Dans son tour d'horizon de cette semaine, CTI s'intéresse à une plateforme de « phishing-as-a-service » (PhaaS) baptisée ONNX, qui cible désormais 365 comptes Microsoft dans le secteur financier. Par la suite, CTI fait le point sur un acteur malveillant suivi sous le nom de « Boolka », qui pirate des sites web afin de diffuser un cheval de Troie appelé « BMANAGER ». Enfin, CTI conclut par un aperçu de « SneakyChef », un acteur malveillant jusqu’alors inconnu, lié à une campagne de cyberespionnage visant des entités gouvernementales.
1. ONNX Store s'adresse au secteur financier
Une plateforme de phishing-as-a-service (PhaaS) de type « » ( ), connue sous le nom de « » (ONNX Store : ), cible les comptes Microsoft 365 . Ces attaques visent actuellement les employés d'entreprises du secteur financier et utilisent des codes QR de type « » intégrés dans des pièces jointes au format PDF.
ONNX Store augmente ses chances de réussite en intégrant un mécanisme de contournement de l' , intitulé « 2FA » ( ), qui interceptera les requêtes provenant de ses victimes. EclecticIQ estime que l'acteur malveillant à l'origine de la plateforme PhaaS « ONNX Store » est le même que celui derrière le kit « Caffeine » et qu'il pourrait s'agir d'un changement de nom de cette plateforme. En 2023, le créateur du kit « Caffeine » avait annoncé qu'il allait changer de nom et avait indiqué qu'il était désormais disponible sous le nom « ONNX STORE ». Cette refonte vise à renforcer la sécurité opérationnelle (OPSEC) des acteurs, car Caffeine s'appuyait jusqu'à présent sur un seul serveur web partagé pour gérer l'ensemble des campagnes.
ONNX permet aux acteurs de gérer leurs campagnes via des bots Telegram et dispose d'un canal d'assistance supplémentaire. EclecticIQ a identifié des bots utilisés pour récupérer des codes 2FA , obtenir des identifiants Microsoft Office 365 , permettre aux acteurs malveillants de contrôler un serveur de messagerie Web afin d’envoyer des e-mails de hameçonnage à l’adresse , ainsi que pour effectuer des paiements, suivre leurs commandes, générer des e-mails de hameçonnage et des leurres d’ingénierie sociale, et bénéficier d’un hébergement sécurisé.
Selon EclecticIQ, ONNX Store utilise Cloudflare pour « retarder le processus de suppression des domaines de hameçonnage ».
La boutique ONNYX et le « phishing » par QR code
À l'instar de nombreux autres services de hameçonnage actuels, ONNX Store utilise désormais des codes QR pour mener ses attaques.
Ce service de hameçonnage diffusera des documents PDF contenant un code QR. Ces fichiers PDF prétendent souvent porter sur des mises à jour salariales, des guides à l'intention des salariés et d'autres sujets liés aux ressources humaines.
En scannant le code QR, la victime sera redirigée vers un site de hameçonnage contrôlé par l'auteur de la menace. Cette page a pour but de dérober des identifiants de connexion et des codes 2FA .
ONNX Store et JavaScript
ONNX Store utilise du code JavaScript chiffré qui se déchiffre automatiquement lors du chargement de la page. Cette technique offre une protection supplémentaire, notamment contre les scanners anti-hameçonnage. Le code JavaScript déchiffré sert à voler les 2FA jetons saisis par la victime.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
ONNX Store présente bon nombre de fonctionnalités et de capacités similaires à celles d'autres kits de phishing disponibles sur le marché ; la question de savoir s'il va réellement s'imposer reste donc ouverte.
À l'heure actuelle, les chercheurs n'ont observé que des attaques menées à l'aide de ce kit contre des entreprises du secteur financier. Cela pourrait changer, compte tenu de l'attention accrue que les créateurs accordent désormais au renforcement de la sécurité opérationnelle (OPSEC) pour leurs utilisateurs. De plus, leur utilisation des codes QR témoigne de leur volonté de rester à la page face à l'évolution des menaces.
2. Boolka déploie le cheval de Troie BMANAGER par le biais d'attaques SQLi
Un acteur malveillant, identifié sous les noms d' , Boolka et , s'attaque actuellement à des sites web vulnérables afin d'y implanter un cheval de Troie appelé BMANAGER.
Selon Group-IB, cet acteur mène, depuis au moins 2022, des attaques par injection SQL opportunistes dans plusieurs pays, dans le but de collecter et d'exfiltrer les données saisies par les utilisateurs. La campagne redirige les utilisateurs vers une page de destination qui les invite à télécharger et à installer une extension de navigateur qui est en réalité le cheval de Troie BMANAGER.
Attaques Web impliquant Boolka
Boolka infecte des sites web avec du code JavaScript malveillant depuis 2022. Lorsqu'un utilisateur se rend inévitablement sur l'un des sites infectés, le script se télécharge et s'exécute. Le script enverra tout d'abord une requête au serveur de Boolka pour l'informer qu'il a été exécuté. Il procède ensuite à la collecte des données saisies par les utilisateurs sur le site et exfiltre les informations ainsi recueillies.
Une version mise à jour de ce script, comportant quelques modifications, a récemment été découverte. Par exemple, il va désormais vérifier si un élément div spécifique portant l'identifiant « hookwork » existe, et en créera un s'il n'est pas présent. La nouvelle version comprend également des contrôles supplémentaires permettant d'empêcher l'envoi de certaines propriétés spécifiques au serveur.
Diffusion de logiciels malveillants
Une page d'accueil découverte en janvier serait, selon les dernières informations, un test de la plateforme de diffusion de logiciels malveillants de Boolka. Cette plateforme repose sur un outil open source appelé BeEF. Boolka a créé trois domaines différents pour ses pages d'accueil, mais n'en a utilisé qu'un seul, d'après ce que nous avons pu constater.
Dans l'article « mars 2024 », Group-IB a observé pour la première fois la plateforme de diffusion de Boolka en conditions réelles. Cette plateforme sert à diffuser le programme de téléchargement BMANAGER.
Logiciels malveillants
Group-IB a découvert plusieurs échantillons de logiciels malveillants, qui utilisaient tous le dropper BMANAGER comme point de départ. On a également constaté que Boolka utilisait BMANAGER, le téléchargeur BMANAGER, BMREADER pour l'exfiltration de données, BMLOG pour l'enregistrement des frappes clavier, BMHOOK pour l'enregistrement des applications en cours d'exécution sur lesquelles le clavier est actif, et BMBACKUP pour le vol de fichiers.
Programme de téléchargement BMANAGER
Le programme de téléchargement tente de télécharger et d'exécuter le logiciel malveillant BMANAGER. Le logiciel malveillant est téléchargé à partir d'une URL codée en dur dans le dropper, via une requête HTTP GET. Il assure sa persistance grâce à des tâches Windows qui lancent le logiciel malveillant dès qu'un utilisateur se connecte.
BMANAGER
Le logiciel malveillant télécharge lui-même des fichiers à partir d'une adresse C2 codée en dur. Il permettra de créer des tâches de démarrage, de supprimer des tâches de démarrage et d'exécuter divers fichiers exécutables. Lors de son premier démarrage, le logiciel malveillant s'enregistre auprès du C2 à l'aide d'un GUID généré aléatoirement, qui est stocké dans une base de données SQL. Il va tenter d'obtenir, à partir de la liste C2 , une liste des applications qu'il devrait cibler.
Le logiciel malveillant récupérera ensuite d'autres fichiers exécutables à partir du C2. Il s'agit notamment de BMREADER, BMLOG, BMHOOK et BMBACKUP. La plupart des échantillons de logiciels malveillants utilisaient une base de données SQL locale qui était intégrée de manière fixe dans les échantillons.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Depuis sa première attaque, Boolka a considérablement fait évoluer ses tactiques, techniques et procédures (TTP) : alors qu'il se contentait auparavant de mener des attaques par injection SQL de nature opportuniste, il s'est désormais tourné vers la création d'une plateforme complète de diffusion de logiciels malveillants et de logiciels malveillants sur mesure.
Cet acteur s'avère constituer une menace redoutable ; il est donc surprenant que ses activités n'aient pas fait l'objet d'une couverture médiatique très importante. Par ailleurs, la pratique consistant à recourir à des attaques par injection SQL pour voler des données sensibles semble faire son retour.
3. SneakyChef déploie SpiceRAT et SugarGh0st
SneakyChef est désormais associé à une campagne de cyberespionnage visant des entités gouvernementales. Cet acteur malveillant, jusqu’alors inconnu, utilise des documents numérisés provenant d’organismes publics comme appâts et a été observé en train d’utiliser « SugarGh0st » ainsi que le logiciel malveillant SpiceRAT dans le cadre de ses campagnes.
À propos de SneakyChef
Cisco Talos a identifié pour la première fois, à la mi-2023, une campagne utilisant le RAT SugarGh0st . Depuis lors, ils ont continué à observer des campagnes utilisant ce même logiciel malveillant, ce qui les a amenés à établir un nouveau profil d'acteur baptisé « SneakyChef ». On pense que cet acteur est sinophone en raison de ses préférences linguistiques et du fait qu'il utilise Gh0st RAT, un logiciel très prisé des acteurs chinois. Cet acteur ciblait initialement les utilisateurs d'Ouzbékistan et de Corée du Sud, mais a depuis élargi sa cible pour inclure plusieurs pays de la région EMEA et d'Asie.
Les leurres de SneakyChef
SneakyChef utilise des leurres sous forme de documents numérisés provenant d'organismes publics. Cisco Talos souligne que ces documents ne semblent pas être accessibles au public.
Dans le cadre de campagnes ciblant les pays d'Afrique australe, les documents se présentaient comme émanant du ministère des Affaires étrangères de l'Angola. Dans le cadre de campagnes ciblant les pays d'Asie centrale, les documents se présentaient comme émanant du ministère des Affaires étrangères du Turkménistan ou du Kazakhstan.
Les tentatives d'hameçonnage ciblant les pays du Moyen-Orient utilisaient des documents qui semblaient concerner un jour férié officiel. Outre les leurres sur le thème des pouvoirs publics, Cisco Talos a également repéré un faux document présentant une demande d'inscription à une conférence, ainsi qu'un document constituant le résumé d'un article de recherche issu d'une autre conférence internationale. D'autres arguments de persuasion concernaient les invitations à des conférences et les détails y afférents.
Anciens et nouveaux domaines . C2
Comme indiqué, Cisco Talos avait initialement détecté une activité de cet acteur en 2023 , bien qu'elle n'ait pas encore été attribuée. L'acteur continue d'utiliser un domaine C2 qui avait été signalé il y a plusieurs mois. Ils ont également constaté qu'un nouveau domaine C2 était utilisé par le logiciel malveillant SugarGh0st entre mars et avril 2024.
Chaîne d'infection : Dans le cadre de la toute dernière campagne de SneakyChef, l'acteur a commencé à utiliser une troisième chaîne d'infection qui exploite SFX RAR pour obtenir un accès initial. Lorsque la victime de l'attaque exécute le fichier exécutable, le script SFX dépose un document leurre, un chargeur de DLL, la charge utile « SugarGh0st » chiffrée et un script VB malveillant.
Le script VB est exécuté en premier et assurera la persistance grâce à une clé de registre qui s'exécutera à la connexion. Lorsque l'utilisateur se connecte, une commande est lancée pour exécuter la DLL de chargement, update.dll. Le chargeur est chargé de lire la charge utile SugarGh0st chiffrée, authz.lib. Il le déchiffrera et l'injectera dans un processus.
SneakyChef, un acteur malveillant jusqu’alors inconnu, est désormais associé à une campagne de cyberespionnage qui visait des entités gouvernementales. L'acteur utilise des documents numérisés provenant d'organismes publics comme appâts et on constate qu'il recourt aux logiciels malveillants SugarGh0st et SpiceRAT dans le cadre de ses campagnes.
SneakyChef
Cisco Talos a identifié pour la première fois, à la mi-2023, une campagne utilisant le RAT SugarGh0st . Depuis lors, ils ont continué à observer des campagnes utilisant ce même logiciel malveillant, ce qui les a amenés à établir un nouveau profil d'acteur baptisé « SneakyChef ». On pense que cet acteur est sinophone en raison de ses préférences linguistiques et du fait qu'il utilise Gh0st RAT, un logiciel très prisé des acteurs chinois. Cet acteur ciblait initialement des utilisateurs en Ouzbékistan et en Corée du Sud, mais a depuis élargi son champ d'action à plusieurs pays de la région EMEA et d'Asie.
Leursres
SneakyChef utilise des leurres sous forme de documents numérisés provenant d'organismes publics. Cisco Talos souligne que ces documents ne semblent pas être accessibles au public. Dans le cadre de campagnes ciblant les pays d'Afrique australe, les documents utilisés se présentaient comme émanant du ministère des Affaires étrangères de l'Angola. Dans le cadre des campagnes ciblant les pays d'Asie centrale, les documents se présentaient quant à eux comme émanant du ministère des Affaires étrangères du Turkménistan ou du Kazakhstan.
Les hameçons ciblant les pays du Moyen-Orient utilisaient quant à eux des documents se présentant comme une circulaire concernant un jour férié officiel. Outre les leurres sur le thème des pouvoirs publics, Cisco Talos a également repéré un faux document présentant une demande d'inscription à une conférence, ainsi qu'un document constituant le résumé d'un article de recherche issu d'une autre conférence internationale. D'autres appâts concernaient les invitations à des conférences et les détails y afférents.
Anciens et nouveaux domaines . C2
Comme indiqué, Cisco Talos avait initialement détecté une activité de cet acteur en 2023 , bien qu'elle n'ait pas encore été attribuée. L'acteur continue d'utiliser un domaine C2 qui avait fait l'objet d'un signalement il y a plusieurs mois, et cette utilisation a été constatée jusqu'à la mi-mai 2024. Ils ont également constaté qu'un nouveau domaine C2 était utilisé par le logiciel malveillant SugarGh0st entre mars et avril 2024.
La chaîne d'infection de SneakyChef
Dans la toute dernière campagne « SneakyChef », l'acteur utilise une troisième chaîne d'infection qui exploite SFX RAR pour obtenir un accès initial. Lorsque la victime de l'attaque exécute le fichier exécutable, le script SFX dépose un document leurre, un chargeur de DLL, la charge utile SugarGh0st chiffrée et un script VB malveillant.
Le script VB s'exécute en premier et assurera sa persistance grâce à une clé de registre qui s'exécutera à la connexion. Lorsque l'utilisateur se connecte, une commande est lancée pour exécuter la DLL de chargement, update.dll. Le chargeur est chargé de lire la charge utile SugarGh0st chiffrée, authz.lib. Il le déchiffrera et l'injectera dans un processus.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet article illustre à quel point l'attribution peut s'avérer difficile. Dans ce cas précis, ce n’est qu’après près d’un an que les chercheurs ont pu associer une série d’activités à un acteur et établir son profil. Ce point est particulièrement intéressant pour les acteurs malveillants chinois, dont les TTP se recoupent souvent à tel point qu'il peut s'avérer difficile de les distinguer les uns des autres.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
