Cette semaine, CTI se penche sur une nouvelle campagne de logiciels malveillants sous Linux capable de contourner la détection des antivirus. CTI explique ensuite comment les cybercriminels utilisent la technique « ClickFix » et de fausses pages CAPTCHA pour déployer la porte dérobée CORNFLAKE.V3 . Enfin, le CTI enquête sur une nouvelle campagne menée par PRC-Nexus qui détourne le trafic Web et diffuse des logiciels malveillants par le biais de fausses pages de mise à jour de navigateur.
1. Un nouveau logiciel malveillant sous Linux échappe à la détection des antivirus
Une récente enquête menée par Trellix a mis au jour une campagne furtive de logiciels malveillants Linux de type « » qui utilise des noms de fichiers malveillants pour exécuter du code sans recourir à des fichiers traditionnels, contournant ainsi la plupart des méthodes de détection.
La charge utile finale, une porte dérobée sans fichier appelée VShell, s'exécute entièrement en mémoire et accorde aux attaquants un accès à distance complet tout en se faisant passer pour un processus système légitime.
Chaîne de contamination
L'infection commence par un e-mail indésirable contenant une pièce jointe sous forme d'archive RAR. L'archive RAR contient un fichier dont le nom comporte du code compatible avec Bash, susceptible d'exécuter des commandes lorsqu'il est interprété par le shell. Le nom de fichier reste inactif jusqu'à ce qu'un script ou une commande l'évalue ou le développe.
- du vecteur d'infection initial : le premier e-mail de spam contient une invitation à participer à une enquête sur des produits de beauté, assortie d'une récompense financière pour les personnes qui la mènent à bien.
Trellix souligne que l'e-mail n'invite pas l'utilisateur à ouvrir l'archive jointe, yy.rar. Au contraire, l'attaquant espère que le destinataire pourrait prendre la pièce jointe pour un élément lié à l'enquête. Le fichier extrait porte un nom spécialement conçu pour déclencher un comportement malveillant sans intervention de l'utilisateur.
- Étape 1 – nom de fichier utilisé comme arme dans « inside.rar » : Trellix souligne que ce fichier extrait porte un nom inhabituel et qu’il est « impossible de créer manuellement un fichier portant ce nom dans le shell, car ses caractères spéciaux sont interprétés comme une syntaxe de commande ». Trellix estime que ce nom de fichier a peut-être été créé à l'aide d'un langage tel que Python. Il est également possible qu'il ait été introduit à l'aide d'un outil ou d'un script capable de contourner la validation des entrées du shell. Le nom de fichier décodé établira une connexion avec le serveur C2 et téléchargera/exécutera un script pour la deuxième étape.
- Étape 2 – Script de téléchargement : Le script de téléchargement recherchera les répertoires accessibles en écriture dans lesquels il pourra placer et exécuter des fichiers, détectera les architectures système, récupérera la charge utile binaire appropriée en fonction de cette architecture et procédera à une exécution silencieuse via nohup.
- Charge utile de l'étape 3 – chargeur en mémoire pour le logiciel malveillant VShell : Une fois que le script de l'étape 2 a déterminé l'architecture du système et récupéré le fichier binaire correspondant, le reste du processus d'infection est déclenché. Le fichier binaire établira une communication C2 en envoyant une requête HTTP GET au serveur, recevra la charge utile chiffrée par XOR, puis la déchiffrera et l'exécutera à partir de la mémoire. Trellix indique qu'il est renommé en mémoire afin d'apparaître comme un thread légitime du noyau Linux. Cela permettra également de s'assurer qu'aucune autre instance n'est en cours d'exécution, afin d'éviter toute réinfection.
- Charge utile finale – Malware VShell : Le malware VShell est généralement utilisé par des groupes APT chinois. Parmi ses principales fonctionnalités, on peut citer l'accès à un shell inversé, la possibilité d'effectuer des opérations sur les fichiers, la gestion des processus, la redirection de ports, et bien plus encore.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les auteurs de cette campagne disposent probablement d'un niveau élevé de sophistication, compte tenu de leurs capacités avancées, telles que la diffusion de charges utiles tenant compte de l'architecture, l'exécution en mémoire et des tactiques d'obfuscation ingénieuses.
Comme le souligne Trellix, cette campagne met en évidence une évolution dangereuse dans les modes de diffusion des logiciels malveillants sous Linux. Cela revêt une importance particulière, les cybercriminels ciblant de plus en plus les systèmes Linux.
2. UNC5518 déploie CORNFLAKE.V3 à l'aide de ClickFix et de fausses pages CAPTCHA
Selon Mandiant, l'acteur malveillant UNC5518 utilise la technique ClickFix pour compromettre des sites web, afficher de fausses pages de vérification CAPTCHA ( ) et (), et diffuser des scripts de téléchargement permettant à d'autres acteurs de déployer la porte dérobée CORNFLAKE.V3 . On a constaté que les acteurs UNC5774 et UNC4108 tiraient tous deux parti de cet accès.
Qu'est-ce que CORNFLAKE.V3 ?
CORNFLAKE.V3 est un logiciel malveillant furtif et persistant, écrit en JavaScript ou en PHP, qui exécute des charges utiles à distance et utilise les tunnels Cloudflare pour échapper à la détection. Le logiciel malveillant récupérera des charges utiles via HTTP, notamment des commandes shell, des fichiers exécutables et des DLL.
Mandiant indique que CORNFLAKE.V3 n'est qu'une version mise à jour de CORNFLAKE.V2, le logiciel malveillant CORNFLAKE d'origine étant celui qui se distingue le plus de ces variantes les plus récentes.
Le logiciel malveillant vérifiera qu'une seule instance du script est en cours d'exécution à la fois avant de commencer à collecter des informations sur le système. Il définit ensuite les adresses IP des C2 serveurs et entre dans une fonction de boucle. Pour assurer sa persistance, le logiciel malveillant crée une clé « Run » dans le Registre, nommée « ChromeUpdater ».
Mandiant a constaté que le logiciel malveillant exécutait différents types de charges utiles provenant de son serveur C2 . L'une de ces charges utiles était un script batch contenant de nombreuses commandes de reconnaissance, notamment des commandes Active Directory. Il déterminera si l'hôte fait partie d'un domaine ou non et effectuera diverses étapes de reconnaissance en fonction de ce constat.
Par ailleurs, Mandiant a détecté un script batch qui tente de récupérer des identifiants via le « kerberoasting », une attaque qui cible Windows Active Directory en exploitant le protocole d'authentification Kerberos.
Variante PHP et charges utiles exécutées
Mandiant a également observé une variante PHP de CORNFLAKE.V3 qui s'apparente aux versions précédentes. Cette variante particulière est déposée par un script en mémoire, qui utilise là encore la technique de type « ClickFix ».
Ce script télécharge le package PHP, l'enregistre sur le disque et le décompresse. Parmi les charges utiles qu'il a exécutées, on trouve notamment une charge utile destinée à la reconnaissance d'Active Directory, ainsi qu'une porte dérobée supplémentaire appelée WINDYTWIST.SEA.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de Mandiant met en évidence la sophistication croissante et l'accélération des modèles d'« accès en tant que service ». Le rôle de UNC5518’s en tant que courtier d'accès initial illustre à quel point les écosystèmes cybercriminels gagnent en modularité et en efficacité, permettant ainsi aux acteurs de collaborer et de développer leurs opérations presque comme le feraient des organisations légitimes. Cette activité recourt également à des techniques courantes telles que « ClickFix » et les faux CAPTCHA, et exploite de manière abusive des infrastructures légitimes.
Le rapport de Mandiant contient des requêtes de recherche qui pourraient vous aider à identifier d'éventuelles intrusions connexes au sein de votre environnement.
3. La campagne « PRC-Nexus » détourne le trafic Internet
En mars, le Google Threat Intelligence Group (GTIG) a découvert un groupe malveillant lié à la Chine, baptisé « UNC6384 », menant une campagne sophistiquée de cyberespionnage de type « » visant des diplomates.
UNC6384 a détourné le trafic Web et diffusé des logiciels malveillants via de fausses pages de mise à jour de navigateur. Cette opération a eu recours à des techniques telles que les attaques de type « adversary-in-the-middle » (AitM), les logiciels malveillants signés et le chargement latéral de DLL afin d'échapper à la détection et de conserver un accès persistant.
Présentation de la campagne
Google a constaté que toutes les charges utiles malveillantes de cette campagne étaient dissimulées sous la forme de mises à jour de logiciels ou de plug-ins, et diffusées via l'infrastructure UNC6384 par le biais d'attaques de type « AitM » et d'ingénierie sociale.
Le navigateur Web de la cible vérifiera si la connexion Internet passe par un portail captif ; un AitM redirigera alors le navigateur vers un site contrôlé par l'acteur, et le logiciel malveillant sera déployé en plusieurs étapes.
Diffusion de logiciels malveillants
Google a identifié l'auteur de cette attaque, qui a utilisé un détournement de portail captif pour diffuser un logiciel malveillant déguisé en plugin Adobe. Comme l'explique Google, un portail captif est « une configuration réseau qui redirige les utilisateurs vers une page Web spécifique, généralement une page de connexion ou une page d'accueil, avant de leur accorder l'accès à Internet ».
Google précise que tous les navigateurs Web disposent de cette fonctionnalité. Leur enquête a révélé l'existence de chaînes de redirection provenant du domaine « gstatic » de Google, qui menaient au site web de l'acteur malveillant en vue de la diffusion de logiciels malveillants.
Fausse mise à jour de plugin
La victime est redirigée et amenée à croire à tort qu'elle a besoin d'une mise à jour logicielle, ce qui l'amène à télécharger le logiciel malveillant qui se fait passer pour une mise à jour de plugin. La page Web elle-même apparaît aux yeux de la victime comme un site légitime de mise à jour logicielle ; elle utilise une connexion HTTP avec un certificat TLS valide, et la charge utile est elle-même signée numériquement. Si la victime clique pour installer la mise à jour, elle recevra des instructions lui indiquant comment procéder au téléchargement de manière à contourner les mesures de sécurité de Windows.
Analyse des logiciels malveillants
- Téléchargeur STATICPLUGIN : Le fichier AdobePlugins.exe téléchargé précédemment est un téléchargeur de logiciels malveillants de première étape, signé à l'aide d'un certificat valide. Google a constaté que le code binaire avait été signé le 9 mai 2025 et qu'il n'était plus actif. Ce programme de téléchargement STATICPLUGIN utilise un formulaire TForm personnalisé pour se faire passer pour un programme d'installation de Microsoft Visual C++ 2013. Une fois les fichiers supplémentaires installés, CANONSTAGER est exécuté via le chargement latéral d'une DLL.
- Lanceur CANONSTAGER : CANONSTAGER a pour objectif d'exécuter la charge utile chiffrée. Cette charge utile s'appelle SOGU.SEC et constitue une variante de SOGU. Le lanceur utilise un hachage API personnalisé et le stockage local de thread, masque son code dans une procédure de fenêtre personnalisée et déploie SOGU.SEC.
- Porte dérobée SOGU.SEC : On sait que le logiciel malveillant SOGU est utilisé par UNC6384. Il peut collecter des informations système, télécharger et envoyer des fichiers depuis son C2, et exécuter un shell de commande à distance.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Pour être efficace, l'espionnage ne nécessite pas toujours des failles « zero-day ». Comme le montre cette campagne, les acteurs malveillants ont également recours à des stratégies telles que l'ingénierie sociale, le détournement de trafic et les techniques de « living-off-the-land » pour contourner les défenses et atteindre leurs objectifs.
Cette chaîne d'attaque, qui repose en grande partie sur le comportement du navigateur et une redirection vers un portail captif, suscite des inquiétudes supplémentaires chez les cibles, en particulier celles qui travaillent dans des environnements moins sûrs, comme les hôtels ou les lieux de congrès.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
