Dans son tour d'horizon de cette semaine, le CTI met en avant les dernières techniques d'hameçonnage utilisant des codes QR. Dans la suite de cet article, CTI se penche sur le nouveau ransomware Babuk Locker 2,0 . Enfin, CTI conclut par un aperçu d'une récente attaque de la chaîne d'approvisionnement visant les clients en aval d'un MSP.
1. Le phishing par code QR prend de l'ampleur à mesure que les techniques évoluent
Palo Alto surveille les nouvelles tactiques utilisées dans le cadre d'une campagne de phishing de type « » () impliquant des documents contenant des codes QR :.
Parmi ces nouvelles tactiques, on peut citer l'exploitation des redirections ouvertes pour masquer la destination finale de l'hameçonnage, ainsi que l'intégration d'une vérification manuelle au sein des redirections afin d'échapper à la détection et de convaincre les victimes de saisir leurs identifiants.
Palo Alto a également constaté des cas où des sites de hameçonnage ciblent des victimes spécifiques, ce qui laisse supposer qu'un travail de reconnaissance a été mené avant l'attaque.
Qu'est-ce que l'hameçonnage par code QR ?
Le « phishing par code QR », également appelé « quishing », consiste à créer des codes QR malveillants et à inciter les victimes à les scanner à l'aide de leurs appareils mobiles.
Dans le cadre du phishing par code QR, les cybercriminels tenteront d'exploiter les appareils contrôlés par les utilisateurs dont les mesures de sécurité sont insuffisantes. Le hameçonnage par code QR s'est révélé très efficace, ce qui explique pourquoi il est de plus en plus courant.
Redirection vers une URL de hameçonnage
Palo Alto a analysé les URL des codes QR issues de campagnes récentes et a constaté qu'elles recouraient souvent à la redirection d'URL, qui consiste à exploiter les redirections ouvertes de sites web légitimes. Cela diffère de l'intégration de liens qui renvoient directement vers le site de hameçonnage.
La redirection d'URL n'est pas une technique nouvelle et c'est en partie pour cette raison que les utilisateurs sont souvent incités à vérifier l'URL d'un lien avant de cliquer dessus. La redirection d'URL, lorsqu'elle est associée à des codes QR, s'avère délicate, car il ne suffit pas de passer la souris sur le code QR pour voir l'URL.
Comme l'explique Palo Alto, les redirections permettent aux sites web légitimes de rediriger facilement les utilisateurs vers des pages externes, tout en conservant la source d'origine. Les auteurs de ces attaques peuvent également ajouter du texte supplémentaire dans l'URL de redirection Google afin que le véritable site de hameçonnage reste masqué lorsque l'on scanne le code QR avec un téléphone.
Opérations d'hameçonnage
Palo Alto a découvert que ces opérations de hameçonnage se déroulent en trois étapes : la redirection, la vérification humaine et la collecte d'identifiants.
- Les redirections orientent les victimes vers le véritable site. Certains acteurs ont recours à plusieurs redirections afin de compliquer leur identification.
- La vérification humaine consiste à utiliser des procédures de vérification légitimes que de nombreux utilisateurs connaissent bien, telles que CAPTCHA et Cloudflare Turnstile. Pour utiliser Cloudflare Turnstile dans le cadre de ses attaques, il suffit à un acteur malveillant de souscrire à l'abonnement gratuit du service.
- Le vol d'identifiants s'effectue par le biais de pages de hameçonnage qui imitent des pages de connexion telles que Microsoft 365. Certaines pages affichent le logo de l'entreprise et vont même jusqu'à préremplir l'adresse e-mail de la victime, ne lui laissant plus qu'à saisir son mot de passe.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les attaques de hameçonnage et l'ingénierie sociale ne cessent d'évoluer, et le rapport de Palo Alto met en évidence certaines des tendances les plus récentes.
Si les trois principales activités mises en avant dans le rapport ont été observées séparément au cours des derniers mois, Palo Alto constate désormais qu'elles sont utilisées conjointement, ce qui ne fait qu'accroître le taux de réussite potentiel.
Comme c'est toujours le cas avec les nouvelles techniques d'hameçonnage, la sensibilisation et les solutions de sécurité doivent aller de pair.
2. Le ransomware LockBit 3,0 change de nom pour devenir Babuk Locker 2,0
Rapid7 a récemment découvert un canal dédié à un groupe de ransomware se présentant comme « Babuk Loader », un groupe qui avait cessé ses activités en 2021.
Rapid7 forums et canaux clandestins ont été découverts, dans lesquels il était fait mention de « Babuk Locker 2,0 », et où certains auteurs revendiquaient la responsabilité d'attaques récentes par ransomware. Ils ont finalement conclu qu'il ne s'agissait pas d'une résurgence du groupe, mais bien de LockBit 3,0 sous un nouveau nom.
Opérateurs
Au cours de leur enquête, Rapid7 a relevé plusieurs discussions concernant un éventuel retour de Babuk, dont la plupart étaient liées à deux groupes distincts appelés « Skywave » et « Bjorka ».
Ces groupes ont revendiqué certaines attaques par ransomware et ont même relayé les fuites liées à Babuk. Rapid7 estime qu'il s'agit soit d'affiliés, soit d'opérateurs clés de Babuk 2,0.
Babuk Locker 2,0
Rapid7 a identifié des dizaines de chaînes Telegram dont les noms étaient liés à Babuk Locker 2,0. L'un des groupes mentionnés précédemment, Skywave, a revendiqué la propriété de plusieurs chaînes, tandis que l'autre, Bjorka, a vu son contenu lié à Babuk largement relayé.
Les chercheurs ont constaté un chevauchement entre les victimes de Babuk et de Bjorka et ont mis en évidence une éventuelle collaboration entre ces acteurs après avoir observé les logos de Skywave et de Bjorka côte à côte sur une page de contact de Babuk 2,0.
Détails techniques
Rapid7 est tombé sur un échantillon supposé de Babuk 2,0 sur une chaîne Telegram. Après avoir analysé l'échantillon, ils ont conclu que celui-ci n'était pas lié à Babuk, mais qu'il s'agissait en réalité de LockBit 3,0 ou de LockBit Black. Cela indique que Babuk 2,0 n'est qu'un nouveau nom ou une nouvelle appellation de LockBit 3,0.
Babuk ou LockBit 3,0 ?
Rapid7 a analysé un fichier « babuk.exe », présenté comme étant Babuk 2,0. Ils ont confirmé que cet échantillon repose entièrement sur LockBit 3,0 et n'a aucun lien avec le code Babuk qui avait fait l'objet d'une fuite auparavant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse Rapid7’s indique que Babuk Locker 2,0 n'appartient en réalité pas au groupe Babuk, mais qu'il s'agit simplement de LockBit 3,0 sous un nouveau nom.
Comme le souligne Rapid7 , « les groupes d'auteurs de ransomware ne disparaissent pas : ils changent simplement de nom, réutilisent leur code et continuent à en tirer profit. » Cela peut compliquer l'attribution de la responsabilité, ce qui conduit les défenseurs à se pencher sans cesse sur de « nouveaux » ransomwares qui ne sont en réalité qu'un simple changement de nom ou un moyen pour un acteur de se faire remarquer.
3. Les filiales de Qilin ciblent les clients en aval d'un MSP
Selon un rapport de Sophos, en janvier, un administrateur d'un prestataire de services informatiques (MSP) d' a reçu un e-mail de hameçonnage à l'adresse , se présentant comme une alerte d'authentification pour l'outil RMM ScreenConnect. Cet e-mail a finalement permis au groupe malveillant « Qilin » d'accéder aux identifiants de l'administrateur et de mener des attaques par rançongiciel contre les clients du MSP. Le groupe Qilin RaaS existe depuis 2022 et s'appelait auparavant « Agenda ». Ce groupe est connu pour recruter ses membres sur des forums russes et utilise un site de divulgation de données à des fins de double chantage.
À propos de STAC4365
Sophos attribue ce dernier incident à un affilié de ransomware identifié sous le numéro STAC4365 , en raison de similitudes au niveau de l'infrastructure, des schémas de nommage et des différentes TTP utilisées par le groupe lors d'autres attaques.
« STAC4365 » est un groupe malveillant que Sophos a associé à « un ensemble d'activités et d'indicateurs communs à un groupe de sites de hameçonnage dont l'origine remonte à novembre 2022. » Les sites utilisés par cet acteur usurpent généralement des URL légitimes de ScreenConnect. Cet acteur utilise un framework AitM open source appelé « evilginx » pour collecter des identifiants de phishing et des cookies de session.
Chaîne d'attaque « STAC4365’s Qilin »
L'e-mail de hameçonnage utilisé lors de l'attaque avait été personnalisé en fonction du compte administrateur du MSP afin de simuler une alerte de connexion à ScreenConnect. Lorsque l'administrateur a cliqué sur le lien figurant dans l'e-mail pour se connecter et consulter ladite alerte, il a été redirigé vers une page de hameçonnage par le biais de redirections.
Sophos souligne que l'auteur de l'attaque a utilisé cette URL uniquement pour rediriger la victime visée vers le site de hameçonnage, tandis que tous les autres visiteurs étaient redirigés vers le site légitime de ScreenConnect. À ce stade, l'attaquant pourrait intercepter les identifiants et se connecter à votre compte.
Après avoir obtenu l'accès au compte ScreenConnect de l'administrateur, l'auteur de l'attaque a déployé une instance de ScreenConnect qu'il contrôlait auprès de plusieurs clients du MSP. Selon Sophos, cet instancé a été utilisé à des fins d'énumération, d'identification des utilisateurs, de réinitialisation des identifiants de compte et pour accéder à d'autres outils. Après s'être procuré un accès suffisant, l'auteur de l'attaque a collecté et exfiltré des fichiers provenant des environnements des clients, puis les a téléchargés sur le site « easyupload[.]io » dans un onglet de navigation privée.
Sophos dévoile également plusieurs des techniques utilisées par cet acteur, notamment l'identification et le ciblage des sauvegardes afin d'empêcher leur restauration, le déploiement du ransomware Qilin chez plusieurs clients du MSP, la désactivation du service de clichés instantanés de volume (VSS), la suppression des clichés instantanés et des journaux d'événements Windows, ainsi que l'autodestruction après exécution, entre autres.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque visait spécifiquement les clients d’un fournisseur de services gérés (MSP), ce qui en fait une attaque de type « chaîne d’approvisionnement » — un phénomène de plus en plus courant.
Ce qui est intéressant, c'est la manière dont l'acteur a réussi à exfiltrer des données via un onglet de navigation privée dans Chrome. Ce phénomène est rare et offre aux défenseurs un canal d'exfiltration supplémentaire à surveiller.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
