Cette semaine, l'équipe CTI de Tanium passe en revue les dernières conclusions de Cofense concernant le recours persistant au hameçonnage par SMS pour cibler des organisations et dérober des identifiants. Dans la suite de cet article, l'équipe se penche sur plusieurs campagnes qui exploitent Node.js pour diffuser des logiciels malveillants et d'autres charges utiles nuisibles. Enfin, nous examinons comment des convertisseurs de fichiers trompeurs sont utilisés pour diffuser des logiciels malveillants.
Les cybercriminels continuent d'exploiter les SMS en recourant à l'ingénierie sociale
Cofense signale (s'ouvre dans un nouvel onglet) une campagne de hameçonnage par SMS en cours visant des organisations dans le but de dérober des identifiants.
Au cours de son enquête, Cofense a constaté une recrudescence de ces attaques qui créent un faux sentiment d'urgence ou de peur afin d'inciter les destinataires à agir et à en devenir victimes.
Que disent ces SMS ?
Ces attaques commencent par l'envoi d'un SMS à un destinataire précis. Ces messages sont rédigés de manière à susciter un sentiment d'urgence ou de crainte, en utilisant des expressions telles que « attention » et « veuillez consulter les modifications ».
Selon Cofense, l'auteur de la menace a ajouté la phrase « Si ce n'était pas vous, veuillez vous connecter pour créer un ticket » afin d'inciter le destinataire à agir.
Comment fonctionne ce site malveillant ?
Si le destinataire clique sur le lien figurant dans le SMS, il est redirigé via Google afin que le message paraisse plus crédible. Une fois sur cette page, ils doivent cliquer sur un lien supplémentaire pour accéder à la page de destination finale.
La page de destination finale est une page de hameçonnage de type « » : (s'ouvre dans un nouvel onglet) . Celle-ci imite la page de connexion de ServiceNow et demande aux utilisateurs de saisir leurs identifiants. Si les identifiants sont saisis, la victime voit s'afficher une fausse invite d'authentification multifactorielle (MFA), ce qui permet à l'auteur de l'attaque d'obtenir à la fois les identifiants et les informations d'authentification multifactorielle.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette étude nous rappelle qu'il faut rester vigilant face au phishing, non seulement dans les e-mails, mais aussi dans les SMS.
De nombreux signes sont identiques, notamment le faux sentiment d'urgence, l'incitation à cliquer sur quelque chose et le message inattendu. Dans les deux cas, l'acteur cherchera souvent à instaurer un climat de confiance et à jouer sur les émotions humaines.
Une utilisation abusive de Node.js entraîne la diffusion de logiciels malveillants et de charges utiles malveillantes
Microsoft a identifié (s'ouvre dans un nouvel onglet) plusieurs campagnes qui exploitent Node.js pour diffuser des logiciels malveillants et d'autres charges utiles malveillantes.
Tout récemment, il a détecté une attaque par « malvertising » toujours en cours à ce jour, qui utilise Node.js dans le cadre d'une campagne de trading de cryptomonnaies. Cette campagne vise à inciter les utilisateurs, par la ruse, à télécharger un programme d'installation malveillant déguisé en logiciel légitime.
Qu'est-ce que Node.js ?
Node.js est un environnement d'exécution JavaScript open source qui permet d'exécuter du code JavaScript en dehors d'un navigateur web. Les développeurs utilisent souvent Node.js pour la programmation côté serveur et pour créer des applications réseau évolutives.
Comprendre la « malvertising »
Microsoft a constaté, dans les environnements de ses clients, que la diffusion de logiciels malveillants liés à Node.js par le biais de publicités malveillantes reste une pratique courante. Ces publicités malveillantes incitent les victimes à se rendre sur des sites web où elles téléchargeront et installeront des logiciels malveillants déguisés en logiciels légitimes.
Dans le cadre de cette campagne liée aux cryptomonnaies, les publicités avaient été conçues pour donner l'impression de provenir d'une plateforme de trading légitime, dans le but d'inciter les victimes à télécharger un programme d'installation malveillant. Ce programme d'installation contenait toutefois une DLL malveillante destinée à collecter des informations sur le système et à assurer la persistance du programme.
Lorsqu'il est lancé, le programme d'installation de paquets développé avec Wix charge une DLL qui recueille des informations via une requête WMI. Elle crée également une tâche de commande PowerShell planifiée afin d'assurer la persistance. La victime voit également s'afficher une fenêtre piégeuse présentant le site web légitime.
Comment ce logiciel malveillant échappe à la détection
La tâche planifiée mentionnée précédemment exécutera des commandes PowerShell afin d'exclure PowerShell et le répertoire actuel de l'analyse, ce qui empêchera que les futures exécutions de PowerShell ne déclenchent des alertes.
Comment ce type de logiciel malveillant collecte-t-il et exfiltre-t-il les données ?
Une commande PowerShell est exécutée pour récupérer et exécuter des scripts à partir d'URL distantes. Ces scripts permettront de collecter des informations sur Windows, le BIOS, le système et le système d'exploitation.
Selon Microsoft, les données sont « structurées sous la forme d'une table de hachage imbriquée, converties au format JSON, puis envoyées via une requête HTTP POST vers le serveur de commande et de contrôle (C2) de l'attaquant ».
Un script PowerShell supplémentaire s'exécute pour télécharger et extraire un fichier d'archive à partir du C2. Il désactive ensuite les paramètres de proxy et lance un fichier JavaScript à partir de l'archive.
Comment Node.js est-il utilisé pour diffuser le logiciel malveillant ?
Le fichier exécutable Node.js, préalablement téléchargé depuis l'archive, lance le fichier JavaScript. Cette opération charge les modules de bibliothèque, établit des connexions et ajoute des certificats à l'appareil.
Microsoft a également constaté l'émergence d'une technique issue des campagnes Node.js qui implique l'exécution de code JavaScript en ligne. Grâce à cette technique, les scripts malveillants s'exécutent via Node.js afin de déployer des logiciels malveillants.
Microsoft a observé un cas de ce type lors d'une attaque « ClickFix » de type « » (s'ouvre dans un nouvel onglet) , dans laquelle l'utilisateur est amené à copier, coller et exécuter du code malveillant. Ce code a téléchargé plusieurs composants, dont le fichier binaire Node.js. Un script pourrait alors utiliser l'environnement Node.js pour exécuter du code JavaScript en ligne de commande plutôt que via un fichier.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette découverte ne signifie pas que les développeurs aient complètement cessé d'utiliser d'autres langages de script populaires, mais simplement qu'ils ont désormais parfois recours au JavaScript compilé.
Microsoft a souligné que si l'utilisation de logiciels malveillants basés sur Node.js commençait à se généraliser, cela pourrait indiquer un changement dans les préférences des pirates. Cela constitue également un autre exemple illustrant comment les auteurs de menaces recherchent et exploitent des applications souvent utilisées à des fins légitimes afin de se fondre dans le courant normal des activités.
Comme toujours, Microsoft a inclus des recommandations (s'ouvre dans un nouvel onglet), des détections (s'ouvre dans un nouvel onglet), ainsi que des requêtes de recherche (s'ouvre dans un nouvel onglet) afin d'aider les organisations à identifier cette menace.
Les faux convertisseurs de PDF contribuent à la diffusion de logiciels malveillants
À la suite d'une alerte du FBI concernant des convertisseurs de fichiers malveillants diffusant des logiciels malveillants, CloudSEK a mené une enquête sur cette menace : (s'ouvre dans un nouvel onglet). Son rapport analyse une attaque impliquant un convertisseur de documents malveillant qui se fait passer pour un service fiable, mais qui vise à diffuser le logiciel malveillant « ArechClient2 ».
CloudSEK a identifié plusieurs sites Web malveillants de conversion de fichiers qui imitent « pdfcandy.com », un convertisseur de fichiers légitime. Ces sites sont pratiquement identiques au site authentique et invitent les visiteurs à télécharger un fichier PDF afin de le convertir au format Word.
Comment fonctionne ce logiciel malveillant se faisant passer pour un convertisseur de PDF ?
Lorsqu'un fichier PDF est téléchargé, le site affiche d'abord une animation de chargement afin de faire croire à la victime que le fichier est en cours de traitement. Ensuite, le site affiche à la victime une fenêtre de vérification CAPTCHA. Une fois cette étape terminée, une boîte de dialogue invite la victime à copier, coller et exécuter du code afin de déclencher la charge utile malveillante.
Par ailleurs, les chercheurs de CloudSEK ont décodé la commande et identifié une chaîne de redirection qui masque le processus de diffusion du logiciel malveillant. Ce processus se déroule en deux étapes :
- La connexion initiale vise une URL déguisée en lien raccourci. Cela redirige vers une URL malveillante qui diffuse la charge utile malveillante « adobe.zip ».
- La charge utile malveillante est hébergée sur une adresse IP précédemment signalée comme malveillante. Un fichier exécutable malveillant, « audiobit[.]exe », contenu dans le fichier zip, déclenchera une chaîne d'attaques qui aboutira à l'exécution du logiciel de vol d'informations ArechClient2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette attaque repose en grande partie sur une intervention manuelle de la part de la victime, puisqu'elle lui demande de copier, de coller et d'exécuter le code malveillant. Cette technique connaît un succès croissant ; si les acteurs continuent à l'utiliser, c'est qu'elle doit donc présenter un certain intérêt.
La sensibilisation aux signes révélateurs de cette menace courante peut facilement être intégrée à une formation de sensibilisation à la sécurité proposée par à l'intention des employés : (s'ouvre dans un nouvel onglet). CloudSEK inclut également dans son rapport intitulé « » (s'ouvre dans un nouvel onglet) quelques recommandations concernant l' de la protection qui pourraient vous être utiles.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
