Dans le résumé de cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium fournit les dernières informations sur Luna Moth, un groupe d’extorsion de données qui cible activement les institutions juridiques et financières basées aux États-Unis. Ensuite, notre équipe CTI examine une campagne menée par le groupe de menaces Venom Spider, qui cible les responsables du recrutement et les recruteurs avec des e-mails de spear phishing. Enfin, l’équipe enquête sur la dernière version d’un malware infostealer bien connu appelé StealC.
Luna Moth menace les organisations américaines
Selon une nouvelle étude d’EclecticIQ, Luna Moth intensifie ses campagnes de rappel et cible activement les organisations aux États-Unis.
Le groupe attire désormais les victimes en appelant de faux numéros de téléphone du service d’assistance et en les incitant à installer des outils de surveillance et de gestion à distance (RMM).
Qui est Luna Moth ?
Luna Moth (également connue sous le nom de Silent Ransom Group, UNC3753 et Storm-0252) est une opération de cybercriminalité sophistiquée spécialisée dans le vol et l’extorsion de données.
EclecticIQ pense que Luna Moth effectue des tentatives de rappel à haut rythme depuis mars 2025. Le groupe cible spécifiquement les organisations juridiques et financières à travers les États-Unis.
Les campagnes Luna Moth commencent généralement par un e-mail d’hameçonnage qui vise à inciter le destinataire à appeler un faux numéro d’assistance. Une fois en ligne avec la victime, l’opérateur se fait passer pour le personnel informatique et lui demande d’installer des outils RMM légitimes.
EclecticIQ note que les attaquants ont enregistré des domaines via GoDaddy qui usurpent l’identité des entreprises américaines, une tactique qui améliore l’aspect de l’ ingénierie sociale à l’aide d’une stratégie connue sous le nom de typosquattage.
Utilisation abusive des services GoDaddy
EclecticIQ pense que le mois Luna a enregistré au moins 37 domaines auprès de GoDaddy à l’appui de cette dernière série de phishing par rappel. Les domaines se font passer pour des centres d’assistance informatiques ou des portails d’assistance pour divers cabinets d’avocats et organisations financières américains. Le formulaire « Nous contacter » sur ces sites demandera au visiteur son nom, son e-mail et un bref message, ce qui permettra à l’attaquant d’obtenir des informations de reconnaissance de base.
Luna Moth abuse de l’infrastructure GoDaddy et l’utilise pour envoyer des e-mails de confirmation automatisés de « confirmations@godaddy[.]com » à ceux qui saisissent les détails dans le formulaire de contact. Lorsque la victime clique sur le lien contenu dans cet e-mail de confirmation, l’attaquant sait qu’il doit passer un appel de suivi à la victime.
EclecticIQ a également observé Luna Moth utiliser Reamaze, une plateforme de chat en direct utilisée par GoDaddy. Le groupe l’utilise pour intégrer des chatbots d’IA dans certaines de leurs pages d’hameçonnage qui imitent les interactions du service d’assistance informatique.
[Lire également : 12 termes d’IA que vous (et votre chatbot séduisant) devez connaître maintenant]
Luna Moth tentera souvent de créer un sentiment d’urgence en déclarant qu’un problème nécessite une attention immédiate et tente d’inciter les victimes à installer des outils RMM. Luna Moth utilise également des outils RMM, notamment Syncro, SuperOps, Zoho Assist, Atera, AnyDesk et Splashtop. Après avoir installé l’un de ces outils, l’attaquant peut commencer à exfiltrer des données. Pour exfiltrer, ils utilisent des outils tels que WinSCP et Rclone.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
D’après les informations d’EclecticIQ, il est clair que Luna Moth saute sur le faux train du service d’assistance informatique pour faire progresser leurs attaques d’exfiltration de données.
Ce groupe utilise la bonne combinaison d’ingénierie sociale et d’outils légitimes pour rester indétecté. Les organisations sont encouragées à accroître l’éducation et la sensibilisation de leurs employés à Luna Moth pour prévenir les attaques.
Venom Spider cible les responsables du recrutement et les recruteurs
Arctic Wolf a récemment observé une campagne menée par le groupe de menaces Venom Spider ciblant les responsables du recrutement et les recruteurs via des e-mails de spear phishing.
Le groupe utilise des services de messagerie et des plateformes d’emploi légitimes pour postuler à des emplois, en soumettant des CV conçus pour supprimer les logiciels malveillants. Ils utilisent également une stratégie connue sous le nom de polymorphisme du serveur pour fournir les charges utiles.
Venom Spider : un bref aperçu
Venom Spider est un groupe de menaces motivé financièrement qui cible les organisations via des rôles publiés sur des sites tiers, tels que LinkedIn.
Le groupe a été actif au cours des dernières années. Cependant, ils ont récemment accéléré leurs efforts, en ciblant directement les recruteurs et les responsables des RH avec des liens d’hameçonnage armés qui prétendent provenir de demandeurs d’emploi.
Selon Arctic Wolf, les liens d’hameçonnage conduisent généralement à des sites malveillants qui hébergent les CV nuisibles. Venom Spider tentera de fournir le logiciel malveillant « More_eggs » dans cette chaîne d’infection.
Comprendre le vecteur d’attaque de Venom Spider
L’attaque commence par un e-mail d’hameçonnage ciblé envoyé au recruteur ou au responsable du recrutement. Cet e-mail contient un lien pour télécharger le CV du candidat. Sur le site, le visiteur doit cocher une case CAPTCHA avant de télécharger le CV. Le CV est téléchargé sous forme de fichier ZIP contenant un LNK malveillant et un fichier image. Le fichier LNK est la charge utile pour la première étape.
Arctic Wolf signale que l’infrastructure de l’acteur prend en charge le polymorphisme du serveur, ce qui signifie qu’un nouveau fichier LNK est généré pour chaque téléchargement afin de modifier l’obscurcissement du code et la taille du fichier.
Le fichier LNK exécute finalement le code pour lancer WordPad comme distraction pour la victime, lui faisant penser que le CV promis est ouvert tout en lançant secrètement l’utilitaire Windows %windir %\system32\ie4uinit.exe pour exécuter des commandes à partir du fichier ieuinit.inf qui contient une URL menant à une page HTML avec une charge utile JavaScript fortement obscurcie.
Comment fonctionne la bibliothèque More_eggs_Dropper ?
Après la phase précédente, le code JavaScript crée une bibliothèque exécutable qu’Arctic Wolf appelle la bibliothèque « More_eggs_Dropper ». La bibliothèque utilise un code qui crée le code JavaScript de manière polymorphe. Son exécution est retardée, ce qui rend plus difficile l’analyse des sandboxs. Il crée également plusieurs fichiers lorsqu’il est exécuté, notamment :
- Un fichier est un exécutable Windows « msxsl.exe » légitime qui exécute des fichiers XML contenant JavaScript, une technique qu’Arctic Wolf note avoir été utilisée par Venom Spider dans le passé.
- Un autre fichier crée le « More_eggs_dropper » et exécute la charge utile principale.
Après l’exécution de ces scripts, le compte-gouttes est supprimé. Le compte-gouttes créera une nouvelle charge utile JavaScript chaque fois qu’elle s’exécute et est fortement masquée.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Venom Spider est l’un des nombreux acteurs ciblant les recruteurs et les services RH. Bon nombre de ces groupes utilisent des méthodes de livraison similaires, soit par spear phishing, soit par sensibilisation sur des plateformes telles que LinkedIn, ce qui facilite l’éducation de ces personnes sur ce qu’il faut surveiller.
Les recherches d’Arctic Wolf ont également révélé un « investissement continu dans le développement et la maintenance » de la porte dérobée signature du groupe, indiquant que ce groupe met l’accent sur l’ingénierie sociale et les logiciels malveillants.
Le nouveau StealC V2 contient des mises à niveau furtives, des outils de vol de données
Une nouvelle version du célèbre infostealer StealC a été récemment publiée. Zscaler a analysé la dernière version et mis en évidence plusieurs mises à jour clés, notamment un protocole de communication C2 rationalisé, l’utilisation du chiffrement RC4 , des options de livraison de charge utile améliorées, un constructeur intégré et des capacités améliorées de vol de données.
À propos de StealC V2
StealC V2 a été publié pour la première fois en mars 2025. Il utilise un protocole réseau basé sur JSON avec chiffrement RC4 dans ses dernières variantes et prend désormais en charge des options de chargeur de logiciels malveillants supplémentaires pour fournir des packages MSI et des scripts PowerShell.
La nouvelle version est également fournie avec un panneau de commande redessiné, une capacité de capture d’écran multi-écrans, une saisie de fichiers unifiée et des capacités de force brute côté serveur.
Pendant l’exécution initiale, cette version décryptera les chaînes importantes à l’aide d’une clé RC4 codée en dur.
Il vérifiera également la date d’expiration et se terminera si nécessaire. Il vérifiera également qu’aucune instance en double de lui-même n’est en cours d’exécution.
Principales différences entre les versions de StealC
Bien que StealC V2 ait été lancé en mars 2025, plusieurs nouvelles itérations ont depuis été lancées. Au moment de la publication, la dernière version est 2,2,4.
StealC V2 peut désormais télécharger et exécuter trois types de charges utiles, y compris des fichiers .exe, des packages MSI et des scripts PowerShell.
En examinant son protocole de communication réseau, StealC V2 utilise des demandes et des réponses basées sur JSON pour la communication C2 . Le serveur C2 peut également accepter quatre types d’opérations, y compris la création, le téléchargement, la réalisation et le chargeur, la création étant toujours la première demande d’enregistrement de l’infection. La réponse du serveur C2 définira le comportement et les tâches du logiciel malveillant. Le panneau de commande redessiné est désormais également fourni avec un générateur intégré.
L’analyse de Zscaler a également identifié quelques informations importantes de l’infrastructure StealC V2’s par rapport aux versions antérieures de StealC :
- Tout d’abord, la pièce du créateur nécessite une mise à jour de version qui est contenue dans une archive ZIP et doit être téléchargée, afin qu’aucune ancienne version ne puisse être utilisée.
- Le panneau de contrôle a également été détecté comme prenant en charge l’intégration de robots Telegram, la livraison de charges utiles basée sur des règles, les téléchargements basés sur des fichiers, le blocage basé sur IP, etc.
- De plus, le générateur est intégré au panneau. Cela permet à l’opérateur de créer facilement des règles de chargeur et de saisie.
- Ces nouvelles versions comprennent une meilleure dissimulation, un chiffrement RC4 , la résolution de toutes les fonctions de l’API lors de l’exécution, un téléchargement amélioré des charges utiles, etc.
- La dernière version comprend également une routine d’effacement automatique.
Il est toujours en cours de développement et publie régulièrement de nouvelles mises à jour.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La dernière version de StealC comporte plusieurs améliorations. Non seulement cette dernière version introduit des capacités furtives supplémentaires, mais elle évolue rapidement avec de nouvelles itérations publiées depuis mars.
Zscaler note que StealC est souvent utilisé en conjonction avec d’autres familles de logiciels malveillants, ce qui le rend encore plus dangereux.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
