Pour commencer ce tour d'horizon hebdomadaire, nous allons nous intéresser à BugSleep, une nouvelle porte dérobée que l'acteur étatique iranien MuddyWater utilise dans le cadre de sa dernière campagne. CTI se penche ensuite sur deux paquets malveillants qui ont récemment été identifiés dans le registre de paquets npm. Enfin, CTI mène une enquête sur l'acteur malveillant « Void Banshee », qui exploite actuellement une vulnérabilité récemment révélée dans le moteur de navigation MHTML de Microsoft afin de diffuser le logiciel de vol d'informations « Atlantida ».
1. MuddyWater déploie le logiciel malveillant BugSleep
L'acteur étatique iranien connu sous le nom d' u MuddyWater (, également appelé Mercury) utilise une nouvelle porte dérobée appelée BugSleep dans le cadre de sa dernière campagne.
BugSleep est conçu pour exécuter des commandes et transférer des fichiers entre le C2 et l'appareil compromis. Ce logiciel malveillant est toujours en cours de développement et fait l'objet de mises à jour régulières.
Comment MuddyWater utilise les leurres
Au cours de ses campagnes, MuddyWater envoie souvent des e-mails de hameçonnage de type « » ( ) à un grand nombre de cibles à partir d'un compte de messagerie piraté. Depuis le février 2024, Check Point a identifié plus de 50 e-mails de spear-phishing qui visaient plus de 10 secteurs différents et des centaines de destinataires.
Par exemple, un message trompeur visait les communes et les incitait à télécharger une nouvelle application personnalisée. D'autres arguments de vente étaient beaucoup plus génériques et comprenaient des invitations à des webinaires et à d'autres formations en ligne pouvant s'appliquer à plusieurs secteurs et régions.
La chaîne d'infection de MuddyWater
L'acteur utilise de manière abusive la plateforme de partage de fichiers Egnyte et intègre ses sous-domaines dans ses e-mails de hameçonnage.
Lorsque les victimes cliquent sur ces liens partagés, elles sont redirigées vers un site proposant un fichier à télécharger. L'archive contient le logiciel malveillant BugSleep.
Qu'est-ce que BugSleep ?
BugSleep est un nouveau logiciel malveillant que le groupe MuddyWater utilise depuis mai 2024.
BugSleep a partiellement remplacé l'utilisation intensive que faisait le groupe d'outils RMM légitimes. Check Point a déjà repéré plusieurs versions différentes de ce logiciel malveillant en circulation, chaque nouvelle version apportant des améliorations et des corrections de bogues.
Toutes les versions du logiciel malveillant commencent par plusieurs appels à l'API Sleep afin d'éviter d'être exécutées dans un bac à sable. La plupart des échantillons créent ensuite une tâche planifiée à des fins de persistance, qui garantit que le logiciel malveillant s'exécute toutes les 30 minutes.
Ce logiciel malveillant peut exécuter plusieurs commandes, notamment l'envoi du contenu d'un fichier au C2, l'écriture de contenu dans un fichier, la suppression, la création ou la consultation de l'état de la tâche de persistance, la mise à jour de la durée de veille, et bien d'autres encore.
L'un des échantillons analysés était également accompagné d'un chargeur personnalisé qui charge BugSleep en mémoire dans l'un des processus suivants : msedge.exe, opera.exe, chrome.exe, anydesk.exe, Onedrive.exe, powershell.exe.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
MuddyWater existe depuis au moins 2017 et ne cesse d'élargir ses techniques et son champ d'action.
Cette dernière campagne de MuddyWater révèle un changement d'orientation de la part de cet acteur. MuddyWater s'est toujours fortement appuyé sur l'utilisation de logiciels RMM légitimes pour conserver son accès à l'environnement.
Les recherches menées par Check Point révèlent que cet acteur expérimente de nouvelles méthodes de persistance et de nouveaux logiciels malveillants, ce qui laisse présager d'autres attaques à venir.
2. Des chercheurs ont découvert des fichiers malveillants dans le registre npm
Deux paquets malveillants de type « » ont récemment été identifiés sur le registre de paquets npm ; ils contenaient des fonctionnalités sophistiquées de commande et de contrôle dissimulées dans des fichiers image, qui étaient exécutées lors de l'installation du paquet.
Les deux paquets identifiés dans le cadre de cette campagne étaient tous deux des clones contrefaits de paquets AWS légitimes, disponibles sur et.
Les paquets npm malveillants
Les deux paquets malveillants sont les numéros img-aws-s3-object-multipart-copy et legacyaws-s3-object-multipart-copy.
Le premier paquet est une copie du paquet AWS officiel disponible sur GitHub. L'auteur de la menace a mis à jour le fichier index.js afin d'exécuter le script loadformat.js, un script supplémentaire qui a été ajouté au paquet malveillant.
Du traitement de l'image à l'exécution
Phylum (dont la technologie a été rachetée par Veracode en 2025 , mais qui est mentionnée ici sous son nom d'origine) a analysé Loadformat.js afin d'obtenir des informations supplémentaires et a constaté que chaque octet est analysé après la lecture du fichier image à partir du disque.
Une fois certains corps et certaines variables définis, tout ce que contient le script extrait du fichier image sera exécuté.
Commande et contrôle dans un fichier JPEG
Phylum a tenté de déterminer quel fichier exécutable se trouvait dans ces images. Ils ont identifié trois fichiers à la racine du dossier, à savoir logo1.jpg, logo2.jpg et logo3.jpg.
Phylum a découvert que le code enregistrait un nouveau client sur le serveur distant C2 en envoyant certaines informations, telles que le nom d'hôte et le type de système d'exploitation, à une adresse IP spécifique. Il créera ensuite une boucle permettant de récupérer les commandes du C2 toutes les cinq secondes.
Les commandes obtenues seront exécutées sur l'appareil, et les résultats seront renvoyés à l'acteur malveillant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ces deux paquets ont finalement été retirés de npm, mais seulement après avoir été accessibles au public pendant environ deux jours.
Les risques liés aux logiciels libres existeront probablement toujours, principalement parce que les acteurs malveillants savent à quel point les organisations dépendent fortement de nombreux logiciels et paquets libres. Cela est illustré par l'augmentation considérable du nombre de paquets malveillants publiés dans les dépôts open source au cours des dernières années.
Gardez à l'esprit que ces paquets étaient des clones de paquets légitimes et non des paquets légitimes qui avaient été infectés par un cheval de Troie. Il est important de faire preuve d'une extrême vigilance vis-à-vis des paquets open source et de prendre le temps de vérifier ce que l'on télécharge à partir des dépôts open source.
3. Void Banshee exploite une faille dans le MHTML de Microsoft
L'acteur malveillant « Void Banshee » exploite désormais une vulnérabilité récemment révélée dans le moteur de navigation MHTML de Microsoft afin de diffuser le logiciel de vol d'informations « Atlantida ».
Cette vulnérabilité a été exploitée dans le cadre d'une attaque en plusieurs étapes visant à accéder à des fichiers et à les exécuter via Internet Explorer (désactivé) à l'aide de MSHTML. Le logiciel de vol d'informations « Atlantida » de l' , accessible à l'adresse , vise à dérober des informations système et des données sensibles, telles que des mots de passe et des cookies.
La vulnérabilité
CVE-2024-38112 correspond à une vulnérabilité de type RCE dans MHTML. Cette vulnérabilité a été exploitée en tant que « zero-day » pour exécuter des fichiers via Internet Explorer (désactivé), à l'aide de MSHTML.
Cette vulnérabilité a été corrigée dans le « Patch Tuesday » d' juillet 2024 . On a constaté que Void Banshee exploitait cette vulnérabilité dans le cadre de sa chaîne d'infection à partir de la mi-mai 2024.
Utilisation d'Internet Explorer comme vecteur d'attaque
La prise en charge d'Internet Explorer a pris fin en juin 2022 et a été désactivée dans les versions ultérieures de Windows. Cela ne signifie toutefois pas qu'il ait été supprimé des systèmes. Des vestiges d'Internet Explorer subsistent encore sur les systèmes Windows, même s'ils ne sont ni accessibles ni visibles pour l'utilisateur lambda. Si un utilisateur venait à trouver le fichier « iexplorer.exe » et tentait de l'ouvrir, il serait simplement redirigé vers Microsoft Edge.
Dans le cadre de cette campagne « Void Banshee », selon Trend Micro, l'auteur de l'attaque a exploité la faille CVE-2024-38112 pour « lancer et exécuter des fichiers et des sites Web via le processus IE désactivé... par le biais de MSHTML ». Pour ce faire, l'attaquant a utilisé des fichiers URL spécialement conçus et a pu exécuter un fichier HTA directement via le processus IE désactivé.
Détails techniques
- Pour lancer l'attaque, l'auteur exploite des archives ZIP contenant des livres au format PDF ainsi que des fichiers malveillants se faisant passer pour des fichiers PDF.
- On les retrouve principalement dans les e-mails de spear phishing et sur les sites de partage de fichiers dans le cloud.
- L'attaque commence lorsqu'une victime clique sur le fichier de raccourci URL malveillant conçu pour exploiter cette vulnérabilité.
- Le fichier de raccourci Internet pointe vers un domaine contrôlé par un acteur malveillant, où un fichier HTML est utilisé pour télécharger la partie HTA de l'infection. Le fichier HTML peut également être utilisé par l'acteur pour masquer des informations relatives au navigateur.
- Lorsque vous accédez à cette URL via Internet Explorer, le navigateur tentera d'ouvrir le fichier HTA et vous demandera soit d'ouvrir, soit d'enregistrer l'application HTML. Pour l'utilisateur, cela se présente comme un fichier PDF classique.
- Le fichier contient un script VBScript qui déchiffre son contenu, puis l'exécute à l'aide de PowerShell. Un chargeur de cheval de Troie .NET est également exécuté afin de procéder à l'injection dans un processus. Au cours des étapes suivantes, le chargeur open source « Donut » est utilisé pour déchiffrer et exécuter le logiciel de vol « Atlantida », qui constitue la charge utile finale de l'attaque.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
À première vue, cette attaque peut sembler sans importance, car Internet Explorer n'est plus commercialisé. Toutefois, les cybercriminels peuvent toujours exploiter le navigateur et s'en servir pour infecter les utilisateurs et les organisations, comme le montre cette attaque.
Comme l'a expliqué Trend Micro, les groupes APT tels que Void Banshee peuvent exploiter des services désactivés, comme Internet Explorer, ce qui représente une menace importante pour les organisations. La faille a depuis été corrigée, mais la menace persiste pour ceux qui n'ont pas appliqué le correctif, pensant qu'Internet Explorer n'était pas installé sur leurs ordinateurs.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
