Dans le résumé de cette semaine, l’équipe CTI Tanium examine une grande campagne de publicité malveillante ayant un impact sur les appareils mondiaux. Ensuite, il analyse une nouvelle variante du logiciel malveillant macOS appelée XCSSET. Enfin, CTI enquête sur une campagne en cours utilisant de faux référentiels GitHub pour distribuer des logiciels malveillants.
Une nouvelle campagne de malvertissement infecte plus d’un million d’appareils
Microsoft émet l’alarme d’une vaste campagne de publicité malveillante affectant plus d’un million d’appareils dans le monde.
Selon Microsoft, l’attaque opportuniste provenait de sites de streaming illégaux intégrés à des redirecteurs de publicité malveillante, qui ont finalement dirigé les victimes vers GitHub et d’autres plateformes hébergeant des logiciels malveillants de vol d’informations.
Qu’est-ce que Storm-0408 ?
Microsoft surveille cette activité sous Storm-0408. Il implique plusieurs acteurs malveillants liés à l’accès à distance ou au vol d’informations, en particulier ceux qui s’appuient sur l’hameçonnage, le référencement et la publicité malveillante pour la distribution.
Les acteurs malveillants utilisent principalement GitHub pour héberger les charges utiles, les charges utiles occasionnelles étant hébergées sur Discord et Dropbox. Microsoft a d’abord observé l’activité dans décembre 2024.
Comprendre la chaîne de redirection
Microsoft a remarqué que plusieurs hôtes téléchargeaient des charges utiles de première étape à partir de référentiels GitHub malveillants. Ces utilisateurs ont été envoyés à GitHub via une série d’autres redirections, probablement à partir de sites de streaming illégaux.
Les redirecteurs ont acheminé le trafic via quelques redirecteurs, mais ont finalement conduit les victimes vers un site d’escroquerie qui les redirigerait vers GitHub. La campagne a déployé plusieurs étapes de logiciels malveillants.
À quoi ressemble la chaîne d’attaque ?
Une fois que la victime a redirigé vers GitHub où le logiciel malveillant est hébergé, le logiciel malveillant établira la présence initiale sur l’appareil de l’utilisateur. Ce logiciel malveillant agit comme un compte-gouttes pour le reste des charges utiles et des étapes, qui comprennent les infostealers, le logiciel RMM et divers scripts.
L’activité de l’acteur conduit à « une approche modulaire et à plusieurs étapes de la livraison, de l’exécution et de la persistance des charges utiles », qui comprend quatre étapes résumées ci-dessous :
- Établir une présence sur l’hôte
Lors de la première étape de l’attaque, une charge utile est déposée sur l’appareil de la victime depuis GitHub, ce qui permet à l’acteur d’établir une présence sur celui-ci. À mi-janvier 2025, ces charges utiles ont été signées numériquement avec un nouveau certificat. Douze certificats ont été identifiés, tous ayant depuis été révoqués. - La découverte, la collecte et l’exfiltration du système
Microsoft ont observé différentes charges utiles de deuxième étape en fonction de ce qui a été utilisé pendant la première étape. Cependant, les objectifs de la deuxième étape restent les mêmes, indépendamment de la première étape, qui comprend la découverte, la collecte et l’exfiltration. Le logiciel malveillant collectera des informations sur l’appareil, telles que la version du système d’exploitation, les commandes d’exécution, le nom de l’appareil et le nom de domaine.
- PowerShell et .exe
Encore une fois, la troisième étape varie en fonction de ce qui s’est produit lors de la deuxième étape, et un ou plusieurs exécutables sont abandonnés. Les charges utiles de deuxième étape exécuteront des exécutables de troisième étape pour identifier les programmes en cours d’exécution, en particulier la recherche de mots-clés connus pour être associés au logiciel de sécurité. L’exécutable produit également un fichier interprète AutoIT v3 qui est renommé pour utiliser une extension de fichier .com et est exécuté.
Dans certains cas, la charge utile de deuxième étape supprimera un script PowerShell. Ce PowerShell peut télécharger des fichiers supplémentaires (comme NetSupport RAT) à partir du C2, établir la persistance des logiciels malveillants et exfiltrer des informations vers C2 serveurs. - PowerShell
Dans certains cas, le fichier AutoIT précédemment renommé supprimera un script PowerShell supplémentaire. Ce script est masqué et son objectif est de modifier Microsoft Defender en ajoutant des chemins d’exclusion afin que certains dossiers contenant des artefacts malveillants ne soient pas analysés.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La chaîne de redirection de cette attaque est assez sophistiquée, car elle commence à partir d’un seul redirecteur intégré sur un site. L’acteur a également démontré des capacités avancées avec la chaîne d’infection en plusieurs étapes et diverses charges utiles. Cela dit, l’acteur suit également la tendance courante d’abuser des services légitimes, comme GitHub, pour se fondre davantage.
Le rapport de Microsoft détaille les différentes charges utiles et étapes observées en lien avec cette activité. Le rapport partage également certaines actions recommandées, des requêtes de recherche et des alertes Defender qui peuvent aider à identifier l’activité associée à cette menace.
La variante XCSSET utilise l’obscurcissement et une persistance améliorée
Microsoft a récemment découvert une nouvelle variante du logiciel malveillant macOS, XCSSET, qui infecte les projets Xcode, une application de développement utilisée pour créer des applications Apple et macOS.
La dernière variante démontre une dissimulation accrue, une persistance améliorée et de nouvelles stratégies d’infection. Il est finalement « caractérisé par son approche modulaire et ses charges utiles codées ».
Qu’est-ce qu’un logiciel malveillant XCSSET ?
Le logiciel malveillant XCSSET, identifié pour la première fois en 2022, cible les projets Xcode pendant le processus de création. Par rapport à son apparence initiale, la variante XCSSET nouvellement découverte montre une meilleure gestion des erreurs et une dépendance accrue aux langages de script, aux commandes UNIX et aux binaires légitimes. Il masque notamment les noms de ses modules, ce qui complique l’analyse.
Microsoft rapporte également que la nouvelle variante utilise des techniques de persistance distinctes et que, bien que certains modules semblent être en cours de développement, le serveur C2 est actif et télécharge des modules supplémentaires.
Comment fonctionne la nouvelle variante XCSSET ?
La nouvelle variante est une chaîne d’infection en quatre étapes dans laquelle la dernière étape exécute des sous-modules supplémentaires :
- Dans la première étape, une charge utile de shell Xcode s’exécute lorsqu’une victime construit un projet Xcode infecté. La charge utile décodée fera une demande de boucle au serveur C2 , recevant la charge utile de deuxième étape.
- Dans la deuxième étape, la charge utile collecte des informations sur le système d’exploitation et envoie ces données au serveur C2 avant de recevoir une autre charge utile.
- Dans la troisième étape, un script shell confirmera que la version XProtect du périphérique est inférieure à 5287, arrêtera les processus d’exécution référencés et recherchera un fichier masqué dans le dossier d’accueil « .a ». Cette étape supprimera également les références existantes à « l.app » et en créera une nouvelle, téléchargera un script supplémentaire et créera un AppleScript pour lancer le script précédemment téléchargé. Enfin, le script activera la clé « LSUIElement » pour masquer l’application du Dock, en exécutant l’application en arrière-plan et en supprimant l’application créée.
- À la quatrième étape, l’application AppleScript précédemment créée exécute et exécute des commandes pour extraire la version du système d’exploitation, la version Safari, les paramètres régionaux de l’utilisateur, le statut du pare-feu, le statut SIP et les informations du CPU. Il appellera ensuite à plusieurs reprises une fonction avec plusieurs noms de module masqués.
[Lire également : Qu’est-ce que la gestion des vulnérabilités des appareils ?]
L’importance des sous-modules à la quatrième étape
Le script de quatrième étape peut télécharger divers sous-modules capables des activités suivantes :
- Répertorier les extensions de navigateur
- Téléchargement de plus de modules
- Voler les données du portefeuille numérique
- Établir la persistance de plusieurs manières différentes
- Données des notes de vol
- Infection des projets Xcode
Microsoft a également identifié quelques modules liés à l’exfiltration de fichiers/données qui sont toujours en cours de développement.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’un des éléments les plus importants du rapport de Microsoft est que le serveur C2 de XCSSET télécharge des modules supplémentaires. Donc, bien que cette nouvelle variante ne soit pas trop répandue, elle a des modules supplémentaires en développement et est actuellement active. Les nouveaux développements de cette variante s’alignent également sur l’accent global mis sur les attaques récentes ciblant macOS.
La campagne en cours utilise de faux référentiels GitHub pour propager les logiciels malveillants
Trend Micro a découvert une campagne en cours qui utilise de faux référentiels GitHub pour distribuer des logiciels malveillants.
La campagne utilise du contenu généré par l’IA pour que les faux référentiels semblent légitimes, avec des attaques réussies permettant aux acteurs malveillants de voler 2FA extensions, informations d’identification de connexion, etc.
[Lire également : Oui, ChatGPT dynamisera le piratage et aidera également à le combattre]
Comment les pirates informatiques abusent-ils de GitHub ?
Il est évident que les acteurs malveillants continuent d’abuser de GitHub pour distribuer des logiciels malveillants. Cependant, l’acteur n’héberge pas de malware sur GitHub dans cette campagne. Au lieu de cela, ils utilisent l’IA générative pour créer ce qui semble être des référentiels légitimes sur GitHub.
Comment l’attaque commence-t-elle ?
Cette campagne continue commence par de faux référentiels GitHub générés par l’IA, conçus pour ressembler à des outils et logiciels légitimes. L’acteur utilise ensuite l’IA pour produire des fichiers et de la documentation README, améliorant l’illusion de légitimité pour tromper les victimes en installant le contenu.
[Lire également : les 3 plus grandes menaces GenAI (plus 1 autre risque) et comment les repousser]
Trend Micro déclare que les faux référentiels se démarquent actuellement parce que le formatage du contenu README est « fortement assisté par l’IA, comme le montrent les signes révélateurs tels qu’une utilisation excessive des emojis, une formulation non naturelle, un logo hypertexte et un contenu structuré. »
Les référentiels visent à inciter les victimes à télécharger des fichiers .zip qui contiennent une charge utile pour le logiciel malveillant SmartLoader.
Comment SmartLoader utilise-t-il Lumma Stealer ?
Le logiciel malveillant SmartLoader fournit le voleur Lumma et d’autres charges utiles en téléchargeant un fichier à partir de GitHub et en l’enregistrant comme « search.exe », qui peut ensuite exécuter le voleur Lumma.
SmartLoader est connu pour gonfler les fichiers lors du chargement de la charge utile, augmentant la taille du fichier à environ 1GB. Le logiciel malveillant exécutera des fichiers supplémentaires, créera des fichiers malveillants dans le dossier temporaire, exécutera diverses commandes de découverte de logiciels de sécurité et effectuera le débogage du navigateur. Une fois ce processus terminé, Lumma Stealer se connectera à son C2 pour exfiltrer les données.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il s’agit d’un autre exemple récent d’acteurs malveillants utilisant GitHub dans le cadre de leur attaque, nous rappelant qu’un sentiment de confiance établi peut et sera souvent maltraité.
Ce qui est intéressant dans cette attaque, c’est l’utilisation par l’acteur du contenu généré par l’IA, d’autant plus que nous n’avons pas vu beaucoup d’ exemples d’IA utilisée dans les attaques. Trend Micro note que cette attaque est en cours et continuera probablement à évoluer à mesure que les acteurs continuent à « utiliser des outils avancés pour automatiser et améliorer leurs attaques ».
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
