Cette semaine, CTI examine une nouvelle campagne de logiciels malveillants Linux capable de contourner la détection antivirus. Ensuite, CTI explique comment les cybercriminels utilisent la tactique ClickFix et les pages CAPTCHA factices pour déployer le backdoor CORNFLAKE.V3 . Enfin, CTI enquête sur une nouvelle campagne PRC-Nexus qui détourne le trafic Web et fournit des logiciels malveillants via de fausses pages de mise à jour de navigateur.
1. Un nouveau logiciel malveillant Linux échappe à la détection antivirus
Une récente enquête de Trellix a révélé une campagne malveillante furtive de Linux qui utilise des noms de fichiers malveillants pour exécuter du code sans fichiers traditionnels, contournant la plupart des méthodes de détection.
La charge utile finale, une porte dérobée sans fichier appelée VShell, s’exécute entièrement en mémoire et accorde aux attaquants un accès à distance complet tout en se faisant passer pour un processus système légitime.
Chaîne d’infection
L’infection commence par un e-mail indésirable contenant une pièce jointe d’archive RAR. L’archive RAR inclut un fichier dont le nom de fichier contient un code compatible avec Bash qui peut exécuter des commandes lorsqu’elles sont interprétées par la shell. Le nom de fichier reste dormant jusqu’à ce qu’un script ou une commande évalue ou développe le nom de fichier.
- Vecteur d’infection initiale : l’e-mail de spam initial comprend une invitation à une enquête sur les produits de beauté, ainsi qu’une récompense monétaire pour ceux qui le remplissent.
Trellix souligne que l’e-mail ne demande pas à l’utilisateur d’ouvrir l’archive jointe, yy.rar. Au lieu de cela, l’attaquant espère que le destinataire pourrait confondre la pièce jointe avec quelque chose lié à l’enquête. Le fichier extrait a un nom de fichier spécialement conçu qui déclenche un comportement malveillant sans que l’utilisateur interagisse.
- Étape 1 – nom de fichier armé inside.rar : Trellix note que ce fichier extrait a un nom inhabituel et que vous « ne pouvez pas créer manuellement un fichier avec ce nom dans l’enveloppe en raison de ses caractères spéciaux interprétés comme une syntaxe de commande ». Trellix pense que le nom de fichier peut avoir été créé à l’aide d’un langage tel que Python. Il est également possible qu’il ait été abandonné à l’aide d’un outil ou d’un script qui peut contourner la validation d’entrée shell. Le nom de fichier décodé établira une connexion au serveur C2 et téléchargera/exécutera un script pour la deuxième étape.
- Étape 2 – script du téléchargeur : le script du téléchargeur vérifiera les répertoires inscriptibles dans lesquels il peut déposer et exécuter des fichiers, détecter les architectures système, saisir la charge utile binaire appropriée en fonction de cette architecture et effectuer une exécution silencieuse via nohup.
- Charge utile de l’étape 3 – chargeur en mémoire pour le logiciel malveillant VShell : une fois que le script de l’étape 2 détermine l’architecture du système et saisit le binaire correspondant, le reste de l’infection est déclenché. Le binaire établira la communication C2 en effectuant une demande HTTP GET au serveur, en recevant la charge utile chiffrée XOR, et en décryptant et en exécutant la charge utile à partir de la mémoire. Trellix note qu’il est renommé en mémoire pour apparaître comme un fil de noyau Linux légitime. Il s’assurera également qu’aucune autre instance n’est en cours d’exécution pour éviter la réinfection.
- Charge utile finale – Malware VShell : les logiciels malveillants VShell ont tendance à être utilisés par les groupes APT chinois. Certaines de ses fonctionnalités clés comprennent l’accès par shell inversé, la possibilité d’effectuer des opérations de fichiers, la gestion des processus, le transfert de ports, etc.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les attaquants derrière la campagne ont probablement un haut niveau de sophistication, compte tenu de leurs capacités avancées telles que la livraison de charges utiles sensibles à l’architecture, l’exécution en mémoire et des tactiques d’obscurcissement intelligentes.
Comme le souligne Trellix, cette campagne met en évidence une évolution dangereuse de la livraison de logiciels malveillants Linux. Ceci est particulièrement important, les acteurs malveillants ciblant de plus en plus les systèmes Linux.
2. UNC5518 déploie CORNFLAKE.V3 à l’aide de pages ClickFix et CAPTCHA falsifiées
Selon Mandiant, l’acteur malveillant UNC5518 utilise la technique ClickFix pour compromettre les sites Web, desservir de fausses pages de vérification CAPTCHA et fournir des scripts de téléchargement, ce qui permet à d’autres acteurs de déployer le backdoor CORNFLAKE.V3 . Les acteurs UNC5774 et UNC4108 ont tous deux été observés en tirant parti de cet accès.
Qu’est-ce que CORNFLAKE.V3 ?
CORNFLAKE.V3 est un logiciel malveillant furtif et persistant écrit en JavaScript ou PHP qui exécute des charges utiles à distance et utilise Cloudflare Tunnels pour échapper à la détection. Le logiciel malveillant obtiendra des charges utiles via HTTP, y compris des commandes shell, des exécutables et des DLL.
Mandiant déclare que CORNFLAKE.V3 est simplement une version mise à jour de CORNFLAKE.V2, le logiciel malveillant CORNFLAKE original étant le plus différent de ces variantes les plus récentes.
Le logiciel malveillant vérifiera qu’une seule instance du script est exécutée à la fois avant de commencer à collecter des informations système. Il définit ensuite les adresses IP du serveur C2 et entre dans une fonction de boucle. Pour établir la persistance, le logiciel malveillant crée une clé d’exécution du registre nommée ChromeUpdater.
Mandiant a observé le malware exécuter différents types de charges utiles provenant de son serveur C2 . L’une de ces charges utiles était un script de lot rempli de commandes de reconnaissance, en particulier les commandes Active Directory. Il déterminera si l’hôte est joint ou non au domaine et effectuera diverses étapes de reconnaissance en fonction de cela.
En outre, Mandiant a observé un script par lots qui tente de collecter des informations d’identification via Kerberoasting, une attaque qui cible Windows Active Directory en abusant du protocole d’authentification Kerberos.
Variante PHP et charges utiles exécutées
Mandiant a également observé une variante PHP de CORNFLAKE.V3 similaire aux itérations précédentes. Cette variante particulière est déposée par un script en mémoire, à l’aide de la technique de style ClickFix.
Ce script télécharge le package PHP, l’écrit sur le disque et l’extrait. Certaines de ses charges exécutées incluent une pour la reconnaissance du répertoire actif et un implant backdoor supplémentaire appelé WINDYTWIST.SEA.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’analyse de Mandiant révèle la sophistication et l’accélération croissantes des modèles d’accès en tant que service. UNC5518’s rôle en tant que courtier d’accès initial montre comment les écosystèmes cybercriminels deviennent plus modulaires et efficaces, permettant aux acteurs de collaborer et de faire évoluer les opérations presque comme des organisations légitimes. Cette activité utilise également des tactiques populaires telles que ClickFix et le faux CAPTCHA, et abuse de l’infrastructure légitime.
Le rapport Mandiant inclut des requêtes de recherche qui peuvent être utiles pour identifier les compromissions connexes au sein de votre environnement.
3. La campagne PRC-Nexus détourne le trafic Web
En mars, Google Threat Intelligence Group (GTIG) a découvert un groupe de menaces UNC6384 lié à la Chine, menant une campagne de cyberespionnage sophistiquée ciblant les diplomates.
UNC6384 ont piraté le trafic Web et transmis des logiciels malveillants via de fausses pages de mise à jour de navigateur. L’opération a utilisé des techniques telles que les attaques par adversaire au milieu (AitM), les logiciels malveillants signés et le chargement latéral DLL pour échapper à la détection et maintenir un accès persistant.
Aperçu de la campagne
Google a constaté que toutes les charges utiles des logiciels malveillants dans cette campagne étaient déguisées en mises à jour logicielles ou de plug-ins, et fournies via l’infrastructure UNC6384 via AitM et l’ingénierie sociale.
Le navigateur Web de la cible testera si la connexion Internet se trouve derrière un portail captif, un AitM redirigera le navigateur vers un site contrôlé par l’acteur, et les logiciels malveillants sont livrés en plusieurs étapes.
Livraison de logiciels malveillants
Google a identifié l’acteur à l’aide d’un détournement de portail captif pour fournir des logiciels malveillants déguisés en plug-in Adobe. Comme l’explique Google, un portail captif est « une configuration réseau qui dirige les utilisateurs vers une page Web spécifique, généralement une page de connexion ou d’accueil, avant d’accorder un accès Internet ».
Google note que tous les navigateurs Web disposent de cette fonctionnalité. Leur enquête a révélé des chaînes de redirection du domaine statique de Google qui ont conduit au site Web de l’acteur pour la livraison de logiciels malveillants.
Mise à jour du faux plug-in
La victime est redirigée et amenée à croire qu’elle a besoin d’une mise à jour logicielle, puis à télécharger le logiciel malveillant qui prétend être une mise à jour du plug-in. La page Web elle-même apparaît à la victime comme un site légitime de mise à jour logicielle, utilise une connexion HTTP avec un certificat TLS valide et la charge utile elle-même est signée numériquement. Si la victime clique pour installer la mise à jour, elle recevra des instructions pour exécuter le téléchargement d’une manière qui contournerait les protections de sécurité Windows.
Analyse des logiciels malveillants
- Téléchargeur STATICPLUGIN : AdobePlugins.exe précédemment téléchargé est le téléchargeur de logiciels malveillants de première étape qui est signé avec un certificat valide. Google a déterminé que le code binaire a été signé le et n’ 9 mai 2025est plus actif. Ce téléchargeur STATICPLUGIN utilise un formulaire TForm personnalisé pour prétendre être un programme d’installation pour Microsoft Visual C++ 2013. Après l’installation de fichiers supplémentaires, CANONSTAGER est exécuté via le chargement latéral DLL.
- Lancement de CANONSTAGER : l’objectif de CANONSTAGER est d’exécuter la charge utile cryptée. Cette charge utile est appelée SOGU.SEC et est une variante de SOGU. Le lanceur utilise le hachage d’API personnalisé et le stockage local de thread, masque son code de lanceur dans une procédure de fenêtre personnalisée et déploie SOGU.SEC.
- Porte dérobée SOGU.SEC : le malware SOGU est connu pour être exploité par UNC6384. Il peut collecter des informations système, charger et télécharger des fichiers à partir de son C2 et exécuter une enveloppe de commande à distance.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Un espionnage efficace ne nécessite pas toujours des exploits zero-day. Comme le démontre cette campagne, les acteurs malveillants utilisent également des stratégies telles que l’ingénierie sociale, le détournement de trafic et les techniques de vie hors des terres pour contourner les défenses et atteindre leurs objectifs.
Cette chaîne d’attaque, qui dépend fortement du comportement du navigateur et d’une redirection du portail captif, soulève des préoccupations supplémentaires pour les cibles, en particulier celles qui travaillent dans des environnements qui ne sont pas aussi fiables, comme les hôtels ou les conférences.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
