Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium examine comment les pirates combinent deux kits de « phishing-as-a-service » dans le cadre de campagnes hybrides, ce qui complique la détection et l'attribution des attaques. L'équipe se penche ensuite sur RomCom, un groupe malveillant lié à la Russie qui cible désormais les entreprises américaines soutenant l'Ukraine.
Enfin, nous terminons par un aperçu du groupe iranien MuddyWater, qui a récemment lancé une campagne visant des s gouvernementales et des infrastructures critiques en Israël et en Égypte.
Le « phishing hybride 2FA » menace les entreprises
ANY.RUN tire la sonnette d'alarme concernant une nouvelle menace de hameçonnage de type « » qui combine les kits de hameçonnage « Salty2FA » et « Tycoon2FA » au sein d'une seule et même campagne hybride. Cette évolution témoigne d'une tendance vers des opérations de hameçonnage modulaires et résilientes, capables de s'adapter aux défaillances des infrastructures et de contourner les défenses traditionnelles.
ANY.RUN a constaté une baisse du nombre de soumissions dans le bac à sable Salty2FA à partir de la fin de l' octobre 2025. Début novembre, la baisse s'est considérablement accélérée, ce qui a incité ANY.RUN à mener une enquête.
Les chercheurs ont découvert que les échantillons prélevés en novembre étaient soit inopérants, soit se comportaient différemment des échantillons Salty2FA habituels. Parallèlement, ils ont constaté que les résultats obtenus dans l'environnement de test mettaient en évidence des indicateurs provenant à la fois des kits Salty2FA et Tycoon2FA au sein du même échantillon, ce qui prouve que les attaquants combinaient ces deux kits pour créer des charges utiles hybrides.
Comment fonctionne la charge utile hybride ?
Cette activité commence par une page de hameçonnage hébergée sur Cloudflare Pages Dev, une plateforme dédiée à l'hébergement de sites statiques et au développement front-end. Des analystes ont découvert dans le code des commentaires indiquant que, si la charge utile initiale ne parvenait pas à se charger, le script devait la récupérer à partir d'une URL de secours. Dans l'échantillon analysé, le domaine principal Salty2FA a renvoyé une erreur DNS, ce qui a empêché la récupération de la charge utile.
À la suite de cet échec, le script a suivi son plan de secours et a lancé l'étape suivante. Cette étape effectue des contrôles anti-analyse, remplace le contenu de la page, bloque les raccourcis clavier des DevTools et effectue des contrôles de durée. Enfin, le code charge une séquence qui correspond étroitement à la chaîne d'exécution Tycoon2FA’s , ce qui laisse supposer que Tycoon2FA sert de charge utile de secours lorsque l'infrastructure Salty2FA n'est pas disponible.
Ce mécanisme de secours permet aux attaquants de poursuivre leurs campagnes même en cas de défaillance de l'infrastructure d'un kit, ce qui réduit l'efficacité des mesures de neutralisation ciblant un seul point.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette nouvelle campagne hybride témoigne d'une évolution croissante vers des écosystèmes de hameçonnage de plus en plus sophistiqués, dans lesquels la modularité et la redondance sont intégrées. Ce phénomène s'apparente à l'évolution des groupes de ransomware vers des modèles RaaS. Le phishing suit désormais le mouvement.
Les cyberattaquants accordent désormais la priorité à la continuité opérationnelle et passent d'un kit de phishing à un autre lorsque l'infrastructure tombe en panne — une tendance qui reflète les stratégies de reprise après sinistre mises en place par les entreprises. Cela réduit l'efficacité des mesures de démantèlement, à moins que ces deux kits et leur infrastructure commune ne soient tous deux visés.
Le rapport d’ANY.RUN comprend des conseils pratiques sur la manière dont les équipes SOC peuvent réagir face à ce type d’activité.
RomCom utilise SocGholish pour déployer le logiciel malveillant Mythic Agent
Selon Arctic Wolf, le groupe malveillant RomCom, lié à la Russie, utilise désormais le framework de logiciels malveillants SocGholish pour déployer son logiciel malveillant « Mythic Agent » contre des entreprises américaines qui soutiennent activement l'Ukraine. C'est la première fois que RomCom fait appel à SocGholish.
Arctic Wolf a estimé, avec un degré de confiance moyen à élevé, que l'unité 29155 du GRU russe était à l'origine de cette attaque, soulignant ainsi son importance géopolitique. Arctic Wolf a détecté et bloqué cette intrusion et partage désormais des informations qui mettent en évidence la sophistication croissante et la collaboration entre les cybercriminels russes.
Présentation générale de « RomCom », « SocGholish » et « TA569 »
- « RomCom » est un groupe proche de la Russie, actif depuis au moins trois ans, qui cible principalement les organisations soutenant l'Ukraine — que ce soit par le biais d'une aide directe, de partenariats ou de services connexes —, quel que soit leur lieu d'implantation.
- SocGholish est un framework de logiciels malveillants découvert pour la première fois en 2017. Diffusé via du code JavaScript malveillant injecté dans des sites web, il fait office de programme de téléchargement et est de plus en plus utilisé comme vecteur d'accès initial dans le cadre d'opérations de ransomware.
- TA569 est un groupe à but lucratif qui exploite SocGholish dans le cadre d'un modèle de « malware-as-a-service » (MaaS), en vendant l'accès à des systèmes compromis à des affiliés spécialisés dans les ransomwares. Il est considéré comme le principal acteur malveillant à l'origine du déploiement et de la maintenance de SocGholish ; il utilise de fausses alertes de mise à jour de navigateur et de logiciels, ainsi que de la publicité malveillante, pour propager les infections.
Comprendre le vecteur d'attaque
SocGholish injecte généralement du code JavaScript malveillant dans des sites web légitimes et utilise de fausses mises à jour comme appât pour inciter les utilisateurs à télécharger des logiciels malveillants. Il se propage parfois par le biais d'hameçonnage. Une faille de sécurité de type « SocGholish » peut servir de point d'accès initial à d'autres attaques, ce qui rend leur détection précoce et leur endiguement essentiels.
Dans un cas observé, quelques minutes seulement avant la diffusion du chargeur de shellcode de RomCom, les auteurs de la menace ont testé la connectivité vers Mythic Command and Control (C2), un cadre de simulation d’attaques multiplateforme écrit en Python 3 et conçu pour les tests de sécurité, mais qui, à l’instar de nombreux outils similaires, est parfois détourné par les auteurs de la menace pour contrôler des systèmes compromis.
À quel moment le chargeur s'active-t-il ?
La connexion à Mythic C2 ayant été vérifiée, la phase suivante de l'attaque peut commencer : l'injection du chargeur de RomCom. Le chargeur, <code>msedge.dll</code>, vérifie si le domaine Active Directory du système correspond à une valeur codée en dur avant de déchiffrer et d'exécuter le shellcode. Le shellcode en question est l'agent Mythic, qui se connecte ensuite à son infrastructure C2 pour recevoir des instructions supplémentaires.
À ce stade, Arctic Wolf a détecté et mis en quarantaine le programme de chargement, empêchant ainsi l'attaque de se poursuivre.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Arctic Wolf, c'est la première fois que RomCom utilise le « SocGholish », ce qui laisse penser que les acteurs malveillants mêlent de plus en plus leurs objectifs criminels et géopolitiques.
La coordination apparente entre RomCom et TA569 met en évidence la manière dont les groupes malveillants nouent des alliances et collaborent pour amplifier leur impact, ce qui complique encore davantage l'attribution de la responsabilité et les stratégies de défense mises en œuvre par les responsables de la sécurité.
À tout le moins, les conclusions d'Arctic Wolf montrent à quel point les défenses multicouches et l'analyse comportementale sont essentielles face à ces menaces en constante évolution.
MuddyWater cible les infrastructures critiques en adaptant ses tactiques
Un article récent publié par ESET révèle comment MuddyWater a lancé une nouvelle campagne visant les pouvoirs publics et les infrastructures critiques en Israël et en Égypte, en recourant à des tactiques plus discrètes et à des outils sur mesure, tels que la porte dérobée MuddyViper et le chargeur Fooder.
Cette évolution témoigne de la transition du groupe vers des opérations plus sophistiquées et plus difficiles à contrer, ce qui témoigne d'une capacité et d'une persévérance accrues.
Qui est MuddyWater ?
MuddyWater — également connu sous les noms de Mango Sandstorm ou TA450—is — est un groupe de cyberespionnage lié à l'Iran, actif depuis au moins 2017. Elle vise principalement les secteurs gouvernementaux et les infrastructures critiques au Moyen-Orient et au-delà.
Au début de cette année, ESET a constaté des chevauchements opérationnels entre MuddyWater et Lyceum, un sous-groupe du groupe OilRig (également connu sous le nom de HEXANE), lié à l'Iran. Comme l'explique ESET, cela laisse penser que MuddyWater « pourrait servir de courtier en accès initial pour d'autres groupes proches de l'Iran ».
La suite d'outils de MuddyWater
ESET a révélé des informations concernant des outils jusqu'alors inconnus utilisés par MuddyWater :
- Chargeur « Fooder » : Un chargeur C/C++ 64 bits qui charge de manière réflexive la porte dérobée MuddyViper en mémoire et l'exécute. On a également constaté que Fooder diffusait l'utilitaire open source HackBrowserData. Parmi ses caractéristiques notables, on peut citer une fonction de délai personnalisée et des versions qui imitent le jeu classique « Snake ».
- Porte dérobée MuddyViper : Une porte dérobée écrite en C/C++ qui recueille des informations système, télécharge et envoie des fichiers, exécute des commandes et vole des identifiants. Il assure sa persistance via des valeurs du registre ou des tâches planifiées et prend en charge 20 commandes de porte dérobée. Pour la communication C2 , il utilise des requêtes <code>HTTP GET</code> sur le <code>port 443</code>, avec des mises à jour détaillées de l'état.
- CE-Notes, un logiciel de vol de données de navigation : Découvert pour la première fois en 2024, CE-Notes cible les navigateurs basés sur Chromium (Chrome, Edge, Brave). Il est téléchargé via PowerShell et vole la clé de chiffrement liée à l'application, introduite dans la version 127 de Chrome.
- LP-Notes, un programme de vol d'identifiants : Un programme de vol d'identifiants sous Windows qui affiche une fausse boîte de dialogue « Sécurité Windows » afin d'inciter les victimes à saisir leurs identifiants. Il valide les identifiants en temps réel et tente de se connecter à l'aide de ceux-ci.
- Blub, un outil de vol de données de navigation : Un outil en C/C++ qui récupère les identifiants de connexion depuis Chrome, Edge, Firefox et Opera. Il utilise une bibliothèque SQLite liée de manière statique et intègre des techniques simples d'obfuscation.
- Tunnels inversés : MuddyWater utilise fréquemment go-socks5 tunnels inversés — un ensemble d’outils compilés en Go s’appuyant sur des bibliothèques telles que go-socks5, yamux et resocks — afin de permettre des communications réseau discrètes et de contourner les pare-feu.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium :, ,
L'évolution de MuddyWater, qui est passé de sessions bruyantes et interactives à des techniques plus discrètes et résidant en mémoire, suggère une orientation délibérée vers la persistance à long terme et la capacité à échapper à la détection, ce qui correspond globalement aux tendances observées chez les acteurs soutenus par des États.
MuddyWater se rapproche de plus en plus des menaces persistantes avancées (APT) les plus sophistiquées, ce qui signifie que les défenseurs ne peuvent plus se fier aux hypothèses historiques concernant certains groupes. Cette activité repose toujours sur le spear phishing pour obtenir un accès initial, mais le fait qu’elle soit associée à des chargeurs personnalisés déguisés en jeux souligne la nécessité de former les utilisateurs à la vigilance et de mettre en place des systèmes de détection comportementale, et non pas uniquement des défenses basées sur des signatures.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
