Dans le résumé de cette semaine, l’équipe CTI Tanium explore comment les acteurs malveillants abusent de plus en plus d’outils légitimes à des fins malveillantes. Nous examinons ensuite la récente hausse des campagnes ClickFix impliquant des logiciels malveillants GHOSTPULSE, suivie d’un examen d’une intrusion sophistiquée attribuée au groupe BlueNoroff.
Les cyberattaquants exploitent des outils légitimes
Une publication récente de Cisco Talos explore comment les cyberattaquants exploitent de plus en plus d’outils légitimes à des fins malveillantes. Cette tendance croissante souligne la nécessité pour les organisations de surveiller les modèles d’utilisation des outils et d’adopter des stratégies de détection basées sur le comportement.
Cisco Talos commence par un exemple dans lequel une personne a été alertée d’une détection de sa solution de gestion des informations et des événements de sécurité (SIEM). Cette détection a été configurée pour se déclencher lorsque des outils système spécifiques ont été exécutés en succession rapide. Il a été activé du jour au lendemain, ce qui a suscité des soupçons supplémentaires. L’équipe a pu isoler les systèmes et suivre l’activité.
Que sont les LOLBins ?
Selon Cisco Talos, les acteurs malveillants tirent souvent parti des binaires fonciers (LOLBins), qui sont des outils préinstallés qui peuvent être exploités pour exécuter des actions malveillantes sans avoir besoin de télécharger ou d’installer des logiciels supplémentaires. Étant donné que ces outils sont déjà installés dans les systèmes d’exploitation et couramment utilisés pour des activités légitimes, il est difficile de détecter les abus malveillants.
En dehors de LOLBins, les acteurs abusent également des outils commerciaux et open source. Un exemple est DonPAPI, un outil open source utilisé pour automatiser le dumping d’informations d’identification à distance. Il a été observé dans plusieurs engagements.
[Lire également : 15 termes de cybersécurité que vous (et votre PDG) devez connaître à présent]
Types d’outils fréquemment utilisés
Le rapport Cisco Talos décrit les outils les plus couramment utilisés aujourd’hui, notamment :
- PsExec fait partie de la suite d’outils Sysinternals de Microsoft et permet aux utilisateurs d’exécuter des commandes sur des systèmes locaux et distants. Les groupes de rançongiciels utilisent fréquemment PsExec pour exécuter des charges utiles sur plusieurs systèmes au sein d’un domaine.
- Impacket est une bibliothèque Python open source pour les audits réseau. Les acteurs malveillants utilisent souvent Impacket pour pénétrer les environnements et se déplacer latéralement entre les environnements.
- Mimikatz est un utilitaire de suppression d’informations d’identification pour extraire des mots de passe en texte brut. Il est couramment utilisé par les testeurs de pénétration et les équipes rouges. Cependant, les cybercriminels utilisent souvent Mimikatz pour lever les connexions de compte et d’autres informations d’identification pour permettre un mouvement latéral.
Lorsque les outils de gestion des accès distants deviennent des vecteurs de menaces
Cisco Talos a également découvert une augmentation de l’utilisation abusive des outils de surveillance et de gestion à distance (RMM).
Ces outils sont généralement utilisés par les équipes informatiques ou les MSP pour permettre l’accès à distance aux systèmes d’assistance, bien qu’il soit facile de supposer pourquoi les acteurs malveillants seraient intéressés par un accès à distance facile. Les attaquants utilisent désormais ces outils pour maintenir la persistance et éviter la détection.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il est de plus en plus difficile de faire la distinction entre une activité administrative légitime et un comportement malveillant. Ce flou des lignes rend la détection traditionnelle basée sur la signature moins efficace, et les détections basées sur le comportement et les anomalies plus critiques.
Se tenir informé des derniers abus impliquant des outils open source et commerciaux est essentiel pour se défendre contre cette menace.
Les campagnes ClickFix continuent à s’accélérer
Elastic Security Labs signale une augmentation des campagnes ClickFix, en particulier celles qui tirent parti du chargeur de logiciels malveillants GHOSTPULSE pour fournir des chevaux de Troie d’accès à distance (RAT) et des voleurs d’informations. Bien que ClickFix soit actif depuis début 2024, son activité s’est récemment intensifiée.
Elastic a détaillé une campagne qui a présenté l’ensemble de la chaîne d’attaque, mettant en évidence les composants impliqués, les techniques utilisées et le logiciel malveillant finalement délivré.
Que sont les attaques ClickFix ?
Les attaques de type ClickFix s’appuient sur l’ ingénierie sociale, incitant les utilisateurs à prendre des mesures dangereuses en imitant des processus légitimes pour renforcer la confiance et réduire les défenses.
Par exemple, ce type d’attaque peut apparaître comme une fausse invite CAPTCHA qui demande à l’utilisateur de coller et d’exécuter le code sur son appareil.
Comment fonctionnent les attaques ClickFix ?
Comme le souligne Elastic, ClickFix est souvent le point d’entrée d’une chaîne d’attaque en plusieurs étapes. Dans une campagne analysée, la progression du flux d’attaque ressemblait à ceci :
Étape 1 : hameçonnage avec ClickFix
- L’ attaque commence par une page d’ hameçonnage imitant une invite Cloudflare Captcha
- Les victimes sont trompées dans le collage et l’exécution du code PowerShell
- Ce code télécharge un fichier ZIP contenant des composants pour le chargeur GHOSTPULSE
Étape 2 : activation du chargeur GHOSTPULSE
- Décrypte un fichier qui a été envoyé avec le logiciel malveillant pour l’étape 1
- Extrait le code de l’étape 2 , qui vérifie les processus d’exécution spécifiques
Étape 3 : déploiement de ARECHCLIENT2
- Cible le mot de passe stocké dans le navigateur, les cookies et les données d’automatisation
- Effectue le profilage et la reconnaissance du système
- Exécute les commandes
Elastic a déterminé que la page Captcha originale était hébergée sous deux domaines, tous deux liés à une agence de publicité numérique. Ils pensent que l’attaquant doit avoir compromis le serveur hébergeant les domaines pour faciliter leur activité.
Rapports CTI connexes sur ClickFix
Pour en savoir plus sur la manière dont ClickFix a évolué au cours des campagnes récentes, consultez ces précédents résumés CTI :
- Publié 30 avril 2025 : explore comment les acteurs nationaux de Corée du Nord, d’Iran et de Russie ont récemment adopté la technique ClickFix pour fournir des logiciels malveillants via l’ingénierie sociale
- Publié 12 mars 2025 : met en évidence une campagne d’hameçonnage de type ClickFix qui utilise SharePoint et l’API Microsoft Graph pour déployer discrètement un agent Havoc Demon modifié
- Publié 26 juin 2024 : inclut des informations sur ClickFix utilisé dans les campagnes d’hameçonnage généralisées pour fournir des logiciels malveillants tels que Vidar Stealer, TA571 envoyant plus de 100 000 e-mails à l’aide de faux e-mails de documents
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette augmentation des attaques ClickFix révèle l’évolution de l’ingénierie sociale et des tactiques de livraison de logiciels malveillants. Cette technique repose sur la confiance et la curiosité de la victime, ce qui rend non seulement difficile la détection, mais également plus susceptible d’induire les victimes en erreur que les méthodes sur lesquelles elles sont déjà éduquées et formées.
Il convient de noter que ClickFix n’est pas seulement utilisé par les cybercriminels de bas niveau, mais également par des groupes parrainés par l’État plus sophistiqués. Les équipes de sécurité sont encouragées à se concentrer sur l’éducation des utilisateurs et à utiliser la détection comportementale pour identifier les activités suspectes.
BlueNoroff cible les appareils macOS
Les chercheurs de Huntress ont récemment analysé une campagne d’intrusion sophistiquée ciblant les utilisateurs de macOS dans l’espace Web3 . Huntress attribue la campagne au groupe BlueNoroff.
L’attaque a tiré parti de l’ingénierie sociale et d’une application trojanisée pour déployer des logiciels malveillants capables de vol d’informations d’identification, de surveillance et de persistance. Tout a commencé lorsqu’un acteur malveillant a piégé un employé pour rejoindre une réunion Zoom falsifiée remplie de faux profonds de la haute direction de l’entreprise.
Exploiter la confiance : obtenir l’accès grâce à une fausse invitation à une réunion
Le contact initial est venu via Telegram, où l’attaquant, se faisant passer pour un contact externe, a invité l’employé à une conversation en direct. Le message comprenait un lien Calendly qui semblait planifier une session Google Meet, mais plutôt redirigé vers un domaine Zoom usurpé.
Des semaines plus tard, lorsque l’employé a rejoint la réunion, il a été rencontré plusieurs faux de hauts dirigeants au sein de sa propre entreprise, en plus du contact externe. Les faux profonds ont demandé à l’employé de télécharger une extension Zoom parce que son microphone ne fonctionnait pas. Le fichier téléchargé était un AppleScript qui a ouvert la page Web légitime du SDK Zoom tout en téléchargeant silencieusement une charge utile à partir d’un site malveillant.
Selon Huntress, ce script désactivera la journalisation de l’historique bash, s’assurera que Rosetta 2 est installé et tentera d’obtenir et de vérifier le mot de passe de l’utilisateur. À la fin, cela supprimera l’historique de shell pour rendre l’analyse plus difficile.
Décomposition des logiciels malveillants : outils, tactiques et implants
La chasse a identifié plusieurs binaires malveillants sur l’hôte de la victime. Vous trouverez plus de détails sur chacun de ces binaires dans le rapport Huntress.
- Implant persistant
Un binaire nommé Telegram 2, écrit en Nim, agit comme mécanisme de persistance et initie la porte dérobée. Il est léger et a des fonctionnalités limitées, capable d’exécuter des commandes d’écho, de s’exécuter via/bin/bash, de lancer une shell interactive et d’établir la persistance. - Backdoor
The Root Troy V4 (RTV), écrit en Go, exécute une charge utile AppleScript pour télécharger un implant supplémentaire. Huntress a observé que cette commande était exécutée six fois entre l’intégration de l’appareil et l’isolation de l’hôte. RTV prend en charge l’exécution de code à distance, y compris pendant le sommeil du système. - Chargeur avec deux charges utiles supplémentaires Un fichier binaire nommé « a » est téléchargé via la charge utile AppleScript. Il accepte un autre binaire et un mot de passe comme arguments, décrypte deux charges utiles intégrées et peut écraser tous les fichiers du répertoire actuel avec des zéros. En particulier, Huntress a souligné la capacité d’injection de processus en deux parties, peu courante sur macOS, comme une caractéristique remarquable :
1. La première charge utile décryptée est un implant basé sur Nim utilisé pour la communication de commande et de contrôle.2. La seconde est une application minimale basée sur Swift, probablement utilisée pour prendre en charge la fonctionnalité de l’implant. - Enregistreur de clés
L’attaquant a déployé XScreen, un outil pour l’enregistrement de clés, l’enregistrement d’écran et la capture de données dans le presse-papiers. - Infostealer
L’infostealer airmond cible les portefeuilles de cryptomonnaies en analysant les extensions de navigateur installées et en extrayant les données associées. - Decoy binaire
Le binaire final, NetChk, est presque vide. Il génère en permanence des nombres aléatoires, probablement comme une décoy pour distraire les analystes pendant l’enquête.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
BlueNoroff a fait évoluer ses tactiques pour exploiter l’écosystème Web3 . La capacité du groupe à créer et à utiliser des logiciels malveillants macOS complexes démontre encore plus sa sophistication et son investissement dans des capacités multiplateformes.
Il est évident que macOS devient une cible plus populaire, en particulier pour les acteurs de menaces avancées. Outre ses tactiques techniques sophistiquées, le groupe se tient également informé des tendances actuelles du paysage grâce à l’utilisation de deepfakes et d’une ingénierie sociale avancée.
Le rapport de Huntress est beaucoup plus détaillé pour ceux qui recherchent une analyse plus technique.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
