Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium vous présente les dernières informations concernant Luna Moth, un groupe spécialisé dans le vol de données à des fins d'extorsion qui cible activement des institutions juridiques et financières basées aux États-Unis. Notre équipe CTI se penche ensuite sur une campagne menée par le groupe malveillant Venom Spider, qui cible les responsables du recrutement et les recruteurs à l'aide d'e-mails de spear-phishing. Enfin, l'équipe se penche sur la dernière version d'un logiciel malveillant bien connu, spécialisé dans le vol d'informations, appelé StealC.
Le papillon de nuit « Luna Moth » menace les organisations américaines
Selon , une nouvelle étude d'EclecticIQ (s'ouvre dans un nouvel onglet) révèle que Luna Moth intensifie ses campagnes de hameçonnage par rappel téléphonique « » et cible activement des organisations aux États-Unis.
Ce groupe attire désormais ses victimes en les appelant à de faux numéros d'assistance et en les incitant à installer des outils de surveillance et de gestion à distance (RMM).
Qui est Luna Moth ?
Luna Moth (également connu sous les noms de Silent Ransom Group, UNC3753 et Storm-0252) est un groupe cybercriminel sophistiqué spécialisé dans le vol de données et l'extorsion.
EclecticIQ estime que Luna Moth mène des attaques de hameçonnage par rappel téléphonique à un rythme soutenu depuis le mars 2025. Ce groupe cible spécifiquement les cabinets d'avocats et les établissements financiers à travers les États-Unis.
Les campagnes « Luna Moth » commencent généralement par un e-mail de hameçonnage de type « » ( ), qui vise à inciter le destinataire à appeler un faux numéro d'assistance. Une fois en ligne avec la victime, l'opérateur se fait passer pour un membre du service informatique et lui demande d'installer des outils RMM légitimes.
EclecticIQ souligne que les pirates ont enregistré, via GoDaddy, des noms de domaine qui usurpent l'identité d'entreprises américaines, une tactique qui renforce l'aspect « » de l'ingénierie sociale en recourant à une stratégie appelée « typosquatting ».
Utilisation abusive des services GoDaddy
Selon EclecticIQ, Luna Month aurait enregistré au moins 37 noms de domaine auprès de GoDaddy dans le cadre de cette dernière vague d'hameçonnage par rappel téléphonique. Ces noms de domaine se font passer pour des services d'assistance informatique ou des portails d'assistance de divers cabinets d'avocats et organismes financiers américains. Le formulaire « Contactez-nous » présent sur ces sites demandera au visiteur d'indiquer son nom, son adresse e-mail et un bref message, ce qui permettra au pirate d'obtenir des informations de reconnaissance de base.
Luna Moth abuse de l'infrastructure de GoDaddy et s'en sert pour envoyer des e-mails de confirmation automatisés depuis l'adresse « confirmations@godaddy[.]com » aux personnes qui renseignent le formulaire de contact. Lorsque la victime clique sur le lien figurant dans cet e-mail de confirmation, l'attaquant sait qu'il doit passer un appel de suivi à la victime.
EclecticIQ a également constaté que Luna Moth utilisait Reamaze, une plateforme de chat en direct utilisée par GoDaddy. Ce groupe s'en sert pour intégrer des chatbots basés sur l'IA dans certaines de ses pages de hameçonnage, qui imitent les échanges avec un service d'assistance informatique.
Luna Moth tente souvent de créer un sentiment d'urgence en affirmant qu'un problème nécessite une attention immédiate et s'efforce de piéger ses victimes pour qu'elles installent des outils de gestion à distance (RMM). Luna Moth utilise également des outils de gestion à distance (RMM), notamment Syncro, SuperOps, Zoho Assist, Atera, AnyDesk et Splashtop. Une fois l'un de ces outils installé, le pirate peut commencer à exfiltrer des données. Pour exfiltrer les données, ils utilisent des outils tels que WinSCP et Rclone.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
D'après les analyses d'EclecticIQ, il apparaît clairement que Luna Moth surfe sur la vague des faux services d'assistance informatique afin de mener à bien ses attaques visant à exfiltrer des données.
Ce groupe utilise une combinaison judicieuse de techniques d'ingénierie sociale et d'outils légitimes pour passer inaperçu. Les organisations sont invitées à renforcer la formation et la sensibilisation de leurs collaborateurs concernant Luna Moth afin de prévenir les attaques.
Venom Spider cible les responsables du recrutement et les recruteurs
Arctic Wolf a récemment observé (s'ouvre dans un nouvel onglet) une campagne menée par le groupe malveillant Venom Spider visant les responsables du recrutement et les recruteurs par le biais d'e-mails de spear-phishing.
Ce groupe utilise des services de messagerie et des sites d'offres d'emploi légitimes pour postuler à des emplois, en envoyant des CV conçus pour diffuser des logiciels malveillants. Ils ont également recours à une stratégie appelée « polymorphisme de serveur » pour diffuser leurs charges utiles.
L'araignée venimeuse : un bref aperçu
Venom Spider est un groupe malveillant à motivation financière qui cible des organisations par le biais d'offres d'emploi publiées sur des sites tiers, tels que LinkedIn.
Ce groupe a été très actif ces dernières années. Cependant, ils ont récemment intensifié leurs efforts, en ciblant directement les recruteurs et les responsables des ressources humaines à l'aide de liens de hameçonnage malveillants qui semblent provenir de candidats à la recherche d'un emploi.
Selon Arctic Wolf, les liens de hameçonnage mènent généralement à des sites malveillants hébergeant ces CV malveillants. Dans cette chaîne d'infection, Venom Spider tentera d'injecter le logiciel malveillant « More_eggs ».
Comprendre le mode d'attaque de Venom Spider
L'attaque commence par un e-mail de spear-phishing envoyé au recruteur ou au responsable du recrutement. Cet e-mail contient un lien permettant de télécharger le CV du candidat. Sur le site, le visiteur doit cocher une case CAPTCHA avant de télécharger le CV. Le CV est téléchargé sous la forme d'un fichier ZIP contenant un fichier LNK malveillant et un fichier image. Le fichier LNK correspond à la charge utile du premier étage.
Arctic Wolf indique que l'infrastructure de l'acteur prend en charge le polymorphisme des serveurs, ce qui signifie qu'un nouveau fichier LNK est généré à chaque téléchargement afin de modifier l'obfuscation du code et la taille du fichier.
Le fichier LNK exécute finalement du code visant à lancer WordPad afin de détourner l'attention de la victime, en lui faisant croire que le CV promis est en train d'être ouvert, tout en lançant secrètement l'utilitaire Windows %windir%\system32\ie4uinit.exe pour exécuter des commandes issues du fichier ieuinit.inf, qui contient une URL menant à une page HTML comportant une charge utile JavaScript fortement obscurcie.
Comment fonctionne la bibliothèque More_eggs_Dropper ?
À l'issue de la phase précédente, le code JavaScript crée une bibliothèque exécutable qu'Arctic Wolf désigne sous le nom de « More_eggs_Dropper ». La bibliothèque utilise un code qui génère du code JavaScript de manière polymorphe. Son exécution est différée, ce qui complique son analyse par les environnements de test. De plus, lorsqu'il est exécuté, il crée plusieurs fichiers, notamment :
- L'un de ces fichiers est un exécutable Windows légitime, « msxsl.exe », qui exécute des fichiers XML contenant du code JavaScript — une technique qui, comme le souligne Arctic Wolf, a déjà été utilisée par Venom Spider par le passé.
- Un autre fichier crée le fichier « More_eggs_dropper » et exécutera la charge utile principale.
Une fois ces scripts exécutés, le dropper est supprimé. Le dropper génère une nouvelle charge utile JavaScript à chaque exécution et est fortement obscurci.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Venom Spider fait partie des nombreux acteurs qui ciblent les recruteurs et les services des ressources humaines. Bon nombre de ces groupes ont recours à des méthodes d'attaque similaires, qu'il s'agisse de spear phishing ou de démarchage sur des plateformes telles que LinkedIn, ce qui facilite la sensibilisation de ces personnes aux signes avant-coureurs à surveiller.
Les recherches menées par Arctic Wolf ont également révélé un « investissement continu dans le développement et la maintenance » de la porte dérobée emblématique de ce groupe, ce qui indique que celui-ci accorde une importance particulière tant à l'ingénierie sociale qu'aux logiciels malveillants.
La nouvelle version de StealC V2 intègre des améliorations en matière de furtivité ainsi que des outils de vol de données
Une nouvelle version du célèbre logiciel de vol d'informations StealC a récemment été publiée. Zscaler a analysé (s'ouvre dans un nouvel onglet) la dernière version et a mis en évidence plusieurs mises à jour importantes, notamment un protocole de communication C2 simplifié, l'utilisation du chiffrement RC4 , des options améliorées de diffusion de la charge utile, un générateur intégré et des capacités améliorées en matière de vol de données.
À propos de StealC V2
StealC V2 a été lancé pour la première fois dans « mars 2025». Il utilise un protocole réseau basé sur JSON, doté d'un chiffrement RC4 dans ses dernières variantes, et prend désormais en charge des options supplémentaires de chargeur de logiciels malveillants permettant de diffuser des paquets MSI et des scripts PowerShell.
Cette nouvelle version intègre également un panneau de configuration repensé, une fonctionnalité de capture d'écran multi-écrans, un outil unifié de récupération de fichiers et des capacités d'attaque par force brute côté serveur.
Lors de sa première exécution, cette version déchiffrera les chaînes de caractères importantes à l'aide d'une clé RC4 codée en dur.
Il vérifiera également la date d'expiration et se fermera automatiquement si nécessaire. Il vérifiera également qu'aucune instance en double de lui-même n'est en cours d'exécution.
Principales différences entre les versions de StealC
Alors que StealC V2 a été lancé en mars 2025s, plusieurs nouvelles versions ont depuis été mises sur le marché. À la date de publication, la dernière version est la 2,2,4.
StealC V2 est désormais capable de télécharger et d'exécuter trois types de charges utiles, notamment des fichiers .exe, des packages MSI et des scripts PowerShell.
En ce qui concerne son protocole de communication réseau, StealC V2 utilise des requêtes et des réponses au format JSON pour la communication C2 . Le serveur C2 peut également accepter quatre types d'opérations, à savoir « create », « upload », « done » et « loader », la requête « create » étant toujours la première à enregistrer l'infection. La réponse renvoyée par le serveur C2 déterminera le comportement et les tâches du logiciel malveillant. Le panneau de commande repensé intègre désormais également un générateur intégré.
L'analyse de Zscaler a également mis en évidence quelques enseignements importants tirés de l' de l'infrastructure de StealC V2’s par rapport aux versions antérieures de StealC :
- Tout d'abord, le composant de compilation nécessite une mise à jour de version contenue dans une archive ZIP qui doit être téléchargée, afin d'empêcher l'utilisation d'anciennes versions.
- Il s'est également avéré que le panneau de configuration prenait en charge l'intégration de bots Telegram, la diffusion de contenus selon des règles prédéfinies, les téléchargements de fichiers, le blocage par adresse IP, et bien d'autres fonctionnalités encore.
- De plus, le générateur est intégré au panneau. Cela permet à l'opérateur de créer facilement des règles pour les chargeuses et les grappins.
- Ces nouvelles versions intègrent une meilleure obfuscation, un chiffrement RC4 , la résolution de toutes les fonctions API lors de l'exécution, un téléchargement amélioré des charges utiles, et bien plus encore.
- La dernière version intègre également une routine d'autodestruction.
Il est toujours en cours de développement et fait l'objet de mises à jour régulières.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La dernière version de StealC comporte plusieurs améliorations. Non seulement cette dernière version offre des capacités de furtivité supplémentaires, mais elle évolue rapidement, de nouvelles versions ayant été publiées depuis mars.
Zscaler souligne que StealC est souvent utilisé en association avec d'autres familles de logiciels malveillants, ce qui le rend d'autant plus dangereux.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
