Dans le tour d'horizon de cette semaine, l'équipe CTI de Tanium examine comment les auteurs de menaces exploitent de plus en plus des outils légitimes à des fins malveillantes. Nous examinons ensuite la récente recrudescence des campagnes ClickFix impliquant le logiciel malveillant GHOSTPULSE, puis nous nous penchons sur une intrusion sophistiquée attribuée au groupe BlueNoroff.
Les cybercriminels exploitent des outils légitimes
Un article récent publié par Cisco Talos examine comment les cybercriminels exploitent de plus en plus des outils légitimes à des fins malveillantes. Cette tendance croissante souligne la nécessité pour les organisations de surveiller les habitudes d'utilisation des outils et d'adopter des stratégies de détection fondées sur le comportement.
Cisco Talos commence par présenter un exemple dans lequel une personne a été alertée d'une détection effectuée par sa solution de gestion des informations et des événements de sécurité (SIEM). Cette détection a été configurée pour se déclencher lorsque des outils système spécifiques étaient exécutés en succession rapide. Il a été activé pendant la nuit, ce qui a renforcé les soupçons. L'équipe a réussi à isoler les systèmes et à suivre leur activité.
Que sont les LOLBins ?
Selon Cisco Talos, les auteurs de menaces ont souvent recours à des binaires « living off the land » (LOLBins), c'est-à-dire des outils préinstallés pouvant être exploités pour mener des actions malveillantes sans qu'il soit nécessaire de télécharger ou d'installer de logiciels supplémentaires. Étant donné que ces outils sont déjà installés dans les systèmes d'exploitation et couramment utilisés à des fins légitimes, il est difficile de détecter toute utilisation malveillante.
En dehors de LOLBins, des acteurs malveillants exploitent également des outils commerciaux et open source. On peut citer par exemple DonPAPI, un outil open source servant à automatiser l'extraction à distance des identifiants. Ce phénomène a été observé lors de plusieurs missions.
[À lire également : 15 termes de cybersécurité que vous (et votre PDG) devriez déjà connaître]
Types d'outils faisant couramment l'objet d'abus
Le rapport Cisco Talos présente les outils les plus fréquemment utilisés à des fins malveillantes à l'heure actuelle, notamment :
- PsExec fait partie de la suite d'outils Sysinternals de Microsoft et permet aux utilisateurs d'exécuter des commandes aussi bien sur des systèmes locaux que distants. Les groupes d'auteurs de ransomware utilisent fréquemment PsExec pour exécuter des charges utiles sur plusieurs systèmes au sein d'un domaine.
- Impacket est une bibliothèque Python open source destinée aux audits réseau. Les acteurs malveillants utilisent souvent Impacket pour s'introduire dans des environnements et se déplacer latéralement au sein de ceux-ci.
- Mimikatz est un utilitaire permettant d'extraire des identifiants et de récupérer des mots de passe en texte clair. Il est couramment utilisé par les testeurs d'intrusion et les équipes rouges. Cependant, les cybercriminels utilisent souvent Mimikatz pour récupérer les identifiants de connexion et autres informations d'authentification afin de faciliter la propagation latérale au sein d' .
Lorsque les outils de gestion de l'accès à distance deviennent des vecteurs de menaces
Cisco Talos a également constaté une augmentation des cas d'utilisation abusive des outils de surveillance et de gestion à distance (RMM).
Ces outils sont généralement utilisés par les équipes informatiques ou les prestataires de services gérés (MSP) pour permettre l'accès à distance aux systèmes à des fins d'assistance, même s'il est facile de comprendre pourquoi les cybercriminels seraient intéressés par un accès à distance aussi aisé. Les pirates utilisent désormais ces outils pour assurer leur persistance et échapper à la détection.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il devient de plus en plus difficile de faire la distinction entre une activité administrative légitime et un comportement malveillant. Ce flou entre les différentes catégories rend la détection traditionnelle basée sur les signatures moins efficace, et accentue l'importance des détections basées sur le comportement et les anomalies.
Il est essentiel de se tenir informé des dernières attaques impliquant des outils open source et commerciaux pour se prémunir contre cette menace.
Les campagnes ClickFix continuent de prendre de l'ampleur
Elastic Security Labs signale une recrudescence des campagnes ClickFix, en particulier celles qui exploitent le chargeur de logiciels malveillants GHOSTPULSE pour diffuser des chevaux de Troie d'accès à distance (RAT) et des logiciels de vol d'informations. Bien que ClickFix soit actif depuis le début de l'année 2024, son activité s'est récemment intensifiée.
Elastic a présenté en détail une campagne qui exposait l'ensemble de la chaîne d'attaque, en mettant en évidence les composants impliqués, les techniques utilisées et le logiciel malveillant finalement déployé.
Qu'est-ce qu'une attaque de type « ClickFix » ?
Les attaques de type « ClickFix » reposent sur une technique d'ingénierie sociale appelée « » : elles incitent les utilisateurs à effectuer des actions dangereuses en imitant des processus légitimes afin de gagner leur confiance et d'affaiblir leurs défenses.
Par exemple, ce type d'attaque peut prendre la forme d'une fausse invite CAPTCHA demandant à l'utilisateur de coller et d'exécuter du code sur son appareil.
Comment fonctionnent les attaques de type « ClickFix » ?
Comme le souligne Elastic, ClickFix constitue souvent le point d'entrée d'une chaîne d'attaques en plusieurs étapes. Dans l'une des campagnes analysées, le déroulement de l'attaque se présentait comme suit :
Étape 1 : Hameçonnage avec ClickFix
- L'attaque « » commence par une page de hameçonnage imitant une fenêtre de Captcha de Cloudflare.
- Les victimes sont amenées par la ruse à copier-coller et à exécuter du code PowerShell
- Ce code permet de télécharger un fichier ZIP contenant les composants du chargeur GHOSTPULSE
Étape 2 : Activation du chargeur GHOSTPULSE
- Décrypte un fichier qui a été envoyé avec le logiciel malveillant de la phase 1
- Extrait le code « Stage 2 », qui vérifie la présence de processus spécifiques en cours d'exécution
Étape 3 : Déploiement ARECHCLIENT2
- Cible les mots de passe, les cookies et les données d'automatisation enregistrés dans le navigateur
- Effectue le profilage et la reconnaissance du système
- Exécute des commandes
Elastic a constaté que la page Captcha d'origine était hébergée sur deux domaines, qui étaient tous deux liés à une agence de publicité numérique. Ils estiment que l'attaquant a dû compromettre le serveur hébergeant ces domaines afin de mener à bien son action.
Rapports CTI connexes sur ClickFix
Pour en savoir plus sur l'évolution de ClickFix au fil des dernières campagnes, consultez ces résumés précédents de CTI :
- Publié sur 30 avril 2025 : Ce document examine comment des acteurs étatiques de Corée du Nord, d'Iran et de Russie ont récemment adopté la technique « ClickFix » pour diffuser des logiciels malveillants par le biais de l'ingénierie sociale
- Publié sur 12 mars 2025 : Met en lumière une campagne de hameçonnage de type « ClickFix » qui utilise SharePoint et l'API Microsoft Graph pour déployer discrètement un agent Havoc Demon modifié
- Publié le 26 juin 2024 : Cet article présente des informations sur l'utilisation de ClickFix dans le cadre de campagnes de hameçonnage à grande échelle visant à diffuser des logiciels malveillants tels que Vidar Stealer, TA571 ayant envoyé plus de 100 000 e-mails utilisant de faux documents comme appâts.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette recrudescence des attaques « ClickFix » met en évidence l'évolution des techniques d'ingénierie sociale et de diffusion de logiciels malveillants. Cette technique repose sur la confiance et la curiosité de la victime, ce qui la rend non seulement difficile à détecter, mais aussi plus susceptible de piéger les victimes que les méthodes auxquelles elles ont déjà été sensibilisées et formées.
Il convient de noter que ClickFix n'est pas seulement utilisé par des cybercriminels de bas niveau, mais également par des groupes plus sophistiqués soutenus par des États. Les équipes de sécurité sont invitées à mettre l'accent sur la sensibilisation des utilisateurs et à recourir à la détection comportementale pour identifier les activités suspectes.
BlueNoroff cible les appareils macOS
Des chercheurs de Huntress ont récemment analysé une campagne d'intrusion sophistiquée visant les utilisateurs de macOS dans la région du Web3 . Huntress attribue cette campagne au groupe BlueNoroff.
Cette attaque a exploité des techniques d'ingénierie sociale et une application infectée par un cheval de Troie afin de déployer un logiciel malveillant capable de voler des identifiants, d'assurer la surveillance et de se maintenir dans le système. Tout a commencé lorsqu'un cybercriminel a piégé un employé pour qu'il participe à une réunion Zoom falsifiée, au cours de laquelle figuraient des « deepfakes » des dirigeants de l'entreprise.
Abuser de la confiance : obtenir un accès grâce à une fausse invitation à une réunion
Le premier contact s'est établi via Telegram, où le pirate — se faisant passer pour un interlocuteur externe — a invité l'employé à participer à une conversation en direct. Le message comportait un lien Calendly qui semblait permettre de planifier une session Google Meet, mais qui redirigeait en réalité vers un domaine Zoom falsifié.
Quelques semaines plus tard, lorsque l'employé a rejoint la réunion, il a été confronté à plusieurs « deepfakes » représentant des cadres supérieurs de sa propre entreprise, en plus de celui du contact externe. Les deepfakes ont demandé à l'employé de télécharger une extension Zoom, prétextant que son micro ne fonctionnait pas. Le fichier téléchargé était un script AppleScript qui ouvrait la page Web officielle du SDK de Zoom tout en téléchargeant à l'insu de l'utilisateur une charge utile provenant d'un site malveillant.
Selon Huntress, ce script désactivera l'enregistrement de l'historique de bash, s'assurera que Rosetta 2 est bien installé, puis tentera d'obtenir et de vérifier le mot de passe de l'utilisateur. À la fin, il effacera l'historique du shell afin de compliquer l'analyse.
Analyse des logiciels malveillants : outils, tactiques et implants
Huntress a identifié plusieurs fichiers binaires malveillants sur l'ordinateur de la victime. Vous trouverez plus de détails sur chacun de ces binaires dans le rapport Huntress.
- d'implant persistant
Un fichier binaire nommé « Telegram 2 », écrit en Nim, sert de mécanisme de persistance et active la porte dérobée. Il est léger et dispose de fonctionnalités limitées : il permet d'exécuter des commandes « echo », d'exécuter des commandes via/bin/bash, de lancer un shell interactif et d'assurer la persistance. - Backdoor
La porte dérobée Root Troy V4 (RTV), écrite en Go, exécute une charge utile AppleScript afin de télécharger un implant supplémentaire. Huntress a constaté que cette commande avait été exécutée à six reprises entre l'intégration du périphérique et l'isolation de l'hôte. RTV prend en charge l'exécution de code à distance, y compris lorsque le système est en veille. - Chargeur comportant deux charges utiles supplémentaires : Un fichier binaire nommé « a » est téléchargé via la charge utile AppleScript. Elle accepte comme arguments un autre fichier binaire et un mot de passe, déchiffre deux charges utiles intégrées et peut écraser tous les fichiers du répertoire courant avec des zéros. Huntress a notamment mis en avant la fonctionnalité d’injection en deux étapes — peu courante sous macOS — comme une caractéristique remarquable :
1. La première charge utile déchiffrée est un implant basé sur Nim, utilisé pour les communications de commande et de contrôle.2. La deuxième est une application minimaliste développée en Swift, probablement destinée à prendre en charge les fonctionnalités de l'implant. - d'un enregistreur de frappe
L'attaquant a déployé XScreen, un outil permettant d'enregistrer les frappes au clavier, de capturer l'écran et de récupérer les données du presse-papiers. - , un logiciel de vol d'informations
Le logiciel de vol d'informations « airmond » cible les portefeuilles de cryptomonnaies en analysant les extensions de navigateur installées et en extrayant les données associées. - Fichier binaire leurre
Le fichier binaire final, NetChk, est pratiquement vide. Il génère en permanence des nombres aléatoires — sans doute pour servir de leurre et détourner l'attention des analystes pendant l'enquête.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
BlueNoroff a fait évoluer ses stratégies pour tirer parti de l'écosystème Web3 . La capacité de ce groupe à créer et à exploiter des logiciels malveillants complexes sous macOS démontre une fois de plus son niveau de sophistication et l'importance qu'il accorde au développement de capacités multiplateformes.
Il est évident que macOS devient une cible de plus en plus prisée, en particulier par les cybercriminels les plus sophistiqués. Outre ses techniques sophistiquées, ce groupe se tient également au courant des dernières tendances en matière de cybercriminalité grâce à son utilisation des « deepfakes » et de techniques avancées d'ingénierie sociale.
Le rapport de Huntress, disponible à l'adresse , est bien plus détaillé pour ceux qui recherchent une analyse plus technique.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
