Cette semaine, CTI se penche sur une campagne de hameçonnage qui usurpe l'identité de PayPal afin de voler des identifiants et de prendre le contrôle des comptes des utilisateurs. CTI vous présente ensuite les détails d'un nouveau logiciel malveillant appelé PLAYFULGHOST. Enfin, CTI fournit les dernières informations concernant NonEuclid RAT, un logiciel malveillant permettant l'accès et le contrôle à distance des machines.
Une campagne d'hameçonnage usurpe l'identité de PayPal
Une récente campagne d'hameçonnage usurpe l'identité de PayPal afin de dérober les identifiants des utilisateurs et de prendre le contrôle de leurs comptes. Carl Windsor, responsable de la sécurité des systèmes d'information (RSSI) chez Fortinet, a récemment découvert (s'ouvre dans un nouvel onglet) cette campagne après avoir reçu et examiné un e-mail suspect, dont le champ « À » contenait une adresse « onmicrosoft ».
Comment fonctionne l'attaque de hameçonnage via PayPal
Windsor précise que l'attaque de hameçonnage visant l' , (s'ouvre dans un nouvel onglet) , semblait provenir d'une adresse e-mail PayPal légitime. Lorsqu'il a passé la souris sur le lien « Payer maintenant » figurant dans l'e-mail, il a remarqué que celui-ci redirigeait vers un domaine PayPal valide, ce qui n'a pas non plus éveillé ses soupçons.
En cliquant sur le bouton figurant dans l'e-mail, l'utilisateur est redirigé vers une page de connexion PayPal sur laquelle s'affiche une demande de paiement. Cependant, comme le mentionne Windsor dans son article, le fait de saisir vos identifiants sur cette page aura pour effet de lier l'adresse de votre compte PayPal à l'adresse e-mail qui a reçu le message – l'adresse « onmicrosoft ».
Comment est-ce possible ? Selon M. Windsor, l'auteur de cette campagne avait enregistré un domaine test « MS365 » et créé une liste de diffusion regroupant les adresses e-mail des victimes. Il est important de noter que ces domaines de test sont fournis gratuitement pendant les trois premiers mois, ce qui en fait des options peu coûteuses pour les cybercriminels.
Une fois le domaine de test et la liste de diffusion configurés, l'acteur peut se rendre sur le portail Web de PayPal et demander de l'argent à la liste de diffusion. Cette action déclenche l'envoi d'un e-mail aux victimes et modifie l'identité de l'expéditeur afin de contourner les contrôles de sécurité. Dès que la victime saisit ses identifiants, son compte est associé à celui de l'auteur de l'attaque, ce qui lui permet de prendre le contrôle total du compte PayPal.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cet exemple de hameçonnage est très intéressant, notamment parce qu’il ne recourt pas à beaucoup de techniques traditionnelles de hameçonnage. Bon nombre des conseils et astuces proposés dans la formation de sensibilisation à la sécurité « » (s'ouvre dans un nouvel onglet) (vérification de l'expéditeur, recherche d'URL suspectes, etc.) n'auraient pas suscité de méfiance à l'égard de cet e-mail, qui comportait un expéditeur et une URL valides.
Selon M. Windsor, la meilleure solution réside dans le « pare-feu humain », c'est-à-dire « une personne formée à rester vigilante et prudente face à tout e-mail non sollicité, aussi authentique qu'il puisse paraître ».
PLAYFULGHOST se propage par le biais du phishing et de l'empoisonnement SEO
L'équipe « Managed Defense » de Google a publié des informations (s'ouvre dans un nouvel onglet) concernant un nouveau logiciel malveillant appelé PLAYFULGHOST. Ce logiciel malveillant présente plusieurs fonctionnalités, notamment l'enregistrement des frappes clavier, la capture d'écran et l'enregistrement audio, l'accès à distance via un shell, ainsi que des capacités de transfert de fichiers.
Par ailleurs, ce cheval de Troie présente des similitudes fonctionnelles avec le célèbre logiciel malveillant Gh0st RAT, dont le code source a été divulgué en 2008.
Modes de livraison PLAYFULGHOST
Google a identifié deux méthodes de diffusion connues pour PLAYFULGHOST : les e-mails de hameçonnage et l'empoisonnement SEO.
- Exemple d'hameçonnage PLAYFULGHOST :
Lors d'une attaque par hameçonnage, l'infection a commencé par une tentative visant à inciter la victime à ouvrir une archive RAR malveillante jointe à l'e-mail. L'archive RAR portait l'extension .jpg, ce qui a encore davantage induit la victime en erreur en lui faisant croire qu'il s'agissait d'un fichier image inoffensif.
Si la victime décompresse l'archive, celle-ci déploiera un fichier exécutable Windows malveillant qui télécharge et exécute PLAYFULGHOST à partir d'un serveur distant. - Exemple d'empoisonnement SEO de PLAYFULGHOST :
Dans le cadre de cette infection, les victimes sont amenées à télécharger, à leur insu, le fichier exécutable Windows malveillant. Le fichier exécutable se fait passer pour un programme d'installation d'un logiciel légitime tel que LetsVPN.
Une fois lancé, il dépose un autre fichier exécutable Windows malveillant qui télécharge des composants de PLAYFULGHOST depuis un serveur distant.
Comment fonctionne PLAYFULGHOST ?
PLAYFULGHOST utilise un système en trois parties : un exécutable légitime qui détourne l'ordre de recherche des DLL, un fichier DLL de lancement malveillant situé dans le même dossier, et un fichier contenant la charge utile proprement dite. Le fichier exécutable légitime charge la DLL de lancement malveillante, qui déchiffre la charge utile en mémoire.
Dans un cas précis, Google a constaté que l'acteur avait renommé un exécutable légitime et signé de Tencent en « svchost.exe » afin de le dissimuler. Ce fichier a ensuite été utilisé pour charger la DLL du lanceur malveillant et déchiffrer la charge utile.
Dans un autre cas, ils ont observé un scénario plus sophistiqué qui partait d'un fichier LNK sous Windows. Ce fichier a combiné un fichier texte contenant des caractères avec un deuxième fichier renfermant le reste de la charge utile afin de créer un nouveau fichier DLL malveillant.
Fonctionnalités prises en charge
PLAYFULGHOST prend en charge diverses fonctionnalités permettant à un acteur malveillant de contrôler le système à distance. Ses fonctions d'exploration de données comprennent notamment la capture d'écran et d'enregistrements audio, l'effacement et la copie des données du presse-papiers, la collecte d'informations sur le matériel, la liste, l'activation, la déconnexion et la fermeture des sessions RDP, et bien plus encore.
Il dispose également de fonctionnalités de gestion des fichiers, de suppression de données, d'exécution à distance, d'escalade des privilèges et de contournement des analyses judiciaires. De plus, il peut télécharger d'autres charges utiles et mener des actions nuisibles, telles que modifier la résolution de l'écran et masquer les barres des tâches.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que les méthodes de diffusion de PLAYFULGHOST ne soient pas nouvelles, ce logiciel malveillant dispose d’une liste très complète de fonctionnalités qui répondent aux besoins d’un large éventail d’acteurs malveillants.
Il est intéressant d'observer des logiciels malveillants qui se livrent à des « activités gênantes », telles que le blocage des saisies au clavier, la modification de la résolution d'écran, le masquage des barres des tâches et l'émission d'un bip sonore.
On ne sait pas vraiment si ces fonctionnalités ont pour but de permettre au logiciel malveillant d'agir ou si elles visent simplement à vous importuner. Google a également mis à disposition des détections (s'ouvre dans un nouvel onglet) afin de faciliter l'identification des artefacts liés à PLAYFULGHOST.
Le RAT NonEuclid gagne du terrain
Cyfirma publie des informations (s'ouvre dans un nouvel onglet) concernant le RAT NonEuclid, un nouveau type de logiciel malveillant qui permet d'accéder à distance à l'ordinateur d'une victime et de le contrôler.
Selon Cyfirma, ce logiciel malveillant permet un accès à distance non autorisé et utilise des techniques de contournement sophistiquées. Il fait actuellement l'objet d'une promotion sur des forums clandestins dédiés à la cybercriminalité.
À propos de NonEuclid
Ce logiciel malveillant, développé en C#, intègre des mécanismes tels que le contournement des antivirus, l'escalade de privilèges, la dissimulation et le chiffrement de type rançongiciel.
Les chercheurs ont constaté que ce logiciel malveillant a gagné en popularité grâce à ses fonctionnalités, notamment sa capacité à se dissimuler, le chargement dynamique de DLL, les contrôles anti-VM et les capacités de chiffrement AES. Ils ont également suivi des tutoriels et pris part à des discussions concernant NonEuclid sur Discord et même sur YouTube, ce qui témoigne encore davantage de sa popularité.
Comment fonctionne NonEuclid ?
Le logiciel malveillant initialise une application cliente à l'aide de plusieurs mécanismes. Il configure les paramètres, retarde le démarrage et veille à ce que certaines fonctionnalités disposent de droits d'administrateur. Il effectue ensuite des vérifications de mutex et d'anti-détection qui, en cas de succès, établissent un socket client pour la communication — et se reconnectent si la connexion est perdue.
Ce logiciel malveillant dispose d'une fonctionnalité anti-analyse qui tente de contourner les analyses de Windows Defender en ajoutant certaines exclusions aux paramètres de registre de Defender. Il dispose également d'une fonctionnalité anti-processus qui surveille les processus en cours d'exécution afin d'identifier et de mettre fin à certains processus, tels que Taskmgr et ProcessHacker. Ce logiciel malveillant intègre des fonctionnalités supplémentaires, telles que des contrôles anti-VM, le contournement de l'ASMI et l'accès à la caméra.
Le logiciel malveillant crée également une tâche planifiée qui s'exécute à des intervalles définis, en masquant la fenêtre de commande et en supprimant les résultats à l'aide de la ligne de commande Windows afin d'assurer sa persistance. Cette tâche. Afin d'élever ses privilèges, le logiciel malveillant tente de manipuler le registre Windows et d'exécuter une commande qui contourne certaines restrictions.
Cyfirma a analysé les deux fichiers exécutables qui sont déployés lors de l'exécution du logiciel malveillant. Grâce au Planificateur de tâches, ces fichiers s'exécutent automatiquement et assurent leur persistance en fonctionnant sans nécessiter aucune intervention de votre part.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cyfirma résume NonEuclid en affirmant qu’il « illustre la sophistication croissante des logiciels malveillants modernes, en combinant des mécanismes de dissimulation avancés, des fonctionnalités anti-détection et des capacités de rançongiciel de type « » (s’ouvre dans un nouvel onglet). »
Des chercheurs ont relevé des discussions concernant ce logiciel malveillant sur plusieurs forums clandestins, ce qui semble indiquer que son créateur met tout en œuvre pour attirer l'attention des acteurs malveillants. Reste à voir si NonEuclid va s'imposer ou non, mais sa longue liste de fonctionnalités devrait susciter l'intérêt des cybercriminels.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
