Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium lance le tour d’horizon en examinant une attaque sophistiquée de la chaîne d’approvisionnement impliquant deux packages Python malveillants. Ensuite, notre équipe enquête sur PipeMagic, un cadre de backdoor modulaire déguisé en application de bureau ChatGPT. Enfin, nous concluons par un aperçu de Noodlophile Stealer, une campagne malveillante en évolution rapide.
Les chercheurs découvrent des packages Python malveillants
Zscaler ThreatLabz a découvert une attaque sophistiquée de la chaîne d’approvisionnement impliquant les packages Python termncolor et colorinal, qui ont déployé des logiciels malveillants à plusieurs étapes livrés via des charges utiles chiffrées AES en utilisant le mode CBC et l’injection DLL.
L’incident souligne le risque croissant de dépendances malveillantes dans les écosystèmes open source et la nécessité d’une vérification vigilante des packages.
Découverte de package malveillant
Zscaler a trouvé que termncolor a importé un package supplémentaire appelé colorinal.
Zscaler déclare que termncolor « fonctionne comme un utilitaire de couleur pour Python sans afficher de comportement malveillant ». Son inclusion de la dépendance colorinale la rendait suspecte.
Enquête sur le fichier
Zscaler a trouvé un fichier appelé unicode.py dans le package colorinal . Apparemment un script d’utilitaire de couleur, il charge en fait une DLL intégrée (terminate.dll) pour déployer la charge utile du logiciel malveillant. Le logiciel malveillant supprime terminate.dll et unicode.py pour entraver la détection et l’analyse.
Voici comment l’attaque progresse :
- Première étape : la première étape est déclenchée lorsque
terminate.dllest exécuté. L’une des fonctions principales de la DLL est de décrypter la charge utile intégrée, en stockant cette charge utile décryptée dans le répertoire%LOCALAPPDATA %\vcpacket.
Zscaler note que cet emplacement est également utilisé comme zone de stockage pour les fichiers supplémentaires de l’étape suivante, y compris deux exécutables utilisés ultérieurement pour le chargement latéral de la DLL. Le logiciel malveillant établit la persistance via la création de registre et démontre une capacité multiplateforme, avec une variante spécifiquement conçue pour Linux. - Deuxième étape : la deuxième étape commence lorsqu’un fichier appelé
libcef.dllest exécuté. Selon Zscaler, il s’agit du « principal composant malveillant abandonné à la première étape ». Cette DLL aide le logiciel malveillant à communiquer avec le serveur de commande et de contrôle (C2). Le logiciel malveillant est observé à l’aide de la plateforme de messagerie de l’équipe Zulip pour dissimuler son activité comme des communications potentiellement légitimes. Le logiciel malveillant envoie les données collectées au canal Zulip, puis résout les API et exécute le shellcode récupéré auprès de l’acteur malveillant.
Le logiciel malveillant résout les API à l’aide d’une méthode de hachage personnalisée susceptible d’obscurcir les noms DLL et API dans les opérations malveillantes de bas niveau.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette attaque illustre la fréquence et la sophistication croissantes des menaces de la chaîne d’approvisionnement, en particulier celles qui abusent des écosystèmes de confiance tels que PyPI et d’autres référentiels.
Zscaler fait appel à des techniques telles que les binaires légitimes pour le chargement latéral DLL et les charges utiles chiffrées qui peuvent rendre la détection plus difficile et nécessitent souvent une analyse comportementale et une recherche des menaces au-delà des détections basées sur la signature.
Bien que les packages aient depuis été supprimés de PyPI, ces attaques servent de rappel de l’importance de comprendre les dépendances de votre organisation.
PipeMagic se fait passer pour une application de bureau ChatGPT
Microsoft a émis un avertissement sur PipeMagic, un cadre de backdoor modulaire utilisé par l’acteur malveillant Storm-2460 qui se déguise en application de bureau ChatGPT et exploite un zero-day Windows pour déployer des ransomwares.
PipeMagic utilise des tuyaux nommés cryptés et des listes liées pour gérer les charges utiles, l’exécution et la communication C2 , ce qui le rend hautement évasif et dangereux.
Storm-2460 et PipeMagic
Selon Microsoft, le groupe de menaces Storm-2460 a utilisé PipeMagic dans plusieurs cas, en particulier pendant les activités de pré-exploitation d’attaques impliquant CVE-2025-29824.
Le groupe a été observé en train de télécharger un fichier à partir d’un site Web compromis mais légitime qui héberge le logiciel malveillant de l’acteur. Ce fichier téléchargé est un fichier MSBuild responsable de la suppression et de l’exécution de PipeMagic en mémoire. Une fois exécuté sur l’appareil, l’acteur utilise l’exploit CLFS (Common Log File System) de Windows pour faire remonter les privilèges et lancer son ransomware.
PipeMagic commence comme un compte-gouttes en mémoire déguisé en application de bureau ChatGPT. Pour ce faire, l’acteur utilise une version modifiée du projet GitHub qui contient PipeMagic comme charge utile intégrée. PipeMagic communique avec son C2 via TCP et reçoit des modules via un tuyau nommé.
Structures de liste liées internes
Microsoft a identifié quatre structures de liste doublement liées distinctes utilisées par PipeMagic pour gérer les modules en mémoire :
- Une liste liée à la charge utile qui stocke les modules de charge utile.
- Une liste liée à l’exécution qui contient les modules de charge utile qui ont été chargés avec succès et sont donc prêts à être exécutés.
- Une liste liée au réseau contenant des modules réseau pour la communication C2 .
- Une liste inconnue, sans fonction claire. Microsoft pense qu’« elle est exploitée dynamiquement par des charges chargées plutôt que par la logique backdoor de base elle-même ».
Remplissage de la liste liée à la charge utile
Comme indiqué, la liste liée à la charge utile est utilisée pour gérer les modules de charge utile. Avant d’initialiser la liste, le logiciel malveillant crée un identifiant de bot aléatoire pour l’hôte, puis crée un tuyau nommé pour la livraison de la charge utile.
Ce tuyau bidirectionnel a des opérations de lecture et d’écriture entre le logiciel malveillant lui-même et le mécanisme de livraison de la charge utile. Le logiciel malveillant écoute sur le tuyau nommé pour recevoir les modules de charge utile, alloue de la mémoire et les ajoute à la liste liée à la charge utile.
Configuration des logiciels malveillants
PipeMagic utilise une configuration structurée pour gérer les modes de préproduction, les adresses C2 et d’autres paramètres opérationnels.
Il dispose d’un mode de préproduction qui imite C2 interactions sans nécessiter de connexions réseau actives. Le logiciel malveillant a divers blocs de configuration qui contiennent des éléments tels que l’adresse C2 .
Module de mise en réseau
Pour communiquer avec le C2, le logiciel malveillant utilise le module réseau dans la liste liée au réseau. Il remplit les listes avec des notes de module, chacune ayant un module exécutable pour la communication C2 .
Microsoft a constaté que les données du module réseau étaient intégrées directement dans le binaire de backdoor. Lorsque le module réseau démarre, il exporte et enregistre trois fonctions : l’une pour envoyer des données au module C2, l’autre pour renvoyer une valeur constante et l’autre pour définir un signal d’arrêt qui indique « à la fois à la porte dérobée et au module réseau de mettre fin à toutes les communications C2 ».
Collecte d’informations
Le logiciel malveillant collecte un large éventail d’informations à renvoyer à son serveur C2 . Certaines de ces informations comprennent le nom de l’ordinateur, le nom de domaine NetBIOS, le nom de domaine de l’utilisateur, l’adresse IP de l’hôte et le répertoire de travail actuel du logiciel malveillant.
Toutes les informations sont renvoyées au C2. Lorsque le logiciel malveillant reçoit une réponse du C2, il analyse les données pour interpréter la commande. La commande indique au backdoor ce qu’il faut faire ensuite, y compris l’exécution de sa fonctionnalité principale, l’arrêt du module réseau pour arrêter la communication et l’appel de tous les modules.
Capacités Backdoor
L’une des commandes que Microsoft considère comme la plus importante est le code 0x1. Cela contient des commandes et des arguments qui donnent à PipeMagic ce dont il a besoin pour effectuer ses opérations de backdoor.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’utilisation de listes liées Storm-2460’s pour la gestion, l’exécution et la communication des charges utiles démontre un haut niveau de sophistication et de discipline. Le groupe fonctionne probablement avec des ressources importantes.
PipeMagic est déguisée en application de bureau de confiance pour ChatGPT. Cela réitère le fait que les acteurs malveillants utilisent souvent des attraits et des thèmes liés à ce qui est actuellement populaire, en l’occurrence l’IA, pour augmenter la probabilité de réussite des infections.
Comme toujours, Microsoft fournit des conseils utiles d’atténuation et de protection ainsi que des détections Defender.
Noodlophile Stealer cible les entreprises via les réseaux sociaux
Un rapport récent de Morphisec analyse le voleur noodlophile, une campagne malveillante en évolution rapide qui utilise des e- mails d’hameçonnage hautement ciblés et multilingues sur le thème du copyright pour compromettre les entreprises ayant une forte empreinte sur les réseaux sociaux.
Selon Morphisec, Noodlophile Stealer exploite des techniques d’évasion avancées et une livraison de charge utile basée sur Telegram pour voler des informations d’identification, des données financières et des informations système tout en se préparant à de futures capacités telles que l’enregistrement de clés et le cryptage de fichiers.
La campagne Noodlophile est active depuis plus d’un an. La campagne utilise des e-mails de harponnage qui usurpent l’identité des avis de violation des droits d’auteur, qui comprennent des détails de reconnaissance personnalisés tels que les ID de page Facebook et les informations de propriété.
La campagne cible principalement les organisations aux États-Unis, en Europe, dans les pays baltes et dans la région APAC. Les e-mails sont envoyés à des employés spécifiques ou à des adresses génériques qui commencent généralement par info@ ou support@.
L’attrait
Cette campagne envoie des e-mails de violation des droits d’auteur liés aux pages Facebook, cherchant à abuser de la confiance établie que les organisations peuvent avoir avec Facebook, en particulier celles qui ont une forte présence sur les réseaux sociaux.
Ces e-mails proviennent souvent de comptes Gmail et combinent un sentiment d’urgence et des menaces juridiques pour pousser la victime à cliquer sur des liens ou des fichiers malveillants. Morphisec note que la campagne exploite du contenu multilingue, y compris l’anglais, l’espagnol, le polonais et la lettonne.
Mécanisme de livraison
Les campagnes précédentes de noodlophile utilisaient de fausses plateformes d’IA. Cependant, la dernière évolution fournit des charges utiles via des applications signées légitimes qui sont vulnérables au chargement latéral DLL.
Les charges utiles sont fournies via des liens Dropbox masqués avec des redirections TinyURL. Les archives contiennent des artefacts déguisés, tels que des scripts de lot nommés fichiers .docx ou des archives SFX masquées comme fichiers .png.
Stade intermédiaire
Après avoir effectué le chargement latéral DLL, la campagne utilise une étape intermédiaire pour « faire le pont entre l’exécution initiale et le déploiement du voleur final ».
Les DLL précédemment chargées latéralement renomment les fichiers d’archive pour imiter les formats .pptx, .docx ou .pdf, révélant les véritables scripts BAT et interprètes Python. Les scripts BAT sont utilisés pour établir la persistance en créant des entrées de registre et en téléchargeant des fichiers supplémentaires à partir de serveurs distants.
Analyse de charge utile
Morphisec note que les scripts sont plus lourdement masqués qu’avant. Au lieu de télécharger directement l’étape suivante, ils « extrairont une URL de la description d’un groupe Telegram, permettant l’exécution dynamique de la charge utile ». Le voleur final est hébergé sur des plateformes gratuites pour rendre la détection et le retrait plus difficiles.
Un examen plus approfondi de l’évolution de Noodlophile Stealer
Au sein de la base de code de Noodlophile Stealer, Morphisec a identifié des fonctions qui révèlent comment le logiciel malveillant évolue rapidement, et ses plans d’introduction d’améliorations futures.
Certaines des fonctions non mises en œuvre qu’ils ont observées comprennent la capture d’écran, l’enregistrement de clés, l’extraction de fichiers, la surveillance des processus, les vérifications d’extension de navigateur, etc.
Actuellement, le logiciel malveillant collecte des données basées sur le navigateur, telles que les informations d’identification, les informations système et les détails de l’environnement, avec la prise en charge de Chrome, Brave, Edge, Opera et d’autres navigateurs.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’attaquant est passé au-delà de l’hameçonnage générique en faveur d’une ingénierie sociale sur mesure. Cette approche nécessite plus de reconnaissance pour créer des atouts crédibles.
La campagne utilise également du contenu d’hameçonnage localisé dans différentes langues, ce qui suggère que l’acteur pourrait tirer parti des outils d’IA pour une traduction et une personnalisation automatisées. Combinées, ces tactiques peuvent certainement rendre le phishing plus simple et plus efficace à plus grande échelle.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
