Dans le résumé de cette semaine, CTI enquête sur un réseau de travailleurs informatiques mondiaux opérant pour le compte du gouvernement nord-coréen. Ensuite, CTI explore comment les acteurs malveillants abusent des fonctionnalités légitimes du site Web pour fournir des spams. Enfin, le CTI conclut avec un aperçu de l’analyse de Recorded Future de 82 deepfakes identifiés entre juillet 2023 et juillet 2024.
Les travailleurs informatiques nord-coréens infiltrent les organisations mondiales grâce à l’emploi à distance
Mandiant suit activement un réseau de travailleurs informatiques internationaux qui opèrent pour le compte du gouvernement nord-coréen. Ces travailleurs recherchent un emploi auprès d’organisations de divers secteurs. Leurs principaux objectifs sont de gagner de l’argent, de maintenir un accès à long terme pour une exploitation future potentielle et de mener potentiellement l’espionnage. Mandiant suit le groupe en tant que UNC5267.
Qui est UNC5267 ?
UNC5267, actif depuis 2018, n’est pas un groupe de menaces centralisé traditionnel. Il se compose de personnes envoyées vivre en dehors de la Corée du Nord pour obtenir des emplois dans des entreprises occidentales, particulièrement intéressées par le secteur technologique américain.
Ces personnes utilisent généralement des identités volées pour postuler à des postes à temps plein ou sous-traitants. Ils ont tendance à postuler à des postes qui offrent 100 % d’opportunités de travail à distance. Mandiant a observé des cas où des travailleurs informatiques travaillent simultanément sur plusieurs postes.
Principales conclusions du rapport Mandiant
Mandiant a partagé les détails de certains de ses engagements de réponse aux incidents impliquant des informaticiens parrainés par la République populaire démocratique de Corée (DPRK). Ces engagements impliquaient principalement des travailleurs opérant dans le cadre de ce pour quoi ils ont été embauchés. Cependant, Mandiant a également observé certains cas où les travailleurs cherchaient un accès élevé pour modifier le code ou administrer les systèmes réseau.
[Lire également : Qu’est-ce que la sécurité Active Directory ? Risques et meilleures pratiques]
Mandiant a identifié de nombreux CV utilisés pour postuler à des postes à distance. Il existe des cas où l’adresse e-mail utilisée par un employé informatique suspecté a été précédemment observée dans d’autres instances liées à un employé informatique. En faisant pivoter cela, ils pouvaient identifier des CV supplémentaires qui semblaient similaires, mais utilisaient différents noms, numéros de téléphone, universités et autres informations d’identification.
Ces personnes expédient généralement leurs appareils appartenant à l’entreprise dans des fermes d’ordinateurs portables et y accèdent à distance pour s’acquitter de leurs responsabilités professionnelles. Ils utilisent les outils suivants pour se connecter aux appareils :
- GoToRemote / Se connecter
- GoToMeeting
- Bureau distant Chrome
- N’importe quelbureau
- TeamViewer
- Bureau de rouille
Actions recommandées
Mandiant recommande plusieurs actions pour éviter d’embaucher accidentellement des acteurs malveillants.
Voici quelques-uns de leurs conseils :
- Examiner soigneusement les candidats à un poste
- Vérification des numéros de téléphone
- Vérifier où l’ordinateur portable de l’entreprise est expédié
- Demande de vérification du numéro de série de l’ordinateur portable au moment de l’intégration informatique
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
De plus en plus de personnes ayant des liens avec la DPRK se font passer pour des travailleurs informatiques et cherchent un emploi auprès d’organisations mondiales pour mener des activités illicites.
Selon Mandiant, cette menace se poursuivra probablement, en particulier lorsque les acteurs développeront de nouvelles façons d’inciter les équipes RH et de recrutement à leur permettre de pénétrer dans ces environnements.
Mandiant résume bien cette menace :
Les doubles motivations qui sous-tendent leurs activités, à savoir atteindre les objectifs de l’État et rechercher des gains financiers personnels, les rendent particulièrement dangereuses.
Les cybercriminels exploitent l’infrastructure du site Web pour fournir des spams
Un nouveau rapport de Cisco Talos décrit comment les acteurs malveillants abusent des sites Web légitimes pour distribuer des spams.
L’infrastructure exploitée dans ces attaques est souvent utilisée à des fins légitimes, ce qui rend difficile le blocage de ces messages. Les chercheurs ont déterminé que cette activité a à la fois un aspect automatisé et humain et ont observé les informations d’identification de test de l’acteur obtenues via des violations de données.
Utilisation abusive des formulaires Web
Cisco Talos déclare que les acteurs malveillants abusent des formulaires Web pour contourner les filtres anti-spam. Par exemple, les sites qui permettent aux utilisateurs de s’inscrire à des comptes renvoient généralement des e-mails de confirmation aux utilisateurs. Les acteurs surchargent désormais les champs de « nom » avec du texte et des liens, et répondent avec du spam.
Cela est également observé avec les formulaires d’inscription aux événements et les formulaires de contact. Les acteurs utilisent également des formulaires web liés aux quiz Google et à d’autres applications.
Informations d’identification enfreintes
En plus d’abuser des formulaires Web, les acteurs malveillants exploitent les informations d’identification compromises pour envoyer des spams. Par exemple, les acteurs utiliseront des informations d’identification volées pour essayer d’accéder au compte de messagerie d’une victime. L’accès direct au compte de messagerie les conduira souvent à d’autres informations sensibles et leur permettra de recevoir des codes d’authentification multifacteurs via ce compte de messagerie.
Certains acteurs ont également été observés en utilisant des informations d’identification pour accéder aux serveurs SMTP sortants. À partir de là, ils peuvent envoyer des messages à l’aide de leur serveur et des e-mails provenant d’un serveur de messagerie légitime qui ne sera probablement pas bloqué. Les acteurs créeront un compte de messagerie personnel/test et s’enverront des messages de test à l’aide des informations d’identification volées pour confirmer que cela fonctionne.
Il existe également de nombreux outils open source disponibles que les acteurs peuvent utiliser pour y parvenir. L’un des outils les plus courants est MadCat, un outil SMTP open source avec des capacités de remplissage des informations d’identification.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
De nombreuses stratégies que les acteurs malveillants utilisent pour abuser des formulaires Web impliquent l’envoi de messages inattendus, tels que l’inscription aléatoire ou les confirmations d’événements. Les utilisateurs finaux doivent examiner attentivement s’ils attendent des messages de la part des expéditeurs avant de les ouvrir.
Ceci est également un rappel pour utiliser une bonne hygiène des mots de passe. Les cybercriminels tirent généralement parti des informations d’identification compromises pendant les attaques. La création de mots de passe forts peut rendre plus difficile l’accès aux comptes privés.
Recorded Future met en lumière les contrefaits politiques
Le dernier rapport de Recorded Future analyse 82 deepfakes collectés entre juillet 2023 et juillet 2024. Les faux profonds se font passer pour des personnalités publiques, y compris des élus, des candidats aux élections et des journalistes de 38 pays.
Selon le rapport, les objectifs les plus courants sont de promouvoir les escroqueries financières et de fabriquer des déclarations inauthentiques.
Principales cibles contrefaites
Les chercheurs ont identifié des faux profonds qui usurpaient l’identité de personnes de 38 pays différents, ceux de l’UE étant les plus fréquemment usurpés.
Les personnes usurpées d’identité ont été résumées en quatre catégories : chefs d’État et chefs de gouvernement, candidats aux élections, élus et membres des médias.
Objectifs factices
Les cybercriminels ciblent les individus avec des faux profonds pour plusieurs raisons. Certains le font pour un gain financier, qui se produit souvent lorsque les chiffres usurpés approuvent des stratagèmes frauduleux. Une autre raison est simplement d’induire le public en erreur en créant des déclarations et des approbations fausses ou extrêmes.
Recorded Future a constaté que 26,8 % des faux profonds ciblant des personnalités publiques au cours de l’année dernière l’ont fait pour un gain financier, tandis que 25,6 % des incidents se sont avérés tromper le public en créant de fausses déclarations.
Tactiques de contrefaçon profonde émergentes
Recorded Future a identifié quelques tactiques émergentes à partir de leur analyse :
- Tirer parti de tiers anonymes comme sujets pour masquer leurs activités de la détection
- Cibler les utilisateurs vulnérables en dehors des réseaux sociaux avec des deepfakes
- Créer des superpositions à partir de médias et imiter des sources authentiques
- Faire des faux profonds de leaders étrangers
- Se faire passer pour des membres de la famille de personnalités publiques pour promouvoir ou discréditer des dirigeants politiques
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les acteurs malveillants créent de plus en plus de faux profonds et les utilisent en conjonction avec les événements actuels, comme les élections. Cette tendance est susceptible de se poursuivre.
Les organisations sont encouragées à établir des stratégies de réponse et d’atténuation solides pour faire face à cette nouvelle menace. Comprendre comment identifier et gérer une contrefaçon profonde est essentiel dans cette nouvelle ère de la désinformation basée sur l’IA.
Recorded Future offre d’excellents conseils d’atténuation approfondis, y compris quelques questions que vous pouvez poser pour aider à les identifier.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
