Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium ouvre le bal en se penchant sur une attaque sophistiquée visant la chaîne d'approvisionnement et impliquant deux paquets Python malveillants. Notre équipe se penche ensuite sur PipeMagic, un framework modulaire de porte dérobée déguisé en application de bureau ChatGPT. Pour finir, nous conclurons par un aperçu de « Noodlophile Stealer », une campagne de logiciels malveillants en pleine évolution.
Des chercheurs découvrent des paquets Python malveillants
Zscaler ThreatLabz a mis au jour une attaque sophistiquée de type « supply chain » (chaîne d'approvisionnement) impliquant les paquets Python termncolor et colorinal, qui déployaient des logiciels malveillants en plusieurs étapes, diffusés via des charges utiles chiffrées en AES en mode CBC et par injection de DLL.
Cet incident met en évidence le risque croissant lié aux dépendances malveillantes dans les écosystèmes open source et la nécessité d'une vérification rigoureuse des paquets.
Détection de paquets malveillants
Zscaler a constaté que le fichier termncolor importait un paquet supplémentaire intitulé colorinal.
Zscaler indique que termncolor « sert d'utilitaire de gestion des couleurs pour Python sans présenter aucun comportement malveillant ». Le fait qu'il intègre la dépendance « colorinal » de l' lui a donné un aspect suspect.
Enquête sur un dossier
Zscaler a détecté un fichier nommé « unicode.py » au sein du paquet « colorinal » . Bien qu’il semble à première vue s’agir d’un script utilitaire de gestion des couleurs, il charge en réalité une DLL intégrée (terminate.dll) afin de déployer la charge utile du logiciel malveillant. Le logiciel malveillant supprime à la fois le fichier « terminate.dll » ( ) et le fichier « unicode.py » ( ) afin d'entraver sa détection et son analyse.
Voici comment se déroule l'attaque :
- Première étape : La première étape est déclenchée lorsque le fichier
terminate.dllest exécuté. L’une des principales fonctions de la DLL consiste à déchiffrer la charge utile intégrée, puis à stocker cette charge utile déchiffrée dans le répertoire%LOCALAPPDATA%\vcpacket.
Zscaler souligne que cet emplacement sert également de zone de transit pour d’autres fichiers destinés à l’étape suivante, notamment deux exécutables utilisés ultérieurement pour le chargement latéral de la DLL. Ce logiciel malveillant assure sa persistance en créant des entrées dans le registre et fait preuve d'une capacité multiplateforme, avec une variante spécialement adaptée à Linux. - Deuxième étape : La deuxième étape commence lorsqu'un fichier nommé
libcef.dllest exécuté. Selon Zscaler, il s'agit de « la principale composante malveillante déployée lors de la première étape ». Cette DLL permet au logiciel malveillant de communiquer avec le serveur de commande et de contrôle (C2). On constate que ce logiciel malveillant utilise la plateforme de messagerie d'équipe Zulip pour faire passer ses activités pour des communications potentiellement légitimes. Le logiciel malveillant envoie les données collectées vers le canal Zulip, puis résout les API et exécute le shellcode fourni par l'acteur malveillant.
Le logiciel malveillant résout les API à l'aide d'une méthode de hachage personnalisée, probablement destinée à dissimuler les noms des DLL et des API dans le cadre d'opérations de bas niveau du logiciel malveillant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque illustre bien la fréquence et la sophistication croissantes des menaces pesant sur la chaîne d'approvisionnement, en particulier celles qui exploitent des écosystèmes de confiance tels que PyPI et d'autres référentiels.
Zscaler met en avant des techniques telles que l'utilisation de fichiers binaires légitimes pour le chargement latéral de DLL et de charges utiles chiffrées, qui peuvent compliquer la détection et nécessitent souvent une analyse comportementale et une recherche active des menaces allant au-delà des détections basées sur les signatures.
Bien que ces paquets aient depuis été retirés de PyPI, ces attaques nous rappellent à quel point il est essentiel de bien connaître les dépendances de votre organisation.
PipeMagic se fait passer pour une application de bureau ChatGPT
Microsoft a adressé à l' , une alerte concernant PipeMagic, un framework modulaire de porte dérobée utilisé par l'acteur malveillant Storm-2460, qui se fait passer pour une application de bureau ChatGPT et exploite une faille « zero-day » de Windows pour déployer un rançongiciel.
PipeMagic utilise des canaux nommés chiffrés et des listes chaînées pour gérer les charges utiles, l'exécution et la communication C2 , ce qui le rend extrêmement insaisissable et dangereux.
Storm-2460 et PipeMagic
Selon Microsoft, le groupe malveillant Storm-2460 a utilisé PipeMagic à plusieurs reprises, notamment lors des activités préalables à l'exploitation dans le cadre d'attaques impliquant le numéro CVE-2025-29824.
On a constaté que ce groupe téléchargeait un fichier à partir d'un site web compromis, mais légitime, hébergeant le logiciel malveillant de cet acteur. Ce fichier téléchargé est un fichier MSBuild chargé de charger et d'exécuter PipeMagic en mémoire. Une fois l'attaque lancée sur l'appareil, l'attaquant utilise la faille du système de fichiers journaux commun de Windows (CLFS) pour élever ses privilèges et lancer son ransomware.
PipeMagic se présente initialement sous la forme d'un programme d'installation en mémoire déguisé en application de bureau ChatGPT. Pour ce faire, l'acteur utilise une version modifiée du projet GitHub qui contient PipeMagic en tant que charge utile intégrée. PipeMagic communique avec son C2 via TCP et reçoit les modules par le biais d'un canal nommé.
Structures de listes liées internes
Microsoft a identifié quatre structures distinctes de listes doublement chaînées utilisées par PipeMagic pour gérer les modules en mémoire :
- Une liste chaînée de charges utiles qui stocke les modules de charge utile.
- Une liste chaînée d'exécution qui contient les modules de charge utile qui ont été chargés avec succès et qui sont donc prêts à être exécutés.
- Une liste de liens réseau contenant des modules réseau destinés à la communication C2 .
- Une liste inconnue, dont la fonction n'est pas clairement définie. Microsoft estime qu’« il est exploité de manière dynamique par les charges utiles chargées plutôt que par la logique centrale de la porte dérobée elle-même ».
Remplissage de la liste chaînée des charges utiles
Comme indiqué, la liste chaînée des charges utiles sert à gérer les modules de charge utile. Avant d'initialiser la liste, le logiciel malveillant génère un identifiant de bot aléatoire pour l'hôte, puis crée un canal nommé pour la transmission de la charge utile.
Ce canal bidirectionnel permet des opérations de lecture et d'écriture entre le logiciel malveillant lui-même et le mécanisme de diffusion de la charge utile. Le logiciel malveillant écoute sur le canal nommé pour recevoir les modules de charge utile, alloue de la mémoire et les ajoute à la liste chaînée des charges utiles.
Configuration des logiciels malveillants
PipeMagic utilise une configuration structurée pour gérer les modes de préproduction, les adresses C2 et d'autres paramètres opérationnels.
Il dispose d'un mode de simulation qui reproduit C2 interactions sans nécessiter de connexions réseau actives. Ce logiciel malveillant comporte divers blocs de configuration qui contiennent notamment l'adresse C2 .
Module de mise en réseau
Pour communiquer avec le C2, le logiciel malveillant utilise le module réseau figurant dans la liste chaînée des réseaux. Il remplit les listes avec des notes de module, dont chacune comporte un module exécutable pour la communication C2 .
Microsoft a constaté que les données du module réseau étaient intégrées directement dans le fichier binaire de la porte dérobée. Au démarrage du module réseau, celui-ci exportera et enregistrera trois fonctions : l’une pour envoyer des données au C2, l’autre pour renvoyer une valeur constante, et la troisième pour définir un signal d’arrêt qui ordonne « à la fois à la porte dérobée et au module réseau de mettre fin à toutes les communications avec le C2 ».
Collecte d'informations
Ce logiciel malveillant recueille un large éventail d'informations qu'il transmet ensuite à son serveur C2 . Parmi ces informations figurent notamment le nom de l'ordinateur, le nom NetBIOS du domaine, le nom de domaine de l'utilisateur, l'adresse IP de l'hôte et le répertoire de travail actuel du logiciel malveillant.
Toutes les informations sont transmises au C2. Lorsque le logiciel malveillant reçoit une réponse du C2, il analyse les données afin d'interpréter la commande. Cette commande indique à la porte dérobée les actions à effectuer ensuite, notamment l'exécution de ses fonctionnalités principales, la désactivation du module réseau pour interrompre toute communication et l'appel de tous les modules.
Fonctionnalités de porte dérobée
L'une des commandes que Microsoft considère comme la plus importante est le code 0x1. Ce fichier contient les commandes et les arguments qui fournissent à PipeMagic les éléments nécessaires à la réalisation de ses opérations clandestines.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Storm-2460’s : l'utilisation de listes chaînées pour la gestion des données utiles, l'exécution et la communication témoigne d'un haut niveau de sophistication et de rigueur. Il semble que ce groupe dispose de ressources considérables.
PipeMagic se présente comme une application de bureau fiable dédiée à ChatGPT. Cela confirme une fois de plus que les auteurs de menaces ont souvent recours à des appâts et à des thèmes liés à l'actualité, en l'occurrence l'IA, afin d'augmenter leurs chances de réussir leurs infections.
Comme toujours, le site « Microsoft » fournit des conseils utiles en matière de mesures d'atténuation et de protection , ainsi que les détections de Defender.
Le logiciel malveillant « Noodlophile Stealer » cible les entreprises via les réseaux sociaux
Un rapport récent de Morphisec analyse « Noodlophile Stealer », une campagne de logiciels malveillants en pleine évolution qui utilise des e-mails de hameçonnage multilingues et très ciblés, sur le thème des droits d'auteur , afin de compromettre des entreprises très présentes sur les réseaux sociaux.
Selon Morphisec, Noodlophile Stealer utilise des techniques d'évasion sophistiquées et la diffusion de charges utiles via Telegram pour voler des identifiants, des données financières et des informations système, tout en se préparant à intégrer de nouvelles fonctionnalités telles que l'enregistrement des frappes clavier et le chiffrement de fichiers.
La campagne « Noodlophile » est en cours depuis plus d'un an. Cette campagne utilise des e-mails de spear-phishing se faisant passer pour des avis de violation de droits d'auteur, qui contiennent des informations de reconnaissance personnalisées, telles que des identifiants de pages Facebook et des renseignements sur leur propriétaire.
Cette campagne s'adresse principalement aux organisations situées aux États-Unis, en Europe, dans les pays baltes et dans la région Asie-Pacifique. Les e-mails sont envoyés à des collaborateurs spécifiques ou à des adresses génériques qui commencent généralement par « info@ » ou « support@ ».
Le leurre
Cette campagne consiste à envoyer des e-mails signalant des violations du droit d'auteur liées à des pages Facebook, dans le but d'abuser de la confiance que certaines organisations peuvent accorder à Facebook, en particulier celles qui sont très présentes sur les réseaux sociaux.
Ces e-mails proviennent souvent de comptes Gmail et combinent un sentiment d'urgence et des menaces juridiques afin de pousser la victime à cliquer sur des liens ou des fichiers malveillants. Morphisec souligne que cette campagne s'appuie sur des contenus multilingues, notamment en anglais, en espagnol, en polonais et en letton.
Mécanisme de distribution
Les précédentes campagnes de Noodlophile utilisaient de fausses plateformes d'IA. Cependant, cette dernière évolution diffuse des charges utiles par le biais d'applications légitimes et signées qui sont vulnérables au chargement latéral de DLL.
Les charges utiles sont transmises via des liens Dropbox masqués par des redirections TinyURL. Les archives contiennent des éléments dissimulés, tels que des scripts batch nommés comme des fichiers .docx ou des archives SFX se faisant passer pour des fichiers .png.
Mise en scène intermédiaire
Après avoir procédé au chargement latéral d'une DLL, la campagne utilise une étape intermédiaire pour « faire le lien entre l'exécution initiale et le déploiement du logiciel de vol de données final ».
Les DLL précédemment installées par des moyens parallèles renomment les fichiers d'archive pour les faire passer pour des fichiers aux formats .pptx, .docx ou .pdf, révélant ainsi les véritables scripts BAT et interpréteurs Python. Les scripts BAT servent à assurer la persistance du programme en créant des entrées de registre et en téléchargeant des fichiers supplémentaires à partir de serveurs distants.
Analyse de la charge utile
Morphisec constate que les scripts sont davantage obscurcis qu'auparavant. Au lieu de télécharger directement la phase suivante, ils « extrairont une URL de la description d'un groupe Telegram, ce qui permettra l'exécution dynamique de la charge utile ». Le logiciel malveillant final est hébergé sur des plateformes gratuites afin de compliquer sa détection et son retrait.
Un examen approfondi de l'évolution de Noodlophile Stealer
Au sein du code source de Noodlophile Stealer, Morphisec a identifié des fonctions qui révèlent à quel point ce logiciel malveillant évolue rapidement — ainsi que ses projets d'introduire de nouvelles fonctionnalités à l'avenir.
Parmi les fonctions non mises en œuvre qu'ils ont relevées, on peut citer la capture d'écran, l'enregistrement des frappes clavier, l'extraction de fichiers, la surveillance des processus, la vérification des extensions de navigateur, et bien d'autres encore.
À l'heure actuelle, ce logiciel malveillant collecte des données issues des navigateurs — telles que les identifiants, les informations système et les détails relatifs à l'environnement — et prend en charge Chrome, Brave, Edge, Opera et d'autres navigateurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'attaquant est passé du phishing générique à des techniques d'ingénierie sociale sur mesure . Cette approche nécessite davantage de repérage afin de créer des leurres crédibles.
La campagne utilise également du contenu de hameçonnage localisé dans différentes langues, ce qui laisse penser que l'auteur pourrait recourir à des outils d'IA pour la traduction et la personnalisation automatisées. Combinées, ces tactiques peuvent assurément rendre le phishing plus simple et plus efficace à plus grande échelle.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d’informations sur les cybermenaces publiés sur .
