Cette semaine, le CTI mène l'enquête sur un groupe d'espionnage chinois connu sous le nom de « Silk Typhoon », qui cible désormais les solutions informatiques pour obtenir un premier accès. CTI se penche ensuite sur une campagne dans le cadre de laquelle des cybercriminels envoient de fausses demandes de rançon aux dirigeants par courrier postal. Enfin, CTI analyse une campagne de phishing de type « » (à la manière de ClickFix) (s'ouvre dans un nouvel onglet) visant à déployer un agent Havoc Demon modifié.
Silk Typhoon change de stratégie
Microsoft a récemment constaté (s'ouvre dans un nouvel onglet) une évolution des cibles ainsi que des tactiques, techniques et procédures (TTP) du groupe Silk Typhoon, une organisation d'espionnage chinoise. Le groupe réoriente désormais ses efforts vers les services informatiques courants, notamment les outils de gestion à distance et les applications cloud, afin d'y obtenir un premier accès.
Par exemple, ce groupe exploite de manière abusive des clés API et des identifiants volés — notamment ceux liés à la gestion des accès privilégiés (PAM), aux fournisseurs d’applications cloud et aux entreprises de gestion des données dans le cloud — afin de compromettre les chaînes d’approvisionnement (s’ouvre dans un nouvel onglet).
On a également constaté que ce groupe menait plusieurs actions post-vol lui permettant de s'infiltrer davantage et d'exploiter les chaînes d'approvisionnement compromises, ce qui a eu des répercussions plus larges sur plusieurs organisations, notamment :
- Accès aux clients ou locataires en aval
- Utiliser un accès pour mener des missions de reconnaissance à des fins d'espionnage
- Réinitialisation des comptes administrateur par défaut
- Implantation de « web shells »
- Création d'utilisateurs supplémentaires
Selon Microsoft, les victimes de ces activités en aval étaient principalement issues des administrations d'État et locales , de l'administration fédérale (s'ouvre dans un nouvel onglet) ainsi que du secteur des technologies de l'information.
Qui est Silk Typhoon ?
Silk Typhoon est un groupe chinois de cyberespionnage actif depuis au moins 2020. Selon Microsoft, ce groupe est connu pour « mettre rapidement en œuvre des exploits ciblant les vulnérabilités « zero-day » découvertes dans l’ (s’ouvre dans un nouvel onglet) sur les appareils périphériques ».
Auparavant connu sous le nom de « Hafnium », ce groupe cible principalement des organisations situées aux États-Unis dans divers secteurs, notamment technology (s'ouvre dans un nouvel onglet), des agences gouvernementales, etc.
Comme le souligne Microsoft, ce groupe est d'une sophistication exceptionnelle et « dispose de l'une des plus vastes zones d'action parmi les acteurs malveillants chinois ». Ce ciblage à grande échelle résulte principalement de l'approche opportuniste du groupe, qui consiste à sélectionner des victimes potentielles à partir d'opérations de recherche de vulnérabilités. Ce groupe a démontré sa maîtrise des environnements cloud grâce à sa capacité à y opérer avec succès.
Attaques par force brute et utilisation abusive des mots de passe
Microsoft a également constaté que cet acteur obtenait un accès initial au moyen d'attaques par « password spray » et d'autres techniques liées aux mots de passe.
L'acteur mènera des activités de reconnaissance en utilisant des mots de passe d'entreprise qui ont fait l'objet d'une fuite.
Pratiques, techniques et procédures récentes
Lors des récentes attaques de type « Silk Typhoon », l'acteur malveillant obtient un accès initial en créant des exploits « zero-day » ou en identifiant et en ciblant des instances de services vulnérables. L'acteur semble se concentrer sur les fournisseurs de services informatiques, la gestion des identités (s'ouvre dans un nouvel onglet), la gestion des accès privilégiés et les solutions RMM. Dans le rapport « janvier 2025 », Microsoft a constaté que l'acteur exploitait spécifiquement une faille « zero-day » dans le VPN Pulse Connect d'Ivanti.
Une fois qu'il a obtenu un premier accès, l'acteur recourt généralement à des tactiques courantes pour passer de l'environnement sur site au cloud. Pour ce faire, on observe que l'acteur déverse des données Active Directory (s'ouvre dans un nouvel onglet), vole des mots de passe dans des coffres-forts de clés et procède à une élévation de privilèges. Microsoft a également constaté que l'acteur ciblait les serveurs Microsoft AAD Connect (Entra Connect) au cours de cette phase de l'attaque.
On a constaté que ce groupe exploitait de manière abusive les principaux services et les applications OAuth pour exfiltrer des données provenant de la messagerie électronique, de OneDrive et de SharePoint via MSGraph. Par ailleurs, Microsoft a constaté des cas où Silk Typhoon a compromis des applications multi-locataires. Par ailleurs, ce groupe est connu pour recourir à des réseaux clandestins afin de dissimuler ses activités malveillantes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'un des principaux enseignements à retenir est que les acteurs prennent conscience de l'intérêt qu'il y a pour eux à cibler une organisation disposant de clients en aval afin d'étendre encore davantage leur champ d'action, ce qui accroît considérablement la menace.
De plus, Silk Typhoon n'utilise pas d'infrastructure dédiée. Au contraire, le groupe utilisera des réseaux compromis, des serveurs proxy, etc., ce qui lui permettra de dissimuler plus facilement ses activités malveillantes parmi des opérations légitimes. Ceci, associé au ciblage opportuniste du groupe, fait sans aucun doute de Silk Typhoon une organisation à surveiller de près. Il est également possible que d'autres acteurs commencent à s'inspirer des cibles et des méthodes, techniques et procédures (TTP) de Silk Typhoon.
Microsoft a publié des recommandations utiles (s'ouvre dans un nouvel onglet), ainsi que des conseils de recherche, des requêtes et diverses alertes Defender pouvant vous aider à identifier les activités associées.
Les cybercriminels ciblent les dirigeants à l'aide de lettres de rançon physiques
GuidePoint Security a reçu plusieurs signalements (s'ouvre dans un nouvel onglet) de la part de différentes organisations concernant une fausse demande de rançon envoyée par courrier postal. Ces lettres sont envoyées depuis des adresses situées aux États-Unis à des dirigeants d'entreprise et contiennent des informations que l'on retrouve souvent dans les demandes de rançon reçues par voie électronique.
Que contient cette fausse lettre de rançon ?
Le contenu de chaque lettre ressemble à celui des demandes de rançon généralement laissées sur les appareils piratés. La première partie de la lettre indique que l'auteur de l'attaque a réussi à accéder aux systèmes de l'entreprise de la victime et qu'il exfiltre progressivement des informations sensibles. Comme c'est le cas pour la plupart des demandes de rançon, cette lettre demande au destinataire d'effectuer un paiement. Dans ce cas, le paiement est demandé sous forme de bitcoins et comprend un code QR indiquant l'adresse du portefeuille. GuidePoint a constaté que les demandes de rançon se situaient entre 250 000 et 350 000 dollars.
Les enveloppes physiques portent la mention « TIME SENSITIVE READ IMMEDIATELY » (URGENT – À LIRE IMMÉDIATEMENT) et sont affranchies d'un timbre « Forever » à l'effigie du drapeau américain.
Indicateurs d'une demande de rançon
L'auteur de la lettre affirme être lié au groupe « » BianLian : (s'ouvre dans un nouvel onglet). Toutefois, GuidePoint estime que cette lettre ne provient pas du groupe BianLian légitime.
Le principal élément qui soulève des doutes est le fait que ce serait la première fois qu'un groupe d'auteurs de ransomware envoie une lettre de rançon physique. Par ailleurs, la formulation et le contenu de cette lettre diffèrent de ceux des demandes de rançon précédemment envoyées par BianLian ; celle-ci se caractérise en effet par un anglais presque parfait et des structures de phrases complexes.
Une autre différence notable réside dans le fait que cette lettre ne propose aucun moyen de négocier le montant de la rançon ni de contacter l'auteur par e-mail ou via le dark web. Enfin, GuidePoint indique que ces adresses de portefeuille Bitcoin ont été créées récemment et n'étaient auparavant liées à aucun groupe.
[À lire également : L'art de la négociation face aux ransomwares] (s'ouvre dans un nouvel onglet)
Surtout, GuidePoint souligne que « dans les cas où nous avons constaté l'envoi de ces courriers, nous n'avons observé aucune activité d'intrusion avérée ou présumée pouvant indiquer des opérations de rançongiciel ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est étrange de constater que les cybercriminels reviennent à des techniques très rudimentaires et dépassées, comme l'envoi de messages par courrier postal. En général, les cybercriminels envoient par courrier postal des clés USB qui, une fois branchées sur un appareil, lancent un logiciel malveillant.
Dans le cadre de cette évolution intéressante, l'auteur de la menace envoie du contenu d'ingénierie sociale (s'ouvre dans un nouvel onglet) par courrier postal, au lieu d'un véritable contenu malveillant. Cependant, il ne s'agit peut-être pas d'une variante d'un classique, mais simplement d'un autre acteur qui se fait passer pour une opération de rançongiciel bien connue.
À l'heure actuelle, rien ne permet de confirmer que le groupe responsable du ransomware BianLian soit à l'origine de l'envoi de ces courriers. Il pourrait tout simplement s'agir d'un autre acteur malveillant cherchant à gagner rapidement de l'argent sans avoir à mettre en œuvre les aspects techniquement sophistiqués d'une attaque classique.
Les pirates informatiques utilisent l'astuce « ClickFix » pour déployer un agent Havoc Demon modifié
Fortinet a découvert (s'ouvre dans un nouvel onglet) une campagne de phishing de type « ClickFix » qui tente de déployer un agent Havoc Demon modifié.
Ce qui distingue cette campagne, c'est que l'auteur de la menace utilise SharePoint pour dissimuler chaque étape du logiciel malveillant et recourt à l'API Microsoft Graph pour intégrer de manière transparente ses C2 communications.
Accès initial
Selon Fortinet, l'attaque commence par un e-mail de hameçonnage classique contenant une pièce jointe au format HTML. L'e-mail lui-même suscite un sentiment d'urgence en indiquant au destinataire qu'il risque de se heurter à des « difficultés opérationnelles » s'il ne consulte pas l'avis joint. Le fichier joint, « Documents.html », est un exemple typique d'attaque ClickFix (s'ouvre dans un nouvel onglet). Il contient un faux message d'erreur destiné à inciter la victime à copier, coller et exécuter un script PowerShell malveillant.
La charge utile
La charge utile — qui est un script PowerShell — est hébergée sur SharePoint. Lorsque la victime exécute ce script, celui-ci vérifie d'abord s'il s'exécute dans un environnement sandbox avant de supprimer les clés de registre situées sous « HKCU:\Software\Microsoft » dont le nom commence par « zr_ ».
Il ajoutera alors la propriété spécifiée comme marqueur d'infection. Le script vérifiera ensuite que l'interpréteur Python, python.exe, est bien présent sur l'appareil, puis récupérera et exécutera le script Python distant. Cette opération s'effectue dans des fenêtres masquées afin de ne pas éveiller les soupçons de la victime.
Chargeurs de shellcode
Fortinet souligne que le script Python est également hébergé sur SharePoint, qu'il contient des informations de débogage et qu'il est rédigé en russe. Ce script fonctionne comme un chargeur de shellcode et s'exécute via l'interpréteur Python dans le terminal.
Un chargeur de shellcode GitHub appelé « KaynLdr » chargera de manière réflexive une DLL intégrée. Son objectif principal est de compliquer l'analyse, car il utilise le hachage d'API avec un algorithme DJB2 modifié et des API ntdll résolues pour le mappage et l'allocation de mémoire.
À propos de la DLL « Havoc Demon »
Havoc est un framework open source de niveau C2 couramment utilisé dans le cadre des missions de « red team » menées par l' (s'ouvre dans un nouvel onglet).
Dans ce cas précis, l'auteur de la menace associe Havoc à l'API Microsoft Graph afin de dissimuler les communications C2 . L'acteur utilise une DLL « Havoc Demon » modifiée ainsi qu'une deuxième fonction qui exploite l'API Graph pour initialiser des fichiers sur le site SharePoint.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est intéressant de constater que les attaques de type « ClickFix » gagnent en popularité, d’autant plus qu’elles reposent largement sur l’interaction de la victime. Non seulement la victime doit être piégée par un e-mail de hameçonnage, mais elle doit également continuer à copier, coller et exécuter un script PowerShell malveillant.
Cette attaque utilise également une autre tactique courante : elle exploite des services légitimes tels que l'API Microsoft Graph et SharePoint. Ces sources légitimes et connues peuvent contribuer à des taux de réussite plus élevés.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .