Dans le tour d'horizon de cette semaine, CTI enquête sur un réseau de professionnels de l'informatique du monde entier agissant pour le compte du gouvernement nord-coréen. Dans la suite de cet article, CTI examine comment les auteurs de menaces exploitent les fonctionnalités légitimes des sites web pour diffuser du spam. Enfin, CTI conclut en se penchant sur l'analyse réalisée par Recorded Future portant sur 82 deepfakes d' (s'ouvre dans un nouvel onglet) , identifiés entre juillet 2023 et juillet 2024.
Des informaticiens nord-coréens s'infiltrent dans des organisations internationales grâce au télétravail
Mandiant surveille de près (s'ouvre dans un nouvel onglet) , un réseau de professionnels de l'informatique du monde entier agissant pour le compte du gouvernement nord-coréen. Ces travailleurs recherchent un emploi au sein d'organisations issues de divers secteurs d'activité. Leurs principaux objectifs sont de générer des profits, de préserver un accès à long terme en vue d'une éventuelle exploitation future et, éventuellement, de mener des activités d'espionnage. Mandiant attribue le numéro UNC5267 à ce groupe.
Qui est UNC5267 ?
Le groupe « UNC5267 », actif depuis 2018, n'est pas un groupe malveillant centralisé au sens traditionnel du terme. Ce groupe est composé de personnes envoyées vivre hors de Corée du Nord afin d'obtenir des emplois dans des entreprises occidentales, notamment dans le secteur technologique américain.
Ces personnes utilisent généralement des identités volées pour postuler à des postes à temps plein ou en tant que prestataires indépendants. Ils ont tendance à postuler à des postes proposant des possibilités de télétravail à 100 %. Mandiant a constaté des cas où des professionnels de l'informatique exercent plusieurs emplois simultanément.
Principales conclusions du rapport de Mandiant
Mandiant a communiqué des informations concernant certaines de ses interventions en matière de gestion des incidents impliquant des informaticiens soutenus par la République populaire démocratique de Corée (RPDC). Ces missions concernaient principalement des salariés exerçant leurs fonctions dans le cadre des missions pour lesquelles ils avaient été embauchés. Cependant, Mandiant a également constaté certains cas où des employés ont cherché à obtenir des droits d'accès privilégiés afin de modifier du code ou d'administrer des systèmes réseau.
Mandiant a identifié de nombreux CV utilisés pour postuler à des postes à distance. Il arrive que l'adresse e-mail utilisée par un employé du secteur informatique soupçonné ait déjà été identifiée dans d'autres affaires impliquant des employés de ce secteur. Partant de là, ils ont pu identifier d'autres CV qui semblaient similaires mais qui comportaient des noms, des numéros de téléphone, des universités et d'autres informations différentes.
Ces personnes envoient généralement leurs appareils appartenant à l'entreprise vers des parcs informatiques et y accèdent à distance pour s'acquitter de leurs tâches professionnelles. Ils utilisent les outils suivants pour se connecter aux appareils :
- GoToRemote / LogMeIn
- GoToMeeting
- Chrome Remote Desktop
- AnyDesk
- TeamViewer
- RustDesk
Mesures recommandées
Mandiant recommande plusieurs mesures à prendre pour éviter d'embaucher par inadvertance des acteurs malveillants.
Voici quelques-uns de leurs conseils :
- Examiner minutieusement les candidats à un poste
- Vérification des numéros de téléphone
- Vérifier la destination de l'ordinateur portable de l'entreprise
- Demande de vérification du numéro de série de l'ordinateur portable lors de la mise en service informatique
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
De plus en plus de personnes ayant des liens avec la RPDC se font passer pour des professionnels de l'informatique et cherchent à être embauchées par des organisations internationales afin de mener des activités illicites.
Selon Mandiant, cette menace devrait perdurer, d’autant plus que les cybercriminels mettent au point de nouvelles méthodes pour tromper les équipes des ressources humaines et de recrutement afin qu’elles leur permettent de s’infiltrer dans ces environnements.
Mandiant résume très bien cette menace :
La double motivation qui sous-tend leurs activités — la réalisation des objectifs de l'État et la recherche d'enrichissement personnel — les rend particulièrement dangereux.
Les cybercriminels exploitent l'infrastructure des sites web pour diffuser du spam
Un nouveau rapport de Cisco Talos, intitulé « » ( ) (s'ouvre dans un nouvel onglet) , explique comment les auteurs de menaces exploitent des sites Web légitimes pour diffuser du spam.
L'infrastructure exploitée dans le cadre de ces attaques est souvent utilisée à des fins légitimes, ce qui rend difficile le blocage de ces messages. Les chercheurs ont établi que cette activité comportait à la fois un volet automatisé et un volet humain, et ont observé que l'auteur testait les identifiants obtenus à la suite de fuites de données.
Exploitation abusive des formulaires Web
Cisco Talos indique que les auteurs de menaces exploitent les formulaires Web pour contourner les filtres anti-spam. Par exemple, les sites qui permettent aux utilisateurs de créer un compte envoient généralement des e-mails de confirmation à ces derniers. Les acteurs surchargent désormais les champs « nom » avec du texte et des liens, et répondent par du spam.
On observe le même phénomène avec les formulaires d'inscription à des événements et les formulaires de contact. Les acteurs utilisent également des formulaires en ligne liés aux quiz Google et à d'autres applications.
Identifiants compromis
Outre l'exploitation abusive des formulaires Web, les cybercriminels utilisent des identifiants piratés pour envoyer des spams. Par exemple, les cybercriminels utilisent des identifiants volés pour tenter d'accéder au compte de messagerie d'une victime. L'accès direct au compte de messagerie leur permettra souvent d'accéder à d'autres informations sensibles et leur permettra de recevoir des codes d'authentification à plusieurs facteurs (s'ouvre dans un nouvel onglet) via ce compte de messagerie.
On a également constaté que certains acteurs utilisaient des identifiants pour accéder à des serveurs SMTP sortants. À partir de là, ils peuvent envoyer des messages via leur serveur et des e-mails provenant d'un serveur de messagerie légitime, qui ne risquent pas d'être bloqués. Les acteurs créeront un compte de messagerie personnel ou de test et s'enverront des messages d'essai à l'aide des identifiants volés afin de vérifier que le système fonctionne.
Il existe également de nombreux outils open source que les acteurs peuvent utiliser à cette fin. L'un des outils les plus courants est MadCat, un outil SMTP open source doté de fonctionnalités de « credential stuffing ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bon nombre des stratégies utilisées par les cybercriminels pour exploiter les formulaires Web consistent à envoyer des messages inattendus, tels que des confirmations d'inscription ou d'événements aléatoires. Les utilisateurs finaux doivent vérifier attentivement s'ils attendent des messages de la part des expéditeurs avant de les ouvrir.
Ceci est également un rappel de l'importance d'utiliser , de respecter les bonnes pratiques en matière de mots de passe (s'ouvre dans un nouvel onglet). Les cybercriminels exploitent souvent des identifiants piratés lors de leurs attaques. La création de mots de passe forts peut leur compliquer la tâche lorsqu'ils tentent d'accéder à des comptes privés.
Recorded Future met en lumière les « deepfakes » politiques
Le dernier rapport de Recorded Future, intitulé « » (s'ouvre dans un nouvel onglet) , analyse 82 deepfakes recueillis sur les sites juillet 2023 et juillet 2024. Ces « deepfakes » imitent des personnalités publiques, notamment des élus, des candidats aux élections et des journalistes issus de 38 pays.
Selon ce rapport, les objectifs les plus courants consistent à promouvoir des escroqueries financières et à inventer des déclarations mensongères.
Les principales cibles des deepfakes
Des chercheurs ont identifié des « deepfakes » usant de l'identité de personnes issues de 38 pays différents, celles originaires de l'Union européenne étant les plus fréquemment visées.
Les personnes visées ont été regroupées en quatre catégories : chefs d'État et de gouvernement, candidats aux élections, élus et membres des médias.
Objectifs du deepfake
Les cybercriminels ciblent des particuliers à l'aide de « deepfakes » pour plusieurs raisons. Certains le font dans un but lucratif, ce qui arrive souvent lorsque les personnalités dont l'identité est usurpée cautionnent des manœuvres frauduleuses. Une autre raison consiste tout simplement à induire le public en erreur en diffusant des déclarations et des témoignages de soutien mensongers ou extrêmes.
Recorded Future a constaté que 26,8 % des « deepfakes » visant des personnalités publiques au cours de l'année écoulée avaient pour but d'en tirer un profit financier, tandis que 25,6 % des incidents visaient à induire le public en erreur en diffusant de fausses informations.
Les nouvelles tactiques en matière de deepfakes
Recorded Future a mis en évidence quelques tactiques émergentes à l'issue de son analyse :
- Utiliser des tiers anonymes comme intermédiaires afin de dissimuler leurs activités et d'empêcher leur détection
- Cibler les utilisateurs vulnérables en dehors des réseaux sociaux à l'aide de deepfakes
- Créer des superpositions à partir de contenus médiatiques et imiter des sources authentiques
- La création de « deepfakes » représentant des dirigeants étrangers
- Se faire passer pour des membres de la famille de personnalités publiques afin de promouvoir ou de discréditer des dirigeants politiques
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs malveillants créent de plus en plus de « deepfakes » et les exploitent en lien avec l'actualité, notamment lors d'élections. Cette tendance devrait se poursuivre.
Les organisations sont invitées à mettre en place des stratégies solides de réaction et d'atténuation face à l' (s'ouvre dans un nouvel onglet) afin de faire face à cette nouvelle menace. Il est essentiel de savoir comment identifier et gérer un « deepfake » dans cette nouvelle ère où l’IA permet la diffusion d’ s trompeuses (s’ouvre dans un nouvel onglet).
Recorded Future propose d'excellents conseils pour lutter contre les deepfakes, disponibles sur (s'ouvre dans un nouvel onglet), notamment des questions que vous pouvez poser pour vous aider à les identifier.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés par l' : (s'ouvre dans un nouvel onglet),et .
