Dans le tour d'horizon de cette semaine, CTI se penche sur une campagne de hameçonnage en cours qui exploite les entrées « refresh » dans les en-têtes HTTP. Par la suite, le CTI fait le point sur le groupe « Scattered Spider », qui mène actuellement des attaques d’ingénierie sociale de type « » et cible des comptes cloud. Enfin, la CTI mène l'enquête sur « UNC2970 », un individu qui se fait passer pour un recruteur et cible ses victimes sous le prétexte d'offres d'emploi.
Une campagne de hameçonnage exploite les en-têtes HTTP pour voler des identifiants
Des chercheurs de Palo Alto mettent en garde contre une campagne d'hameçonnage en cours, dans laquelle exploite les entrées de rafraîchissement des en-têtes HTTP (s'ouvre dans un nouvel onglet) afin de diffuser de fausses pages de connexion aux messageries électroniques.
Cette campagne se distingue des autres campagnes de hameçonnage de type « » diffusées via du contenu HTML, car elle utilise l'en-tête de réponse envoyé par un serveur, ce qui se produit avant le traitement du contenu HTML. Entre mai et juillet, les chercheurs ont identifié chaque jour environ 2 000 URL malveillantes liées à cette campagne.
Fonctionnement de cette technique
Les cybercriminels ont souvent recours à des outils et des techniques facilement accessibles pour mener des campagnes de hameçonnage. Les cybercriminels ont désormais recours à une technique de rafraîchissement des en-têtes pour intégrer des liens de hameçonnage et créer des leurres convaincants. Ces liens malveillants ciblent chaque utilisateur en intégrant son adresse e-mail dans le champ « refresh » de l'en-tête de réponse HTTP. Cela oblige le navigateur à actualiser ou à recharger automatiquement une page Web sans aucune intervention de l'utilisateur.
En associant cette technique à des domaines falsifiés qui imitent des domaines légitimes, les cybercriminels ont davantage de chances de piéger leurs victimes et de les amener à leur communiquer leurs identifiants.
Exemples d'attaques de hameçonnage par rafraîchissement d'en-tête
Les liens malveillants utilisés dans le cadre de cette attaque tentent de convaincre les victimes de saisir leurs identifiants sur un site qui ressemble fortement à la page de connexion légitime. Ces pages affichent généralement l'adresse e-mail de l'organisation sur le site en préremplissant le champ « nom d'utilisateur » avec l'adresse e-mail de la victime et en demandant un mot de passe.
En juin, l' , à Palo Alto, a constaté des campagnes à grande échelle : (s'ouvre dans un nouvel onglet). Une campagne s'est particulièrement distinguée, car elle utilisait des e-mails provenant de la même adresse IP d'origine et comportant la même adresse d'expéditeur usurpée. L'objet d'e-mail le plus courant de cette campagne était « À signer avec DocuSign : formulaire ACH/EFT *** ». Les liens malveillants ont été diffusés via des URL de rafraîchissement d'en-tête qui contenaient les adresses e-mail des destinataires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette technique de rafraîchissement d'en-tête illustre parfaitement la manière dont les acteurs malveillants adoptent de nouvelles techniques et montre à quelle vitesse ils sont capables d'étendre la portée de leurs attaques. L'acteur à l'origine de cette campagne a réussi à mener plusieurs attaques de grande envergure en l'espace de quelques mois seulement, touchant 2 000 domaines par jour.
Cela nécessite un travail de supervision considérable et montre que l'acteur disposait des ressources nécessaires pour mener une campagne de ce type. Ces campagnes mettent en évidence la manière dont les en-têtes HTTP « refresh » peuvent être utilisés à des fins malveillantes et fournissent aux responsables de la sécurité une technique supplémentaire à surveiller.
Scattered Spider cible les comptes cloud
Les chercheurs d'EclecticIQ mènent des enquêtes sur les opérations de ransomware, en particulier celles qui ciblent les infrastructures cloud. Ils ont récemment découvert qu'une grande partie de l'infrastructure et des techniques, tactiques et procédures (TTP) observées lors de ces attaques correspondent à celles du groupe Scattered Spider, également à l'origine de la célèbre attaque contre MGM et d'autres attaques sophistiquées de manipulation psychologique.
Depuis l'attaque contre MGM, Scattered Spider a mené diverses autres attaques d'ingénierie sociale. Ils ont recours à la fois au « vishing » (hameçonnage vocal) et au « smishing » (hameçonnage par SMS) pour piéger leurs victimes, et on a constaté qu’ils ciblaient les services d’assistance informatique et les administrateurs chargés de la gestion des identités. Cet acteur cherche avant tout à gagner la confiance des autres pour ensuite en abuser.
Des comptes utilisateurs à l'infrastructure cloud
La dernière étude d'EclecticIQ révèle que le groupe Scattered Spider compromet fréquemment des réseaux en recourant à l'ingénierie sociale pour pirater des comptes cloud.
L'une des façons dont ce groupe parvient à accéder sans autorisation à des environnements cloud consiste en une fuite accidentelle d'identifiants. L'acteur exploite des jetons d'authentification cloud qui ont fait l'objet d'une fuite et ont été accidentellement exposés sur des plateformes telles que GitHub, en raison de l'utilisation d'identifiants codés en dur dans le code.
L'acteur recourt également à des campagnes d'hameçonnage et à l'ingénierie sociale pour compromettre des comptes et a tendance à cibler le personnel des services d'assistance informatique et les équipes de cybersécurité. Ces attaques visent principalement des services cloud tels qu’Entra ID, AWS EC2 et des applications SaaS.
Les programmes de vol d'identifiants et les courtiers en accès initial
EclecticIQ a constaté la vente de jetons d'authentification et d'identifiants pour des services cloud sur des forums clandestins, ce qui constitue un moyen supplémentaire d'obtenir des identifiants et un accès à ces services.
Scattered Spider utilise également des logiciels malveillants bien connus destinés à voler des identifiants, notamment Stealc, Raccoon Stealer, Vidar Stealer et RedLine Stealer.
L'usurpation de carte SIM et les applications SaaS critiques
Cet acteur recourt généralement à l'usurpation de carte SIM pour contourner les protections mises en place par contre l'authentification multifactorielle (MFA) et accéder à des applications SaaS critiques.
Après avoir réussi à accéder à un compte utilisateur, l'acteur ciblera l'infrastructure cloud et, dans certains cas, créera des machines virtuelles afin de contourner les mesures de sécurité en place.
Tirer parti des outils open source pour la reconnaissance dans le cloud
Après avoir accédé à une infrastructure cloud via des tableaux de bord compatibles avec l'authentification unique (SSO) pour M365, l'acteur mène une reconnaissance approfondie.
L'acteur recherchera des applications intégrées au sein de l'environnement cloud et s'intéressera tout particulièrement aux systèmes CRM, aux plateformes de gestion documentaire, aux solutions de stockage de mots de passe, aux référentiels de code, etc. Scattered Spider recherchera également des informations susceptibles d'être utilisées à des fins d'extorsion ou pour cibler des tiers liés à la victime.
La persistance dans les infrastructures cloud
Depuis le début de l'année 2024, on a constaté que l'acteur abusait de la synchronisation inter-locataires (CTS) au sein de Microsoft Entra ID.
L'acteur s'appuie également sur les fournisseurs d'identité fédérée des instances Entra ID et Okta pour assurer la persistance des données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'étude d'EclecticIQ porte sur les activités du groupe entre l'année 2023 et le deuxième trimestre de l'année 2024. Leurs conclusions montrent que le groupe « Scattered Spider » a connu un succès considérable, en grande partie grâce à ses techniques sophistiquées d’ingénierie sociale. Les recherches menées par EclecticIQ révèlent également que ce groupe privilégie le déploiement de ransomwares dans les environnements cloud.
Il convient de noter qu’à l’adresse juillet 2024, une personne liée au groupe « Scattered Spider » a été arrêtée. Seul le temps nous dira si cette opération continuera à porter ses fruits.
UNC2970 exploite les demandeurs d'emploi américains
Mandiant surveille un acteur connu sous le nom d' UNC2970 (s'ouvre dans un nouvel onglet). Cet individu se fait passer pour un recruteur et cible ses victimes sous prétexte d'offres d'emploi.
Ces derniers temps, l'acteur a pris contact avec des victimes par e-mail et via WhatsApp, et leur a transmis une archive malveillante contenant un fichier PDF crypté ainsi qu'une application de lecture de PDF infectée par un cheval de Troie. Ce fichier ne peut être ouvert qu'avec la version de SumatraPDF intégrant un cheval de Troie fournie avec le fichier et vise à installer une porte dérobée.
Chaîne de contamination UNC2970’s
Mandiant a enquêté sur un incident au cours duquel une victime a téléchargé et ouvert une archive ZIP protégée par un mot de passe qu'elle avait reçue via WhatsApp. L'archive comprenait cinq fichiers : un fichier PDF contenant le fichier d'appât affiché à la victime et la porte dérobée MISTPEN, un fichier DLL infecté par un cheval de Troie, deux fichiers DLL légitimes et l'exécutable légitime de l'application open source SumatraPDF.
Mandiant estime que l'utilisateur a reçu pour instruction d'ouvrir le fichier PDF contenant le logiciel de lecture de PDF infecté par un cheval de Troie. Il est important de noter qu'il ne s'agit pas d'une vulnérabilité de SumatraPDF, mais bien d'une version infectée par un cheval de Troie. La charge utile MISTPEN est finalement chargée en mémoire.
- Le fichier « BURNBOOK » est chargé par l'exécutable SumatraPDF.exe. Il s'agit d'un lanceur qui exécute une charge utile chiffrée stockée dans un fichier et l'enregistre sur le disque. Il contient un code malveillant qui se déclenche lorsque l'utilisateur ouvre le fichier PDF servant d'appât.
- MISTPEN : ce programme malveillant tente de télécharger et d'exécuter des fichiers PE. Ce logiciel malveillant est une version modifiée du plugin « binhex » de Notepad++, v2,0,0,1. Il communique via HTTP avec plusieurs API Microsoft Graph. Il prend en charge plusieurs commandes, notamment l'analyse syntaxique, le chargement en mémoire, l'exécution de la charge utile PE reçue, la fermeture de processus, la mise à jour de son délai de veille dans la configuration, et bien plus encore.
- Le chargeur TEARPAGE est intégré dans la section « Ressources » de BURNBOOK. Il est chargé grâce à une manipulation de l'ordre de recherche des DLL et permet de déchiffrer un blob chiffré. Le résultat déchiffré correspond à la porte dérobée MISTPEN.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels sont constamment à la recherche de nouvelles techniques d'ingénierie sociale, et la dernière en date semble consister à se faire passer pour des recruteurs.
Certains acteurs envoient aux demandeurs d'emploi de faux tests de programmation contenant des logiciels malveillants. La victime n'atteint jamais la phase de test et est infectée simplement en ouvrant ce qu'elle croit être un fichier PDF contenant la description de poste.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
