Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium mène l'enquête sur SantaStealer, un nouveau logiciel malveillant de type « malware-as-a-service » (MaaS) destiné au vol d'informations, qui a récemment été lancé et circule désormais en liberté. L'équipe se penche ensuite sur BlackForce, un kit de phishing sophistiqué qui cible les grandes marques. Pour finir, nous conclurons par un aperçu d’Ink Dragon, un groupe de cyberespionnage lié à la Chine.
SantaStealer se propage via Telegram et des forums clandestins
Rapid7 publie des informations détaillées sur SantaStealer, un nouveau logiciel malveillant de type « malware-as-a-service » (MaaS) conçu pour voler des identifiants, des données de navigateur, des portefeuilles numériques et bien plus encore, grâce à des plugins modulaires et à des techniques résidant en mémoire. Selon Rapid7, SantaStealer est désormais prêt à être utilisé en production et se propage dans la nature.
Bien qu'ils soient présentés comme extrêmement discrets, Rapid7 estime que les échantillons actuels présentent un faible niveau d'obfuscation et de sécurité opérationnelle, ce qui les rend plus faciles à détecter malgré des affirmations ambitieuses.
Découverte
Rapid7 a découvert pour la première fois que le logiciel malveillant SantaStealer faisait l'objet de publicités sur des forums clandestins.
Les chercheurs de Rapid7 ont analysé un fichier exécutable Windows qui a déclenché une règle générique de détection de logiciels de vol d'informations. Leur analyse a permis de mettre au jour une DLL comportant plus de 500 symboles exportés et de nombreuses chaînes de caractères non chiffrées liées au vol d'identifiants. Certains symboles présents dans la DLL les ont conduits à une chaîne de caractères contenant une configuration encodée au format JSON. Cette configuration comprenait notamment une bannière portant la mention « SANTA STEALER », accompagnée d'un lien vers la chaîne Telegram correspondante.
Pour aller plus loin, Rapid7 s'est penché sur la chaîne Telegram de SantaStealer. Les chercheurs ont découvert le panel web d'affiliation et ont créé un compte afin d'en savoir plus sur ce logiciel malveillant. Le panneau de contrôle en ligne présente une liste des fonctionnalités mises à la disposition des affiliés, selon qu'ils disposent de la formule de base ou de la formule premium.
Les échantillons de SantaStealer analysés par Rapid7 semblent contredire bon nombre des affirmations avancées par les exploitants. Cela a conduit les chercheurs à penser que ce logiciel malveillant est probablement encore en cours de développement et que les premiers échantillons ont peut-être été diffusés par inadvertance.
Détails techniques
Rapid7 a procédé à une analyse technique plus approfondie de l'un des échantillons exécutables. Les chercheurs ont constaté que le programme tente d'exécuter les versions DLL, mais qu'il rencontre finalement des problèmes.
Ils affirment que « la détection et le suivi de ces charges utiles sont simples, car tant la configuration du logiciel malveillant que l'adresse IP du serveur C2 sont intégrées dans le fichier exécutable en texte clair ». Cela pourrait changer si bon nombre des fonctionnalités annoncées pour SantaStealer venaient à être mises en œuvre.
Pour commencer, le logiciel malveillant vérifiera les valeurs saisies pour les paramètres suivants : , anti_cis, et , ainsi que exec_delay_seconds, , et réagira en conséquence. Le programme passe ensuite à sa fonction anti-VM, qui varie selon les échantillons. Rapid7 a constaté que certains échantillons recherchaient des processus et des noms d'ordinateurs figurant sur une liste noire, tandis que d'autres se contentaient de vérifier le nombre de processus en cours d'exécution, la durée de fonctionnement du système et la présence éventuelle de VirtualBox.
La charge utile tente finalement de voler les identifiants du navigateur. Rapid7 fournit davantage de détails techniques à ce sujet sur ; vous trouverez également des informations supplémentaires sur dans son rapport.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
SantaStealer constitue une menace MaaS de pointe, dotée de capacités modulaires et dont le niveau de sophistication ne cesse de croître. Toutefois, sa divulgation prématurée et sa simplicité technique offrent aux défenseurs des opportunités clés en matière de détection et d'analyse.
Ce logiciel de vol d'informations s'inscrit dans plusieurs tendances générales qui façonnent actuellement le paysage des menaces, notamment l'essor des écosystèmes MaaS, qui réduisent les barrières à l'entrée, ainsi que le détournement d'identifiants et de sessions, qui constitue un vecteur d'attaque majeur.
De nombreuses offres MaaS qui, au départ, présentent un faible niveau de sécurité opérationnelle, se renforcent au fil du temps, à mesure que leur chiffre d'affaires augmente. Si SantaStealer suit cette tendance, il est probable qu'il évolue et devienne plus sophistiqué.
Le kit de hameçonnage BlackForce cible de grandes marques
Un article récent de Zscaler, intitulé « », met en lumière BlackForce, un kit de phishing sophistiqué qui cible de grandes marques en utilisant des pages de connexion réalistes et des techniques de type « man-in-the-browser » pour voler des identifiants et contourner l'authentification multifactorielle (MFA) d' .
Selon Zscaler, BlackForce recourt à des tactiques de dissimulation sophistiquées, procède à l'exfiltration de données en temps réel via Telegram et continue d'évoluer grâce à des techniques d'obfuscation et à une logique hybride client-serveur.
Identification et analyse du code de BlackForce
Zscaler a mis en évidence une tendance distincte lors de ses recherches sur les campagnes de phishing « ». La tendance observée était la suivante : « les domaines utilisaient systématiquement des fichiers JavaScript dont le nom comportait des hachages permettant de contourner la mise en cache ».
Ce schéma lui a permis d'identifier le point d'entrée du kit de phishing BlackForce, qui consistait en une seule ligne dans le code HTML de la page chargée par la plateforme. Zscaler a constaté que plus de 99 % du contenu du fichier JavaScript malveillant comprenait des versions de production de React et de React Router, ce qui a contribué à donner au kit une apparence légitime.
Chaîne d'attaques BlackForce
Une attaque BlackForce commence lorsque la victime clique sur le lien de hameçonnage et accède à la page de hameçonnage de l'attaquant. Une liste noire de FAI et de fournisseurs, gérée côté serveur, est utilisée pour garantir qu'aucun trafic vers la page ne provienne d'un chercheur ou d'un scanner. Une fois cette validation effectuée, la page de hameçonnage s'affiche à l'écran de la victime, à qui l'on demande de saisir ses identifiants.
À ce stade, l'attaquant recevra une alerte l'informant que les identifiants ont été envoyés sur son compte C2 et sur sa chaîne Telegram. L'attaquant tente ensuite de se connecter à l'aide des identifiants volés.
Dans de nombreux cas, cela déclenche l'authentification à plusieurs facteurs (MFA) et l'attaquant devra envoyer une fausse page d'authentification MFA à la victime via BlackForce. Si la victime se laisse piéger par cette fausse page et saisit le code d'authentification multifactorielle, le pirate parviendra à accéder au compte. À la toute fin de l'attaque, la victime sera redirigée vers le site web légitime.
Exfiltration
Zscaler a constaté que BlackForce utilise Axios pour gérer ses communications. Il existe deux instances Axios côté client : la première sert à la communication C2 et la seconde à l'exfiltration des données vers le canal Telegram de l'attaquant.
Anti-analyse
À l'instar de nombreux kits de phishing, BlackForce utilise diverses techniques visant à empêcher son analyse. Zscaler a détecté ce phénomène grâce à un filtre proactif côté client qui empêche les environnements de test et les robots d'accéder à la page de hameçonnage.
La version 4 va encore plus loin et applique une politique réservée aux appareils mobiles qui rejettera tous les agents utilisateurs de type ordinateur de bureau. Le kit comprend également une liste des pays autorisés afin de garantir que seules les victimes ciblées soient redirigées vers la page de hameçonnage.
État
Les versions ultérieures de BlackForce se sont distinguées des versions précédentes par le passage d'un modèle d'attaque « sans état » à un modèle « avec état ». Dans les versions 4 et 5, le kit utilise les fonctionnalités « sessionStorage » et « » du navigateur pour créer une session avec état, ce qui lui permet de mémoriser les identifiants tout au long de l'attaque.
C2 communication
Le panneau C2 sert à contrôler les actions qui se déroulent après que la victime a accédé à la page de hameçonnage, et ce jusqu'au moment où les données sont volées. Le panneau comporte plusieurs fonctions, notamment celles permettant d'identifier le visiteur, de dérober les données de la victime, de gérer le déroulement de la session de hameçonnage et de gérer l'attaque.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le kit BlackForce montre comment le phishing a évolué pour devenir un modèle de service hautement professionnalisé, comprenant des mises à jour de version, des améliorations des fonctionnalités et un service client.
Cet exemple montre également comment les pirates s'efforcent désormais activement de contourner la détection automatisée et les analyses des chercheurs, ce qui complique la tâche des services de renseignements sur les menaces et des défenses automatisées.
Ink Dragon lance de nouvelles attaques
Check Point Research partage des informations sur une nouvelle vague d'attaques menées par Ink Dragon, un groupe de cyberespionnage lié à la Chine qui compromet des serveurs accessibles au public en exploitant des vulnérabilités d'IIS et de SharePoint, puis se déplace latéralement pour collecter des identifiants et étendre ses privilèges.
On a constaté qu’Ink Dragon mettait en place des réseaux de relais clandestins sur les infrastructures des victimes à l’aide de modules ShadowPad personnalisés, ce qui lui permettait d’assurer un système de commande et de contrôle furtif ainsi qu’un accès à long terme dans plusieurs environnements.
Accès initial
Selon Check Point, l'auteur de la menace exploite généralement la désérialisation ASP.NET à l'aide de clés de machine rendues publiques.
On a également constaté que l'acteur exploitait la vulnérabilité de SharePoint ToolShell pour obtenir un accès initial.
Déplacement latéral
Une fois qu'il a compromis un serveur web, Ink Dragon tire parti de deux avantages clés : il accède aux identifiants privilégiés d'IIS et obtient une visibilité sur les sessions d'administration actives.
Grâce aux identifiants IIS, l'acteur peut passer de l'exécution d'un processus de travail IIS au contrôle total du système, assurer la persistance via des tunnels RDP ou des tâches planifiées, puis se déplacer latéralement vers d'autres serveurs en étant très peu détecté. Une fois à l'intérieur, ils déploieront des implants tels que ShadowPad ou FinalDraft à l'aide de protocoles natifs (par exemple, SMB), en dissimulant ces services sous des noms légitimes afin de préserver leur discrétion.
Persévérance
Check Point a observé deux schémas en matière de persistance, notamment l'utilisation de tâches planifiées portant des noms d'apparence inoffensive et l'installation de services sur plusieurs machines afin de lancer des chargeurs.
Élévation des privilèges
Ink Dragon combine l'exploitation de vulnérabilités et le vol d'identifiants pour se déplacer latéralement et prendre le contrôle total du domaine. On constate que l'acteur étend ses privilèges au niveau local, enregistre des données LSASS et des branches de registre, et détourne des sessions RDP d'administrateur inactives afin de réutiliser les jetons.
Activation de la sortie
Comme le souligne Check Point, Ink Dragon « a modifié les règles du pare-feu des hôtes afin d’autoriser un trafic sortant très étendu et a ainsi transformé les hôtes compromis en nœuds d’exfiltration et de proxy sans aucune restriction ».
Mise en place du réseau de relais
Check Point a découvert que cet acteur malveillant « transforme activement les organisations compromises en nœuds de communication opérationnels au sein d'un réseau de relais ShadowPad distribué ».
Ink Dragon utilise un module ShadowPad IIS Listener personnalisé pour transformer les serveurs compromis en centres de communication clandestins au sein d'un réseau de relais distribué. En enregistrant de manière dynamique des points de terminaison HTTP(S) cachés qui se fondent dans le trafic IIS normal, l’implant intercepte les requêtes, déchiffre les charges utiles et relaie les commandes entre les nœuds externes et internes, créant ainsi un maillage à plusieurs sauts au sein de l’infrastructure de la victime qui masque la véritable origine C2 , permet des mouvements latéraux et rend la détection extrêmement difficile.
Outils et exploitation post-intrusion
Selon Check Point, Ink Dragon utilise divers outils supplémentaires, notamment :
- ShadowPad Loader
- CBDLoader pour l'exécution de charges utiles résidant en mémoire
- LalsDumper pour l'extraction des fichiers de vidage LSASS
- 032Loader en tant que chargeur de charge utile dépendant de l'hôte
- FinalDraft which is a long-term espionage and cloud C2
Victimologie
Ink Dragon cible principalement les organisations gouvernementales d' , mais s'est également attaqué à d'autres secteurs.
Ink Dragon opère à l'échelle mondiale, ciblant des victimes en Asie du Sud-Est et en Afrique, et s'est récemment étendu à l'Europe.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ink Dragon est un acteur malveillant très discipliné, agissant pour le compte d’un État, qui ne se contente pas de voler des données, mais s’infiltre également en profondeur dans les environnements d’entreprise à l’aide de techniques furtives imitant un comportement légitime.
En transformant les serveurs victimes en nœuds relais clandestins et en exploitant abusivement des API cloud de confiance, ils rendent la détection et le confinement extrêmement difficiles, ce qui signifie qu’un simple point d’ancrage peut déboucher sur une compromission à long terme touchant l’ensemble du réseau. Cet acteur illustre parfaitement la convergence entre les activités traditionnelles des groupes APT et les réalités actuelles des entreprises.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
