utilisera le contenu d’autres sites pour leur page et redirigera les victimes via au moins une URL qui utilise un service bien connu.
Les victimes de cette attaque sont souvent dirigées vers un système de distribution du trafic (TDS) qui décidera où elles doivent être envoyées.
Infoblox note que la page d’accueil ne correspond souvent pas à l’attrait initial. Par exemple, de nombreuses URL de l’acteur exploitent le sous-domaine « cdc.gov » précédemment détourné, et redirigent la victime via une page Blogspot, suivie d’une page « .xyz ».
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le souligne Infoblox, Hazy Hawk est un rappel que « comme le DNS n’est pas largement compris comme un vecteur de menace, ces types d’attaques peuvent s’exécuter sans être détectées pendant de longues périodes. »
Cet acteur cible activement des organisations de haut niveau et n’a pas besoin de franchir un périmètre pour réussir.
Ce type d’attaque est difficile à identifier, sauf si vous surveillez activement l’hygiène DNS.
Une nouvelle campagne malveillante offre un RAT Remcos sans fichier
Une publication récente de Qualys met en évidence une campagne malveillante furtive qui utilise des techniques d’exécution sans fichier pour déployer Remcos RAT, qui est un puissant cheval de Troie d’accès à distance (RAT).
L’attaque exploite PowerShell et des outils natifs Windows tels que « mshta.exe » pour échapper aux défenses traditionnelles des endpoints.
Comment le logiciel malveillant entre et reste
Selon Qualys, l’attaque commence par un fichier “new-tax3,11.zip ». Les fichiers LNK malveillants sont intégrés dans les archives ZIP, qui exécutent un fichier d’application HTML (HTA) masqué contenant le script VBS.
Qualys a analysé le fichier “new-tax311.zip » et a constaté que l’exécution initiale se faisait via MSHTA pour exécuter un fichier HTA masqué. Ce fichier HTA contient un code VBScript masqué capable de contourner Windows Defender.
Le code télécharge également les scripts PowerShell pour définir PowerShell afin de contourner la politique d’exécution, de s’exécuter en mode masqué et de créer une clé de registre pour la persistance. Le fichier HTA téléchargera également plusieurs charges utiles dans le répertoire public de l’utilisateur, dont l’une s’exécute au démarrage.
Comment le script fournit Remcos RAT
Le script PowerShell, “24.ps1 », est masqué et regorge de plusieurs fonctions et variables insignifiantes. Il utilise la manipulation de chaîne personnalisée pour décoder deux blobs codés base64 . Le script appelle également Win32 API pour allouer de la mémoire et pour injecter et exécuter du code en mémoire.
L’un des blobs décodés est considéré comme le binaire Remcos RAT. Il est compilé à l’aide de Visual Studio C++ 8 et fonctionne via plusieurs modules différents pour établir la persistance, collecter les détails du système, contourner l’UAC et se connecter à son domaine C2 .
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
De nombreuses tactiques, techniques et procédures (TTP) de cette attaque sont cohérentes avec les acteurs au niveau des menaces persistantes avancées (APT) et des États, ce qui rend la campagne plus pertinente. La campagne utilise de nombreuses techniques populaires, notamment les logiciels malveillants sans fichier, les LOLBins et les RAT de base.
Il s’agit d’une autre campagne qui donne la priorité à l’évasion de la défense, un processus qui est de plus en plus automatisé par les acteurs malveillants.
[Lire également : 15 termes de cybersécurité que vous (et votre PDG) devez connaître à présent]
Les acteurs malveillants combinent les packages AES et npm malveillants dans une campagne d’hameçonnage
Les chercheurs de Fortra ont découvert une nouvelle campagne d’hameçonnage qui utilise un package npm malveillant dans le cadre de son mécanisme de livraison. Le package, qui a été distribué via le registre npm, a été conçu pour collecter des informations d’identification en imitant des modules légitimes.
Comment fonctionne l’attaque d’hameçonnage ?
Fortra a traversé une attaque d’hameçonnage qui commence par un e-mail contenant une pièce jointe .HTM malveillante. L’e-mail a été envoyé avec succès dans la boîte de réception, probablement parce que le fichier semble inoffensif. Le fichier comprend un code crypté qui justifiait une analyse supplémentaire et qui pointe vers JavaScript.
Comme le note Fortra, le fichier JavaScript faisait « partie d’un package npm malveillant hébergé sous le couvert d’une bibliothèque open source typique ». Le package chargerait et fournirait un script de deuxième étape responsable de la création de liens d’hameçonnage personnalisés à l’aide de l’adresse e-mail de la cible, les conduisant à une fausse page de connexion Microsoft 365 .
Que contient l’e-mail d’hameçonnage ?
Comme indiqué, l’e-mail d’hameçonnage contient une pièce jointe de fichier .HTM malveillante. Après une enquête plus approfondie, Fortra a découvert que le fichier utilise le chiffrement AES pour masquer une chaîne stockée dans une variable particulière.
Le chiffrement AES n’est pas souvent observé dans les campagnes d’hameçonnage, car les acteurs tireront souvent parti de méthodes moins sophistiquées d’obscurcissement. Après avoir décrypté le contenu, ils ont découvert qu’il pointait vers une URL hébergée sur « jsDelivr », qui est un CDN pour distribuer des éléments tels que des packages npm.
Comprendre le package npm malveillant
Au moment où Fortra est allé enquêter, le package npm avait déjà été bloqué. Cependant, il a toujours pu installer le package via Node.js et a découvert que l’un des dossiers téléchargés, MOMENTUM, contient un « NOW.API.JS », qui est la prochaine étape de l’attaque. Ce fichier charge du contenu malveillant supplémentaire.
Comment les victimes sont redirigées vers des sites d’hameçonnage
Fortra a identifié une série de redirections d’URL malveillantes. Le JavaScript mentionné précédemment faisait référence à une URL malveillante connue. Ils ont découvert que le site de redirection renvoyé par l’API était hors ligne et avait été signalé par Cloudflare pour hameçonnage. Fortra a identifié une version plus récente du package qui avait des URL mises à jour, dont l’une pointe vers une page d’hameçonnage active. Ce site redirigerait la victime vers une page d’accueil pour voler des informations d’identification.
Le site d’hameçonnage final était hors ligne au moment de l’enquête de Fortra. Un rapport précédent « Any.Run » a été obtenu pour révéler une capture d’écran de ce à quoi la page ressemblait lorsqu’elle était en ligne. Le site est une fausse page de connexion Microsoft 365 typique.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le mentionne Fortra, les différentes techniques utilisées dans cette attaque ne sont pas uniques. Mais lorsqu’elles sont combinées, elles créent une menace plus efficace. Les acteurs mélangent désormais fréquemment les TTP pour augmenter l’efficacité de leurs campagnes, et celle-ci n’est pas différente.
L’analyse de Fortra nous rappelle également que le vol d’informations d’identification est et restera un objectif principal pour les acteurs malveillants. Pour cette raison, il est essentiel de garder une longueur d’avance sur ces TTP et d’être au courant des derniers attraits et astuces.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
