Dans le tour d'horizon de cette semaine, l'équipe CTI de Tanium se penche sur une vaste campagne de « malvertising » touchant des appareils dans le monde entier. Il analyse ensuite une nouvelle variante de logiciel malveillant pour macOS appelée XCSSET. Enfin, le CTI enquête sur une campagne en cours qui utilise de faux dépôts GitHub pour diffuser des logiciels malveillants.
Une nouvelle campagne de « malvertising » infecte plus d'un million d'appareils
Microsoft tire la sonnette d'alarme (s'ouvre dans un nouvel onglet) au sujet d'une vaste campagne de publicités malveillantes touchant plus d'un million d'appareils à travers le monde.
Selon Microsoft, cette attaque opportuniste provenait de sites de streaming illégaux intégrant des redirecteurs publicitaires malveillants, qui redirigeaient finalement les victimes vers GitHub et d’autres plateformes hébergeant le logiciel malveillant de vol d’informations « » : (s’ouvre dans un nouvel onglet).
Qu'est-ce que Storm-0408 ?
Microsoft surveille cette activité sous le nom de Storm-0408. Cette affaire implique plusieurs acteurs malveillants liés à des logiciels malveillants d'accès à distance ou de vol d'informations, en particulier ceux qui recourent au hameçonnage, au référencement naturel (SEO) et à la publicité malveillante pour se propager.
Les auteurs de ces attaques utilisent principalement GitHub pour héberger leurs charges utiles, certaines d'entre elles étant parfois hébergées sur Discord et Dropbox. C'est sur décembre 2024 que Microsoft a constaté cette activité pour la première fois.
Comprendre la chaîne de redirection
Microsoft a détecté plusieurs serveurs hébergeant des charges utiles de première phase provenant de dépôts GitHub malveillants. Ces utilisateurs ont été redirigés vers GitHub via une série d'autres redirections, probablement à partir de sites de streaming illégaux.
Les redirecteurs acheminaient le trafic via quelques serveurs de redirection, mais conduisaient finalement les victimes vers un site frauduleux qui les redirigeait ensuite vers GitHub. Cette campagne a déployé plusieurs phases de logiciels malveillants.
À quoi ressemble la chaîne d'attaque ?
Une fois que la victime est redirigée vers GitHub, où le logiciel malveillant est hébergé, celui-ci s'implante initialement sur l'appareil de l'utilisateur. Ce logiciel malveillant sert de « dropper » pour le reste des charges utiles et des étapes, qui comprennent des programmes de vol d'informations, des logiciels RMM et divers scripts.
L'activité de cet acteur se traduit par « une approche modulaire et en plusieurs étapes de la livraison, de l'exécution et de la persistance de la charge utile », qui comprend quatre étapes résumées ci-dessous :
- Établir une présence sur l'hôte
Au cours de la première phase de l'attaque, une charge utile est déposée sur l'appareil de la victime à partir de GitHub, ce qui permet à l'auteur de l'attaque d'y établir une présence. À la mi-janvier 2025 de cette année, ces charges utiles ont été signées numériquement à l'aide d'un nouveau certificat. Douze certificats ont été identifiés, qui ont tous été révoqués depuis. - Détection du système, collecte et exfiltration
Microsoft a observé différentes charges utiles de deuxième phase en fonction de ce qui avait été utilisé lors de la première phase. Toutefois, les objectifs de la deuxième étape restent les mêmes, quelle que soit la première étape, qui comprend la découverte, la collecte et l'exfiltration. Le logiciel malveillant recueillera des informations sur l'appareil, telles que la version du système d'exploitation, les commandes en cours d'exécution, le nom de l'appareil et le nom de domaine.
- PowerShell et fichiers .exe
Une fois encore, la troisième étape varie en fonction de ce qui s'est passé lors de la deuxième étape, et un ou plusieurs fichiers exécutables sont déposés. Les charges utiles du deuxième étage exécuteront les fichiers exécutables du troisième étage afin d'identifier les programmes en cours d'exécution, en recherchant notamment des mots-clés connus pour être associés à des logiciels de sécurité. Le fichier exécutable génère également un fichier d'interpréteur AutoIT v3 qui est renommé pour utiliser l'extension .com, puis exécuté.
Dans certains cas, la charge utile de deuxième étape déploiera un script PowerShell. Ce script PowerShell permet de télécharger des fichiers supplémentaires (tels que NetSupport RAT) à partir du serveur C2, d'assurer la persistance des logiciels malveillants et d'exfiltrer des informations vers les serveurs C2 . - PowerShell
Dans certains cas, le fichier AutoIT précédemment renommé créera un script PowerShell supplémentaire. Ce script est obscurci et a pour but de modifier les fichiers suivants : , Microsoft Defender (s'ouvre dans un nouvel onglet),et , en y ajoutant des chemins d'exclusion afin que certains dossiers contenant des éléments malveillants ne soient pas analysés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La chaîne de redirection utilisée dans cette attaque est assez sophistiquée, puisqu'elle part d'un seul redirecteur intégré à un site. L'acteur a également fait preuve de capacités avancées en matière de chaîne d'infection en plusieurs étapes et de charges utiles diverses. Cela dit, l'acteur s'inscrit également dans la tendance courante consistant à abuser de services légitimes, comme GitHub, afin de mieux se fondre dans la masse.
Le rapport de Microsoft détaille les différentes charges utiles et étapes qu'il a observées dans le cadre de cette activité. Le rapport présente également certaines actions recommandées par l' , ainsi que des liens vers (s'ouvre dans un nouvel onglet),et , des requêtes de recherche et des alertes Defender susceptibles de vous aider à identifier les activités associées à cette menace.
La variante XCSSET recourt à l'obfuscation et à une persistance renforcée
Microsoft a récemment découvert (s'ouvre dans un nouvel onglet) une nouvelle variante de logiciel malveillant pour macOS, baptisée XCSSET, qui infecte les projets Xcode, une application de développement utilisée pour créer des applications Apple et macOS.
Cette dernière variante se caractérise par un niveau accru de dissimulation, une persistance améliorée et de nouvelles stratégies d'infection. En définitive, il « se caractérise par son approche modulaire et ses charges utiles codées ».
Qu'est-ce que le logiciel malveillant XCSSET ?
Le logiciel malveillant XCSSET, identifié pour la première fois en 2022, cible les projets Xcode pendant le processus de compilation. Par rapport à sa version initiale, la variante XCSSET récemment découverte présente une gestion des erreurs améliorée et recourt davantage aux langages de script, à aux commandes UNIX (s'ouvre dans un nouvel onglet), ainsi qu'à des binaires légitimes. Il convient notamment de noter qu'il masque les noms de ses modules, ce qui complique l'analyse.
Microsoft indique également que cette nouvelle variante utilise des techniques de persistance spécifiques et que, bien que certains modules semblent être encore en cours de développement, le serveur C2 est actif et télécharge des modules supplémentaires.
Comment fonctionne la nouvelle variante XCSSET ?
Cette nouvelle variante consiste en une chaîne d'infection en quatre étapes, dont la dernière comporte des sous-modules supplémentaires :
- Au cours de la première étape, , une charge utile de type « shell » Xcode s'exécute lorsque la victime compile un projet Xcode infecté. La charge utile décodée enverra une requête curl au serveur C2 , ce qui lui permettra de recevoir la charge utile de la deuxième étape.
- Au cours de la deuxième étape, , la charge utile recueille des informations sur le système d'exploitation et transmet ces données au serveur C2 avant de recevoir une autre charge utile.
- Au cours de la troisième étape, , un script shell vérifiera que la version de XProtect installée sur l'appareil est inférieure à 5287, arrêtera les processus en cours d'exécution concernés et recherchera un fichier caché dans le dossier personnel « .a ». Cette étape supprimera également les références existantes à « l.app » et en créera une nouvelle, téléchargera un script supplémentaire et créera un AppleScript permettant de lancer le script précédemment téléchargé. Enfin, le script activera la clé « LSUIElement » afin de masquer l'application du Dock, de l'exécuter en arrière-plan et de supprimer l'application créée.
- Au cours de la quatrième étape, , l'application AppleScript créée précédemment se lance et exécute des commandes permettant d'extraire la version du système d'exploitation, la version de Safari, les paramètres régionaux de l'utilisateur, l'état du pare-feu, l'état du SIP et les informations relatives au processeur. Il appellera ensuite à plusieurs reprises une fonction comportant plusieurs noms de modules obscurcis.
L'importance des sous-modules au cours de la quatrième étape
Le script de la quatrième étape permet de télécharger divers sous-modules capables d'effectuer les opérations suivantes :
- Liste des extensions de navigateur
- Télécharger d'autres modules
- Vol de données de portefeuilles numériques
- Mettre en place la persistance de différentes manières
- Vol de données de Notes
- Intégration dans des projets Xcode
Microsoft a également identifié quelques modules liés à l'exfiltration de fichiers ou de données qui seraient encore en cours de développement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'un des éléments les plus importants du rapport de Microsoft est que le serveur C2 de XCSSET télécharge des modules supplémentaires. Ainsi, même si ce nouveau variant n'est peut-être pas encore très répandu, des modules supplémentaires sont en cours de développement et il est actuellement actif. Les dernières évolutions de cette variante s'inscrivent également dans le contexte général mettant l'accent sur l' , comme en témoignent les récentes attaques visant macOS : (s'ouvre dans un nouvel onglet).
Une campagne en cours utilise de faux dépôts GitHub pour diffuser des logiciels malveillants
Trend Micro a découvert (s'ouvre dans un nouvel onglet) une campagne en cours qui utilise de faux dépôts GitHub pour diffuser des logiciels malveillants.
La campagne utilise du contenu généré par l'IA pour donner une apparence légitime à ces faux référentiels ; les attaques qui ont abouti ont permis aux cybercriminels de dérober 2FA extensions, des identifiants de connexion et bien d'autres éléments.
Comment les pirates informatiques exploitent-ils GitHub ?
Il est évident que les cybercriminels continuent d'utiliser GitHub à des fins malveillantes pour diffuser des logiciels malveillants. Toutefois, dans le cadre de cette campagne, l'acteur n'héberge pas de logiciels malveillants sur GitHub. Au lieu de cela, ils utilisent l'IA générative pour créer ce qui semble être des dépôts légitimes sur GitHub.
Comment l'attaque commence-t-elle ?
Cette campagne, qui se poursuit actuellement, commence par la création de faux dépôts GitHub générés par l'IA, conçus pour ressembler à des outils et logiciels légitimes. L'acteur utilise ensuite l'IA pour générer des fichiers README et de la documentation, renforçant ainsi l'illusion de légitimité afin d'inciter les victimes à installer le contenu.
Selon Trend Micro, ces faux dépôts se distinguent actuellement car la mise en forme du contenu du fichier README est « largement assistée par l'IA, comme en témoignent des indices révélateurs tels que l'utilisation excessive d'émojis, des tournures de phrases peu naturelles, un logo sous forme de lien hypertexte et un contenu structuré ».
Ces référentiels ont pour objectif d'inciter les victimes à télécharger des fichiers .zip contenant une charge utile destinée au logiciel malveillant SmartLoader.
Comment SmartLoader utilise-t-il Lumma Stealer ?
Le logiciel malveillant SmartLoader diffuse Lumma Stealer et d’autres charges utiles en téléchargeant un fichier depuis GitHub et en l’enregistrant sous le nom « search.exe », qui permet ensuite d’exécuter Lumma Stealer.
On sait que SmartLoader gonfle la taille des fichiers lors du chargement de la charge utile, ce qui porte leur taille à environ 1GB. Le logiciel malveillant exécutera des fichiers supplémentaires, créera des fichiers malveillants dans le dossier temporaire, lancera diverses commandes visant à détecter les logiciels de sécurité et effectuera un débogage du navigateur. Une fois ce processus terminé, Lumma Stealer se connectera à son serveur C2 pour exfiltrer les données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il s'agit là d'un nouvel exemple récent d'acteurs malveillants utilisant GitHub dans le cadre de leurs attaques, ce qui nous rappelle qu'un climat de confiance bien établi peut être et sera souvent détourné à des fins malveillantes.
Ce qui est intéressant dans cette attaque, c'est l'utilisation par l'auteur de contenu généré par l'IA, d'autant plus que nous n'avons pas encore observé beaucoup d'exemples d'utilisation de l' (s'ouvre dans un nouvel onglet) dans le cadre d'attaques. Trend Micro souligne que cette attaque est toujours en cours et qu’elle devrait continuer à évoluer, les auteurs continuant à « utiliser des outils sophistiqués pour automatiser et perfectionner leurs attaques ».
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés par l' : (s'ouvre dans un nouvel onglet),et .
