Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur une cybermenace émanant d'un acteur identifié sous le nom de « Marbled Dust ». Notre équipe CTI attire ensuite votre attention sur une campagne de hameçonnage sophistiquée qui exploite le logiciel malveillant Horabot. Enfin, l'équipe examine une évolution récente du comportement de ciblage de l'acteur malveillant TA406, soutenu par l'État nord-coréen.
Marbled Dust exploite une vulnérabilité « zero-day » dans Output Messenger
Microsoft a récemment publié (s'ouvre dans un nouvel onglet) des informations concernant une cybermenace émanant d'un acteur malveillant identifié sous le nom de « Marbled Dust ».
Selon Microsoft, le pirate a exploité une vulnérabilité « zero-day » de type « » (CVE-2025-27920) dans l'application Output Messenger. Jusqu’à présent, cette faille de sécurité a principalement visé des comptes d’utilisateurs en Irak à des fins d’espionnage régional.
Ce qu'il faut savoir sur la poussière marbrée
« Marbled Dust » est un acteur malveillant spécialisé dans l'espionnage, lié à la Turquie, connu pour cibler des organisations en Europe et au Moyen-Orient.
Ce groupe a eu recours à des techniques telles que le détournement de DNS et des logiciels malveillants sophistiqués, ciblant des organismes gouvernementaux, des groupes politiques kurdes, des opérateurs de télécommunications, des fournisseurs d'accès à Internet, des prestataires de services informatiques, ainsi que des médias et des entreprises du secteur du divertissement.
Récemment, Marbled Dust a commencé à exploiter des vulnérabilités « zero-day » pour diffuser des fichiers malveillants et exfiltrer des données depuis les comptes ciblés.
En quoi consiste la vulnérabilité « zero-day » d'Output Messenger ?
L'application « Output Messenger Server Manager » comporte une vulnérabilité de parcours de répertoires qui permet à un utilisateur non authentifié de télécharger des fichiers dans le répertoire de démarrage.
Comme le souligne Microsoft, dès lors que l’attaquant a accédé au serveur, il peut « exploiter l’architecture du système Output Messenger pour accéder sans restriction aux communications de chaque utilisateur, voler des données sensibles et usurper l’identité des utilisateurs, ce qui pourrait entraîner des perturbations opérationnelles, des accès non autorisés aux systèmes internes et la compromission généralisée des identifiants ». Cette vulnérabilité concerne les versions antérieures à la version 2,0,63.
Microsoft a identifié cette vulnérabilité « zero-day » et en a informé Srimax, le développeur d'Output Messenger, qui a ensuite publié une mise à jour logicielle. Une autre vulnérabilité (CVE-2025-27921) a également été identifiée et corrigée, bien qu'elle n'ait pas fait l'objet d'une exploitation.
Comment fonctionne la chaîne d'attaques de Marbled Dust ?
- Accès à Output Messenger : La chaîne d'attaque lancée par l'acteur malveillant « Marbled Dust » commence par l'obtention d'un accès à l'application « Output Messenger Server Manager » en tant qu'utilisateur authentifié. Bien que la méthode exacte utilisée pour obtenir ces identifiants ne soit pas entièrement connue, Microsoft estime que Marbled Dust utilise probablement le détournement DNS ou des domaines de type « typosquatting » pour intercepter, enregistrer et réutiliser les identifiants. Ces techniques ont été observées lors de leurs activités malveillantes antérieures.
- Exploitation CVE-2025-27920 : Une fois authentifié, Marbled Dust exploite la vulnérabilité CVE-2025-27920 . Cette vulnérabilité permet à un utilisateur authentifié de placer des fichiers malveillants dans le répertoire de démarrage du serveur. L'auteur de la menace place les fichiers malveillants « OM.vbs » et « OMServerService.vbs » dans le dossier de démarrage du serveur Output Messenger, puis place le fichier OMServerService.exe dans le répertoire « Users/public/videos » du serveur.
- Appel de OM.vbs : L'attaque se poursuit lorsque OMServerService.vbs appelle « OM.vbs », qui est ensuite transmis à « OMServerService.exe » en tant qu'argument. Le fichier « OM.vbs » n'était pas disponible pour analyse. Cependant, le fichier « OMServerService.exe » a été identifié comme une porte dérobée GoLang se faisant passer pour un fichier légitime. Dans certains cas, Microsoft a constaté que le processus « OMServerService.exe » se connectait à un domaine codé en dur, « api.wordinfos[.]com », dans le but d'exfiltrer des données.
- Déploiement d'un fichier exécutable : Côté client, le programme d'installation extraira et exécutera le fichier légitime ainsi qu'un fichier exécutable malveillant. Le fichier exécutable malveillant est une porte dérobée qui établit une connexion avec un serveur de commande et de contrôle (C2).
- Exfiltration de données : Dans au moins un cas observé, un appareil de la victime équipé du logiciel client « Output Messenger » a été vu en train de se connecter à une adresse IP attribuée à l'acteur, probablement dans le but d'exfiltrer des données. Microsoft souligne que ces connexions coïncident avec le fait que l'auteur de la menace envoie des commandes visant à rassembler des fichiers portant diverses extensions dans un fichier RAR sur le bureau.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Microsoft souligne que le recours à une faille « zero-day » marque un tournant notable pour Marbled Dust, ce qui indique que ce groupe gagne en sophistication.
Bien que cette attaque vise principalement l'Irak, ce groupe a déjà pris pour cible des entités dans d'autres pays, ce qui rend l'évolution de ses capacités d'autant plus préoccupante.
Comme toujours, Microsoft a inclus des recommandations (s'ouvre dans un nouvel onglet), des détections et des requêtes de recherche pour vous aider à identifier cette menace.
Une campagne de hameçonnage sophistiquée utilise le logiciel malveillant Horabot
Selon Fortinet (s'ouvre dans un nouvel onglet), une campagne de hameçonnage sophistiquée utilise désormais le logiciel malveillant Horabot.
On sait que ce logiciel malveillant utilise des e-mails de hameçonnage qui se font passer spécifiquement pour des factures ou des documents financiers. Horabot utilise l'automatisation COM d'Outlook pour envoyer des messages de hameçonnage, ce qui lui permet de se déplacer latéralement .
Que contient cet e-mail de hameçonnage ?
L'attaque « » commence par un e-mail de hameçonnage contenant une pièce jointe ; ces deux éléments sont rédigés en espagnol.
Cet e-mail prétend provenir d'un expéditeur légitime situé au Mexique et utilise un objet faisant référence à une facture jointe. La pièce jointe, qui se présente comme une facture au format PDF devant être ouverte, est en réalité un fichier ZIP contenant un fichier HTML malveillant.
Les données décodées contenues dans le fichier HTML constituent elles-mêmes un fichier HTML qui nécessite une URL distante pour télécharger la charge utile suivante, à savoir un fichier ZIP. Ce fichier ZIP contient un fichier HTA comportant de nombreuses chaînes de caractères inutilisées ainsi qu'une balise « moveTo(7426, 6245) » permettant de repositionner la fenêtre du navigateur. Il charge ensuite un script permettant d'injecter un VBScript externe, qui est ajouté à la fin de l'élément HTML.
Comprendre le rôle de VBScript
Comme le souligne Fortinet, le script VBScript mettra en œuvre une « routine personnalisée de décodage de chaînes de caractères consistant à traiter deux caractères à la fois, à effectuer des transformations mathématiques et à reconstituer des chaînes cachées, telles que des URL, des commandes PowerShell ou d’autres instructions ». La première tâche principale du script consiste à détecter l'environnement et à le contourner, ce qui inclut la vérification de la présence d'antivirus, la vérification des machines virtuelles et le contournement spécifique des appareils portant le nom « JOHN-PC ».
Le script s'assurera également que le dossier nécessaire pour empêcher toute réinfection existe, collectera et exfiltrera les informations de base sur la victime, préparera l'exécution d'AutoIt en téléchargeant les charges utiles, et préparera l'exécution de PowerShell en créant un script batch. Le script assurera la persistance du système en supprimant certains types de fichiers des dossiers « %Startup% » et « %AppData% », puis en créant un nouveau fichier LNK pointant vers des fichiers cachés qui ont été déposés. Enfin, il exécutera les raccourcis créés.
À quoi servent le script AutoIt et le cheval de Troie bancaire ?
Le script AutoIt, utilisé pour le déchiffrement, révèle la présence d'une DLL malveillante conçue pour collecter des informations sur l'ordinateur de la victime et transmettre ces données au serveur C2 . Le logiciel malveillant vole ensuite des données relatives au navigateur et les transmet vers le serveur distant. Horabot surveillera également le comportement des victimes, en affichant de fausses fenêtres contextuelles conçues pour dérober des identifiants.
Comment Horabot automatise ses campagnes d'e-mails massives
Un script cible issu du VBScript précédent a pour but d'exécuter des scripts supplémentaires sur le serveur distant. Comme l'explique Fortinet, ces fichiers « permettent de mener à bien l'ensemble du processus, depuis la constitution d'une liste de victimes jusqu'à l'automatisation des e-mails, en passant par la diffusion efficace de la charge utile Horabot ». Le logiciel malveillant fermera les instances d'Outlook en cours d'exécution afin de s'assurer qu'il puisse lancer le programme à l'aide d'un objet COM. Après avoir créé un objet « Outlook.Application », celui-ci initialise une liste vide destinée à recueillir les adresses e-mail et définit une liste de domaines bloqués.
Un autre script établira ensuite une liste d'adresses e-mail, tandis qu'un autre script enregistrera les adresses collectées et les enverra à un serveur externe. D'autres scripts créeront et enverront un e-mail contenant de fausses factures, puis supprimeront les fichiers correspondants. Ce logiciel malveillant utilise également Outlook pour se propager à d'autres victimes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Horabot utilise Outlook pour se fondre dans le comportement habituel, ce qui le distingue des autres types de logiciels malveillants. Cela rend son identification plus difficile.
Comme toujours en matière de hameçonnage, la sensibilisation des utilisateurs est essentielle, d'autant plus que cette campagne utilise des techniques d'hameçonnage courantes et traditionnelles.
TA406 modifie son approche en matière de ciblage
Un article de blog récent publié par Proofpoint (s'ouvre dans un nouvel onglet) met en évidence un changement significatif dans le comportement de ciblage du groupe TA406.
Proofpoint indique que le groupe « TA406 » utilise désormais des expéditeurs de messagerie gratuite qui usurpent l'identité de personnes légitimes afin d'inciter la victime à interagir avec le leurre. Depuis le février 2025, ce groupe utilise des techniques de collecte d'identifiants et divers logiciels malveillants dans le cadre de ses campagnes de hameçonnage.
En février, l'unité TA406 a également commencé à cibler des entités gouvernementales en Ukraine afin de recueillir des renseignements sur la campagne menée par la Russie.
Comment fonctionne la diffusion du malware TA406 ?
TA406 a toujours privilégié l'utilisation de fichiers HTML et CHM pour exécuter PowerShell intégré et déployer des logiciels malveillants. Dans l'article « février 2025 », Proofpoint a constaté que l'acteur se faisait passer pour un faux chercheur senior affilié à un faux groupe de réflexion. L'e-mail comportait un lien vers le service d'hébergement de fichiers MEGA, permettant aux utilisateurs de télécharger un fichier protégé par un mot de passe. Ce fichier est une archive RAR qui, une fois déchiffrée et exécutée, déclenchera la chaîne d'infection en utilisant PowerShell à des fins de reconnaissance. Le groupe a envoyé plusieurs e-mails de hameçonnage à la suite pendant plusieurs jours, après que la victime visée n'ait pas cliqué sur le lien initial.
L'archive contient un fichier CHM qui inclut des fichiers HTML supplémentaires. Les fichiers HTML afficheront le contenu de l'appât à l'intention de la victime visée. Un script PowerShell intégré au code HTML s'exécutera si la victime clique à différents endroits de cette page. Cela permettra de télécharger et d'exécuter d'autres scripts PowerShell afin de recueillir des informations sur l'ordinateur de la victime.
Les informations recueillies sont ensuite transmises à l'attaquant. Afin d'assurer la persistance, l'acteur malveillant installe ensuite un fichier batch (configuré comme fichier à exécution automatique), qui se lance au démarrage.
Le cours « TA406 » permet-il d'acquérir des qualifications ?
Avant que le groupe ne lance ses campagnes de logiciels malveillants, Proofpoint a constaté que l'acteur tentait d'obtenir des identifiants en envoyant de fausses alertes de sécurité Microsoft.
Ces e-mails de hameçonnage visent à inciter la victime à cliquer sur un lien afin de vérifier son identité. Les chercheurs n'ont pas encore réussi à mettre la main sur la page de phishing utilisée pour dérober les identifiants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La dernière opération menée par le groupe TA406 souligne l'importance que celui-ci continue d'accorder au renseignement géopolitique. Ce changement d'orientation dans le choix de ses cibles, passant des entités gouvernementales russes aux entités gouvernementales ukrainiennes, pourrait laisser entrevoir un réajustement des priorités de la Corée du Nord en matière de renseignement.
Ce qui est intéressant, c'est le recours à de faux personnages issus de faux groupes de réflexion, plutôt que d'essayer d'usurper l'identité de personnes réelles.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
