Dans le tour d'horizon de cette semaine, CTI se penche sur le logiciel malveillant Realst, utilisé dans le cadre d'une vaste campagne visant les ordinateurs Apple. CTI met ensuite en avant un rapport expliquant comment des acteurs malveillants vendent des journaux de logiciels malveillants destinés au vol d'informations sur le dark web et sur des chaînes Telegram. Enfin, CTI présente une vue d'ensemble d'une nouvelle campagne de logiciels malveillants de type « Nitrogen » visant à obtenir un accès initial, qui usurpe l'identité de logiciels légitimes afin d'infecter les victimes avec des charges utiles Cobalt Strike et des ransomwares.
1. Un véritable logiciel malveillant destiné au vol d'informations cible macOS Sonoma avant même sa sortie officielle
SentinelOne a récemment analysé 59 échantillons malveillants au format Mach-O du logiciel malveillant « Realst », un voleur d'informations, qui est utilisé dans le cadre d'une vaste campagne ciblant les ordinateurs Apple.
Des chercheurs ont découvert certains échantillons de ce nouveau logiciel malveillant « Rust » qui ciblent déjà la prochaine version du système d'exploitation d'Apple, macOS 14 Sonoma. Ce logiciel malveillant infecte à la fois les utilisateurs de Windows et de macOS par le biais de faux jeux basés sur la blockchain dont la promotion est assurée sur les réseaux sociaux.
Distribution Realst
Le logiciel malveillant « Realst infostealer » d' , accessible à l'adresse , est diffusé via des sites malveillants qui font la promotion de faux jeux basés sur la blockchain, tels que Brawl Earth, WildWorld, Dawnland, Destruction, Evolion, Pearl, Olymp of Reptiles et SaintLegend.
Chaque version de ce faux jeu est hébergée sur son propre site web et dispose de ses propres comptes Twitter et Discord associés. On a également constaté que des cybercriminels contactaient directement leurs victimes potentielles par le biais de messages privés sur les réseaux sociaux.
À propos des programmes d'installation malveillants de Realst
Certaines versions de ce logiciel de vol d'informations sont diffusées via Evolion.pkg, un programme d'installation au format .pkg qui contient un fichier Mach-O malveillant et trois scripts associés.
- L'un de ces scripts est un programme de vol d'informations multiplateforme pour Firefox.
- Un autre script est une copie du projet open source « chainbreaker ». Ce script extrait les mots de passe, les clés et les certificats de la base de données du trousseau de macOS.
- Le troisième script est un script de désinstallation très basique, qui ne présente aucun comportement véritablement malveillant.
D'autres versions de Realst sont distribuées sous forme d'images disque .dmg. On a constaté que des développeurs intégraient ce logiciel malveillant dans des applications Electron et dans des paquets d'applications natifs pour macOS.
Certains échantillons ont été conçus conjointement à l'aide d'un identifiant de développeur Apple spécifique qui a depuis été révoqué. D'autres échantillons sont cosignés de manière ponctuelle et continueront d'être publiés, car ces signatures ne peuvent pas être révoquées à distance.
Analyse dynamique des variantes de Realst
D'un point de vue comportemental, les échantillons Realst présentent des caractéristiques similaires dans toutes les variantes. Il leur arrive d'utiliser des appels d'API différents et de présenter certaines dépendances variables. Mais au final, ils extraient tous les données du navigateur, des portefeuilles cryptographiques et des bases de données de clés. Realst est compatible avec les navigateurs Firefox, Chrome, Opera, Brave et Vivaldi. Il peut également cibler Telegram.
La plupart des variantes de Realst tentent de récupérer le mot de passe de l'utilisateur via osascript et l'usurpation d'AppleScript, et effectuent des vérifications pour s'assurer que l'appareil hôte n'est pas une machine virtuelle. Le logiciel de vol de données collecte des informations et les stocke dans un dossier nommé « data ». Ce dossier apparaît à l'un des emplacements suivants, selon la version du logiciel malveillant. Si le logiciel malveillant parvient à obtenir l'autorisation de réaliser des captures d'écran, il enregistre également une capture d'écran du bureau de la victime dans le même emplacement de fichier.
Analyse statique des variantes de Realst
SentinelOne a identifié 16 variantes différentes parmi les 59 échantillons Realst au total et les a classées en quatre grandes familles. Il existe toutefois de nombreux recoupements qui leur permettraient de tracer la ligne de manière différente. Cela dit, ils ont choisi leur taxonomie de classification en se basant sur des éléments de chaîne de caractères susceptibles d'aider les chasseurs de menaces dans leurs tâches d'identification et de détection.
- Famille de variantes A : . 31/03 échantillons appartiennent à la variante A. La caractéristique distinctive de ces variantes réside dans la présence de chaînes de caractères complètes liées à l'usurpation d'AppleScript. Ces variantes ont recours à une technique d'usurpation d'AppleScript afin de récupérer le mot de passe administrateur de l'utilisateur en clair. Cette fonctionnalité utilise l'option « réponse masquée » pour empêcher l'utilisateur de voir les caractères qu'il saisit, en les remplaçant par des puces. En arrière-plan, le mot de passe est capturé et enregistré en clair par la boîte de dialogue AppleScript. Ces échantillons comprennent également des chaînes complètes liées à la lutte contre l'analyse par détection de machines virtuelles sous la forme de « hw.model ».
- Famille de variantes B : 28/11 échantillons appartiennent à la variante B. Ces variantes se distinguent par le fait qu’elles fragmentent les chaînes en unités plus petites, ce qui leur permet probablement d’échapper à une détection statique simple. En dehors de cela, ces échantillons sont très similaires à la variante A.
- Famille de variantes C : . 28/08 échantillons appartiennent à la variante C. Ces variantes se distinguent par l'introduction d'une référence à « chain breaker » au sein du fichier binaire Mach-O.
- Famille de variantes D : 29/05 échantillons appartiennent à la variante D. Dans cette variante, l'extraction des mots de passe s'effectue via une invite dans la fenêtre du Terminal. Dans certains cas, le logiciel malveillant utilisait également le mot de passe récupéré pour s'octroyer des privilèges supérieurs à l'aide de la commande « sudo » et installer le paquet Python « pycryptodome ».
Realst se prépare pour macOS 14 Sonoma
Roughly one-third of the samples identified by SentinelOne contained strings targeting macOS 14 Sonoma.
Ces artefacts de chaîne sont apparus dans la moitié des échantillons de la variante A et dans tous ceux de la variante B, mais pas dans ceux des variantes C ou D. À ce stade, on ne sait pas encore clairement en quoi la différence entre Sonoma et Ventura pourrait affecter l'exécution de Realst.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Compte tenu du nombre d'échantillons de Realst qui ont été identifiés et des variations observées entre ces échantillons, nous pouvons affirmer que l'auteur de la menace a consacré beaucoup d'efforts à la mise au point de ce logiciel de vol d'informations. »
On constate d'ores et déjà que l'acteur malveillant planifie et se prépare en vue de la prochaine sortie du système d'exploitation d'Apple. « Il est probable que nous assistions à l'apparition de nouvelles variantes de Realst d'ici la sortie de Sonoma, car l'auteur de cette menace semble modifier en permanence son logiciel malveillant. »
2. La croissance exponentielle des logiciels malveillants de vol d'informations : plus de 300 000 identifiants d'entreprise mis en vente
La société de cybersécurité Flare a récemment analysé 20 millions de journaux de logiciels malveillants destinés au vol d'informations proposés à la vente sur le dark web et sur des chaînes Telegram. Leur analyse révèle qu'environ 375 000 fichiers journaux contiennent des informations d'accès à des identifiants professionnels pour des applications courantes telles que Salesforce, QuickBooks, AWS, Google Cloud, DocuSign et d'autres.
L'utilisation de logiciels malveillants de type « infostealer » connaît une croissance exponentielle, ce qui en fait l'une des principales tendances du secteur depuis quelques années. Diverses variantes de logiciels de vol d'informations collectent des données à partir d'appareils compromis, puis regroupent et vendent ces journaux de vol sur le dark web et sur Telegram. L'analyse de Flare porte sur plusieurs ensembles de données et totalise plus de 19,6 millions de journaux de logiciels malveillants.
Les niveaux d'accès aux logiciels de vol d'informations
Flare classe les journaux de vol d'identifiants en trois catégories, en fonction du type d'identifiants contenus dans le journal et du type d'accès que l'acteur malveillant cherche probablement à obtenir en exploitant ces identifiants.
Journaux de niveau 1 : identifiants d'entreprise de grande valeur
Les utilisateurs enregistrent souvent leurs mots de passe dans leur navigateur pour plus de commodité. Lorsqu'un logiciel malveillant de type « infostealer » infecte un appareil, il compromet simultanément tous les identifiants enregistrés dans le navigateur. Il peut s'agir notamment de systèmes CRM, d'identifiants pour RDP, VPN, l'accès à des applications SaaS, etc. Les cybercriminels accordent une grande importance aux identifiants d'entreprise, pour des raisons évidentes. Les courtiers en accès initiaux (IAB) ciblent également souvent ces identifiants afin de les revendre sur des forums du dark web.
Afin de déterminer si un appareil infecté disposait d'un accès au réseau de l'entreprise à grande échelle, Flare a identifié certains indicateurs qui, selon eux, sont susceptibles d'être liés à cet accès.
- Infrastructure informatique de l'entreprise : Flare a commencé par analyser les journaux à la recherche des connexions ayant eu accès aux consoles de gestion AWS et Google Cloud. Cela a donné lieu à 181 785 entrées de journal, dont 179 411 correspondaient à des identifiants de connexion à la console AWS. Environ 75 % de ces identifiants sont apparus à la fois dans des groupes Telegram publics et privés, 24 % sur Russian Market et moins de 1 % sur Genesis Market.
- Contacts professionnels et applications financières : Flare a également classé les applications financières professionnelles telles qu’Intuit QuickBooks et DocuSign. 80 099 enregistrements ont été identifiés comme ayant accédé à l’une de ces applications, dont 64 000 concernaient des identifiants DocuSign.
- Applications de gestion de la relation client (CRM) et de données clients : Flare a examiné deux des principaux fournisseurs de solutions CRM, à savoir Salesforce et Hubspot, et a recensé au total 66 000 enregistrements faisant état d'accès à des systèmes CRM, dont environ 23 000 concernaient des comptes Salesforce.
- OpenAI et ChatGPT : Flare a également recherché des journaux de programmes de vol contenant « openai[.]com » et en a trouvé plus de 200 000 .
Rapports Tier 2 : Services bancaires et financiers
Ces fichiers contiennent des identifiants de connexion de grandes banques, qui sont ensuite utilisés par des cybercriminels pour dérober de l'argent sur les comptes des particuliers. Ces articles se vendent en moyenne à 112 dollars sur Genesis Market, contre une moyenne de 15 dollars pour l'ensemble des journaux.
Selon Flare, il s'agit du deuxième type de journaux de vol le plus prisé. Flare a analysé 213 entreprises du secteur des services financiers afin de déterminer quel pourcentage d'entre elles disposait de journaux dont les domaines figuraient dans un fichier de données volées, et comment le prix de ces journaux variait. Ils ont constaté que le prix moyen d'un appareil infecté mis en vente sur Genesis Market et comportant des identifiants de connexion à des services financiers s'élevait à environ 112 dollars, contre seulement 14 dollars pour ceux qui n'en comportaient pas. Les 50 plus grandes banques américaines comptent environ 200 000 fichiers de vol de données liés aux identifiants de connexion des particuliers.
Journaux Tier 3 : Applications grand public
Les cybercriminels utilisent ces journaux pour accéder aux applications VPN grand public, aux services de streaming et à d'autres applications. Il s'agit des grumes les moins chères, qui se vendent généralement entre 10 et 15 dollars par grume.
Flare a analysé les 50 domaines les plus fréquemment rencontrés dans son échantillon de journaux de données de logiciels de vol. Google, Gmail, Facebook et Microsoft figurent en tête de liste et sont souvent associés à des journaux de vol de données. Amazon, Netflix, Instagram, PayPal et plusieurs autres figuraient également parmi les premiers de la liste.
Où les grumes de « stealer » sont-elles distribuées ?
Les journaux de Stealer sont répartis en quatre catégories : les canaux Telegram publics dédiés aux journaux, les canaux Telegram privés, Russian Market et Genesis Market.
- Les chaînes Telegram publiques « logs » sont des chaînes Telegram accessibles à tous qui fournissent chaque mois des téraoctets de journaux de logiciels de vol de données. Il s'agit principalement de journaux de niveau 3 .
- Des chaînes Telegram privées sont gérées par des acteurs malveillants afin de diffuser de grandes quantités de fichiers journaux, selon un modèle d'abonnement mensuel visant à monétiser l'accès. Il s'agit généralement de journaux à forte valeur ajoutée ; ce canal est accessible uniquement sur invitation et limité, en règle générale, à 25 ou 30 utilisateurs.
- Russian Market est une place de marché du dark web spécialisée dans la vente d'accès à des appareils et à des informations. Le forum fixe le prix de toutes les bûches au même tarif, soit 10 dollars par bûche.
- Genesis Market fonctionnait comme une place de marché du « clear web » avant sa récente fermeture par les forces de l'ordre. Plus récemment, il fonctionnait entièrement sur Tor. Ce forum fournissait des données de journalisation plus structurées et analysées, et disposait d'une interface permettant aux cybercriminels de cloner l'empreinte numérique du navigateur d'une victime. Les prix des bûches sur ce forum variaient en fonction de la bûche.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« De nombreuses campagnes d’infostealers ont fait la une ces dernières années ; il n’est donc pas surprenant que les recherches menées par Flare aient mis en évidence un nombre aussi élevé de journaux d’infostealers sur diverses plateformes couramment utilisées par les auteurs de menaces. »
Le rapport de Flare n'entre pas dans les détails concernant l'origine des journaux par rapport à chaque variante d'infostealer, ce qui s'explique probablement par le fait qu'il existe aujourd'hui un très grand nombre d'infostealers et que de nouvelles variantes apparaissent régulièrement. Même sans ces informations, il est révélateur de constater à quel point un cybercriminel peut gagner de l'argent grâce à un seul identifiant. « Cela permet de mettre en perspective à quel point ces activités sont lucratives pour les cybercriminels. »
3. Google Ads met en avant un nouveau logiciel malveillant, « Nitrogen », utilisé pour des attaques par rançongiciel
Sophos a publié un rapport sur une nouvelle campagne de logiciels malveillants d’accès initial, baptisée « Nitrogen » et ciblant les entreprises du secteur de l’ , . Cette campagne exploite la publicité malveillante et usurpe l’identité de logiciels légitimes afin d’infecter les victimes avec des charges utiles Cobalt Strike et des ransomwares. Cette campagne est avant tout de nature opportuniste et cible les utilisateurs qui recherchent des outils informatiques spécifiques sur Google ou Bing.
À propos de la famille de logiciels malveillants « Nitrogen »
Au cours de son enquête, Sophos a mis au jour une nouvelle famille de logiciels malveillants d'accès initial baptisée « Nitrogen ». Le nom « Nitrogen » provient d'éléments des informations de débogage qui ont été retrouvés dans de nombreux échantillons, ce qui indique que les développeurs désignent ce projet sous le nom de « Nitrogen » ou « Nitronet ».
Les principaux composants portent les noms de classes suivants : NitrogenStager, MsfPythonStager, NitronetNativeStager et NitroInstaller.
La chaîne d'infection commence par de la publicité malveillante diffusée via les publicités Google ou Bing. Il tente d'attirer les victimes vers des sites WordPress piratés ou vers des pages de hameçonnage de type « ». Ces sites se font souvent passer pour des sites de distribution de logiciels afin d'inciter les utilisateurs à télécharger des programmes d'installation ISO contenant des chevaux de Troie. Ces programmes d'installation procèdent ensuite au « sideload » de la DLL malveillante NitrogenInstaller, qui contient une application logicielle légitime associée à un environnement d'exécution Python malveillant. Cette campagne installe un shell Meterpreter et des balises Cobalt Strike sur le système ciblé.
Cette campagne utilise les publicités au coût par clic de Google et Bing pour usurper l'identité de sites web. Il semblerait que cette attaque vise les utilisateurs informatiques, car les sites usurpés comprennent notamment les programmes d'installation d'AnyDesk, de WinSCP et du VPN Cisco AnyConnect. Un de ces cas utilise également un programme d'installation infecté par un cheval de Troie pour TreeSize Free.
- Exemple WinSCP : Lorsqu'un utilisateur effectuait une recherche sur Google avec le terme « WinSCP », une publicité Google s'affichait, faisant référence à « Transfert de fichiers sécurisé – pour Windows » sur une page de hameçonnage se faisant passer pour un guide destiné aux administrateurs système. Lorsque l'utilisateur clique sur la publicité figurant sur cette page, il est redirigé vers une fausse page de téléchargement de WinSCP et un fichier ISO malveillant est installé sur son système.
- Exemple Cisco AnyConnect : Outre les pages de hameçonnage, l'auteur de la menace a également hébergé des logiciels malveillants sur des sites WordPress compromis. Dans un cas, ils ont utilisé un site piraté pour imiter le site de téléchargement officiel de Cisco dédié à Cisco AnyConnect. Le lien de téléchargement présent sur ce site vous redirigerait alors vers une page de hameçonnage, qui vous ferait télécharger le paquet malveillant « Nitrogen ».
Chargement parallèle de DLL
Lorsque les victimes téléchargent les programmes d'installation infectés par un cheval de Troie, ceux-ci s'installent sous forme d'images ISO sur la machine infectée. Ces fichiers s'affichent ensuite dans l'Explorateur Windows et peuvent être mappés à un lecteur, sur lequel leur contenu sera alors accessible. L'un des fichiers contenus dans l'image ISO est l'outil Windows « msiexec.exe », renommé « install.exe » ou « setup.exe ».
Lorsque ce code sera exécuté, il installera de manière non officielle le fichier msi.dll malveillant (également appelé « NitrogenInstaller »), qui se trouve dans la même image. Dans le cadre de cette campagne, l'auteur de la menace utilise une technique de proxy DLL en redirigeant les fonctions exportées vers le fichier msi.dll légitime.
NitrogenInstaller
Le fichier msi.dll installé par contournement, connu sous le nom de NitrogenInstaller, déploiera un programme d'installation vierge pour l'application leurre légitime, ainsi que deux paquets Python — l'un étant légitime et l'autre malveillant. Le module Python authentique est nécessaire pour exécuter du code Python à un stade ultérieur de la chaîne d'infection. Il tentera également d'élever ses privilèges en contournant le contrôle d'accès utilisateur (UAC), une technique couramment utilisée par diverses familles de logiciels malveillants et de ransomwares. La DLL NitrogenInstaller créera ensuite une clé d'exécution dans le registre afin d'assurer la persistance.
Pour charger la DLL NitrogenStager dans le paquet Python malveillant, les auteurs de la menace ont eu recours au préchargement de DLL. Ce mécanisme tire parti de l'ordre de recherche des DLL propre à Windows lorsqu'une application tente de charger une bibliothèque sans spécifier de chemin d'accès complet. NitrogenStager ne parvient pas à exécuter des scripts Python, car sa fonction principale a été remplacée par un code malveillant permettant de se reconnecter à distance.
C2 mises en scène
Le code malveillant de reconnexion contenu dans la fonction Py_Main s'exécutera automatiquement lors de l'exécution du programme. On constate que NitrogenStager se connecte à C2 serveurs à l'aide de quatre protocoles différents : TCP, TCP sur SSL, HTTP et HTTPS. Le package contient un script distinct pour chaque protocole ; chacun d'entre eux est capable de se connecter au serveur C2 , de décoder les réponses et de les exécuter.
Shell Meterpreter
Le script de l'étape suivante, téléchargé par la DLL NitrogenStager, est une adaptation d'un script Meterpreter. Une fois exécuté, le script Python établit un shell TCP inversé Meterpreter, permettant aux auteurs de la menace d'exécuter à distance du code sur le système.
Séances manuelles
Dans un cas, les auteurs de la menace ont exécuté plusieurs commandes via la session ouverte, passant ensuite à une intervention manuelle au clavier.
Les commandes manuelles ont permis de récupérer un fichier ZIP à partir d'un serveur C2 . Il a également téléchargé et exécuté un environnement Python supplémentaire afin de lancer une série de scripts Python qui entraînent l'exécution en mémoire de balises Cobalt Strike. Des commandes manuelles ont également été exécutées afin de procéder à la découverte et à l'énumération du domaine. Les sessions manuelles présumées font référence à des scripts Python que les auteurs de la menace ont téléchargés depuis un serveur Cobalt Strike C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le malvertising connaît actuellement un succès croissant auprès des cybercriminels ; ceux-ci doivent donc manifestement y voir une activité lucrative. » Cette campagne de logiciels malveillants « Nitrogen », bien qu'elle reste encore assez opportuniste, cible les utilisateurs à la recherche d'outils informatiques spécifiques couramment utilisés dans les entreprises.
Étant donné que ces publicités malveillantes apparaissent souvent sous forme de résultats sponsorisés dans les moteurs de recherche, CTI recommande d’éviter de cliquer sur ces résultats sponsorisés, en particulier lorsque vous recherchez des fichiers à télécharger. »
Avez-vous des informations à partager concernant ces articles ? Rendez-vous sur , , le forum de discussion de Taniumet pour lancer une conversation.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
