Cette semaine, CTI se penche sur les campagnes d'e-mails qui exploitent une boîte à outils de « phishing-as-a-service » (PhaaS) appelée Rockstar 2FA. Next CTI mène actuellement une enquête sur « RevC2 » et « Venom Loader », deux nouvelles familles de logiciels malveillants qui ont été utilisées dans le cadre de campagnes menées entre août et octobre 2024. Enfin, CTI se penche sur une attaque récente impliquant le célèbre logiciel malveillant SmokeLoader.
Rockstar 2FA s'adresse aux utilisateurs de Microsoft 365
Trustwave met en garde contre des campagnes d'e-mails exploitant le service « Rockstar 2FA » (), qui est une version mise à jour du service de hameçonnage DadSec/Phoenix.
La campagne exploite une technique d' e de type « adversaire intermédiaire » (AiTM) afin de dérober des identifiants et des cookies, ce qui rend les comptes protégés par l'authentification multifactorielle (MFA) vulnérables aux attaques.
Présentation de la campagne
Les chercheurs de Trustwave suivent depuis quelque temps une vaste campagne de hameçonnage qui a atteint son apogée en août 2024 e et qui est toujours active à ce jour. Cette campagne exploite une attaque de type AiTM qui permet à l'auteur de l'attaque d'intercepter des identifiants et des cookies. Cette campagne cible les comptes d'utilisateurs Microsoft à l'aide de pages imitant la page de connexion de Microsoft 365 . Trustwave souligne que cette campagne comprend des pages web sur le thème de l'automobile, ce qui leur a permis d'identifier plus de 5 000 domaines liés à ce thème et associés à la campagne.
Rockstar 2FA PhaaS
Cette campagne est liée au kit de hameçonnage « Rockstar 2FA ». Les activités de marketing et de communication de Rockstar 2FA ont été observées sur ICQ, Telegram et Mail[.]ru. Ce kit de phishing intègre notamment des fonctionnalités permettant de contourner l'authentification multifactorielle, la collecte de cookies, une protection anti-bot, des thèmes de connexion, un code source et des pièces jointes aléatoires, ainsi que des liens totalement indétectables (FUD), et bien plus encore.
Campagnes par e-mail
Les e-mails de ces campagnes sont diffusés de différentes manières, notamment par le biais de comptes piratés, d'outils de spam et de l'utilisation abusive de plateformes légitimes. L'acteur utilise divers prétextes et appâts dans ses e-mails, notamment des notifications de partage de documents et de fichiers, des messages liés aux ressources humaines ou à la paie, des notifications du service informatique, des alertes concernant les mots de passe, etc.
Trustwave a constaté que l'acteur utilisait diverses techniques pour contourner les systèmes de détection anti-spam, telles que l'obfuscation, les liens FUD et les codes QR, entre autres. Les liens contenus dans les e-mails mènent soit à une page d'accueil de hameçonnage, soit à un site consacré à l'automobile, selon la réponse du serveur AiTM. Les visiteurs de cette page sont soumis à un test de sécurité Cloudflare Turnstile, que les cybercriminels utilisent souvent pour contourner les analyses automatisées.
Page de hameçonnage AiTM
La page de hameçonnage s'affiche une fois que vous avez franchi le défi Turnstile de Cloudflare. Trustwave estime que des contrôles sont en place pour déterminer si la page de hameçonnage ou la page leurre sur le thème de l'automobile doit être affichée à l'utilisateur.
La page de hameçonnage recueillera les données saisies par l'utilisateur et les transmettra au serveur AiTM. Ces identifiants peuvent ensuite être utilisés pour obtenir le cookie de session.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Trustwave résume bien la gravité de cette menace en affirmant que « les attaques de hameçonnage courantes, telles que les campagnes liées à la plateforme PaaS Rockstar 2FA , restent très répandues en raison de leur faible coût et de leur facilité de mise en œuvre. »
L'auteur de ces campagnes utilise « Rockstar 2FA » en complément de la technique « AiTM », ce qui augmente ses chances de réussite et ouvre la voie à de futures attaques utilisant des identifiants volés. À l'avenir, la boîte à outils Rockstar 2FA fera l'objet de nouvelles mises à jour et sera davantage utilisée.
Des cybercriminels déploient RevC2and logiciels malveillants « Venom Loader »
Zscaler a identifié deux nouvelles familles de logiciels malveillants, « RevC2 » et « Venom Loader », qui ont été utilisées dans le cadre de campagnes menées entre août et octobre 2024.
Ces deux familles de logiciels malveillants ont été déployées à l'aide d'outils de type « malware-as-a-service » (MaaS) par un acteur connu sous le nom de Venom Spider. La gamme Venom Loader est personnalisée pour chaque victime.
Campagne n° 1 : la documentation de l'API génère RevC2 résultats
La première campagne s'est déroulée entre août et septembre et a utilisé comme appât une documentation d'API pour diffuser sa charge malveillante (RevC2). Le mode de diffusion reste inconnu, mais la première phase de l'attaque commence par un fichier nommé VenomLNK. Ce fichier contient un script batch qui permettra de télécharger un fichier image servant d'appât pour la documentation de l'API.
VenomLNK exécutera une commande pour déclencher l'exécution de RevC2. RevC2 n'exécutera le logiciel malveillant que si diverses vérifications sont réussies, démontrant qu'il ne s'exécute pas dans un environnement de sandbox. RevC2 utilisera également les WebSockets pour la communication avec C2 . Ce logiciel malveillant est capable de nombreuses actions, notamment de voler des mots de passe, d'exécuter des commandes shell, de réaliser des captures d'écran, de rediriger le trafic via un proxy, de voler des cookies et d'exécuter des commandes en se faisant passer pour un autre utilisateur.
Campagne 2 : un leurre lié aux cryptomonnaies conduit au « Venom Loader »
La deuxième campagne s'est déroulée de septembre à octobre et a utilisé un leurre sous forme de transaction cryptographique pour diffuser Venom Loader. Venom Loader chargera à son tour une porte dérobée JavaScript appelée « More_eggs lite ». Cela permettra à l'acteur de disposer de capacités d'exécution de code à distance.
Comme pour la première campagne, le mode de distribution reste inconnu. Toutefois, les chercheurs ont confirmé que la première phase de l'attaque débute par le fichier VenomLNK, qui contient un script batch obfusqué et qui télécharge puis affiche l'image servant d'appât cryptographique. Le logiciel malveillant télécharge un fichier ZIP, le décompresse, puis installe manuellement une DLL malveillante qui lancera Venom Loader.
La DLL est créée sur mesure pour chacune des victimes, en utilisant le nom de l'ordinateur de la victime pour encoder la charge utile. Venom Loader est ensuite utilisé pour charger la porte dérobée « More_eggs lite », qui enverra en boucle des requêtes HTTP POST vers le C2.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La famille de logiciels malveillants Venom Loader présente un intérêt particulier, car elle est personnalisée pour chaque victime, ce qui est assez rare.
Il est possible que d'autres acteurs malveillants se mettent à utiliser ces deux familles de logiciels malveillants, étant donné qu'elles ont été déployées via les outils MaaS « Venom Spider », très prisés par des groupes malveillants notoires. Comme le souligne Zscaler, il est également probable que ces familles de logiciels malveillants évoluent pour intégrer de nouvelles fonctionnalités.
Le logiciel malveillant SmokeLoader refait surface après une période de déclin
Des chercheurs ont récemment observé une attaque qui utilisait le célèbre logiciel malveillant « » SmokeLoader.
L'activité de SmokeLoader avait considérablement diminué après qu'Europol eut démantelé l'infrastructure de plusieurs grandes familles de logiciels malveillants en mai 2024, ce qui rend la résurgence de ce logiciel malveillant d'autant plus remarquable.
Présentation générale et déroulement de l'attaque
En septembre, Fortinet a observé la campagne « SmokeLoader » visant des entreprises à Taïwan. Des entreprises issues de nombreux secteurs d'activité ont été victimes d'attaques, notamment dans les domaines de la santé, de l'industrie, de l'informatique et d'autres secteurs.
Le logiciel malveillant SmokeLoader est connu pour sa polyvalence et ses techniques de dissimulation. Ce logiciel malveillant sert de programme de téléchargement pour diffuser d'autres logiciels malveillants et, dans ce cas précis, télécharge des plugins depuis son serveur C2 .
SmokeLoader et le phishing
L'attaque commence par un e-mail de hameçonnage contenant une pièce jointe. Le fichier joint se présente comme un devis contenant des instructions particulières. Fortinet estime que ces e-mails pourraient être des copies provenant d'une autre source, car le nom du destinataire n'est pas modifié lorsqu'ils sont envoyés à d'autres organisations. De plus, la signature de l'e-mail présente une police, une couleur et un numéro de téléphone différents de ceux du corps du message.
Exploitation des vulnérabilités
La chaîne d'attaque exploitera dans un premier temps différentes vulnérabilités, mais aboutira tout de même à AndeLoader. La première vulnérabilité identifiée est la n° CVE-2017-0199 , une vulnérabilité de Microsoft Office qui exploite un objet de lien OLE2-embedded . L'autre vulnérabilité, la n° CVE-2017-11882, est une vulnérabilité de Microsoft Office permettant l'exécution de code à distance.
AndeLoader
L'acteur finit par utiliser AndeLoader, quelle que soit la vulnérabilité exploitée. Ce logiciel malveillant commence par un fichier VBS rempli de code inutile destiné à dissimuler le véritable code malveillant. Ce code permettra de télécharger un fichier JPG stéganographique contenant les données de l'injecteur. L'injecteur est simple et n'est pas obscurci. Cela permettra d'assurer la persistance et d'effectuer l'injection pour SmokeLoader.
Les plugins de SmokeLoader
Le serveur C2 de l'acteur met à disposition neuf plugins, dont trois plugins individuels et trois contenant à la fois des versions 32 bits et 64 bits. Ces plugins permettent à l'acteur malveillant de dérober des identifiants de connexion, des identifiants FTP, des adresses e-mail, des cookies et bien d'autres données à partir de divers navigateurs Web, d'Outlook, de Thunderbird, de FileZilla et de WinSCP.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
SmokeLoader a toujours été un outil sophistiqué et polyvalent. Les observations de Fortinet démontrent encore davantage la sophistication de ce logiciel malveillant, d’autant plus qu’une partie de son infrastructure (plus de 1 000 domaines de type « C2 ») avait déjà été démantelée par les forces de l’ordre.
Cela dit, cette campagne s'appuie sur des failles de sécurité datant de quelques années, ce qui rend son efficacité globale discutable. Il sera intéressant de voir si SmokeLoader commencera à exploiter des failles plus récentes au fil du temps.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, et lancez une conversation.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
