Dans le résumé de cette semaine, CTI fournit un aperçu de la plateforme de phishing en tant que service (PhaaS) de Sniper Dz, y compris son infrastructure et ses tactiques. Ensuite, CTI fournit les principaux enseignements du rapport 2024 Global Threat Report d’Elastic Security Labs. CTI examine également les preuves récentes que plusieurs organisations aux États-Unis ont été ciblées par l’acteur nord-coréen parrainé par l’État, connu sous le nom d’Andariel (alias Stonefly).
Sniper Dz cible les réseaux sociaux et les services en ligne
Palo Alto surveille de près la plateforme PhaaS (hameçonnage en tant que service) de Sniper Dz et a partagé son analyse de l’infrastructure et des tactiques de la plateforme.
Selon Palo Alto, Sniper Dz cible les plateformes de réseaux sociaux et les services en ligne populaires et compte au moins 140 000 sites Web d’hameçonnage associés.
Un aperçu plus approfondi de la plateforme Sniper Dz
La plateforme Sniper Dz permet aux acteurs d’effectuer facilement des attaques d’hameçonnage , car son panneau d’administration permet aux acteurs de générer rapidement des pages d’hameçonnage. Pour accéder au panneau admin, les acteurs doivent créer un compte avec une adresse e-mail. Avec ce compte, ils peuvent accéder à une gamme de pages d’hameçonnage qui ciblent différentes marques et différents utilisateurs.
Après avoir accédé à la plateforme, les acteurs malveillants disposent de deux méthodes pour lancer des attaques :
- Pages d’hameçonnage hébergées sur l’infrastructure Sniper Dz
- Modèles d’hameçonnage téléchargeables hébergés sur d’autres infrastructures
Pages/modèles d’hameçonnage de Sniper Dz
Avec cette tactique, l’acteur n’a pas besoin de configurer un serveur Web pour héberger les sites, et le contenu des pages d’hameçonnage est masqué derrière les serveurs proxy. Si l’acteur utilise plutôt les modèles d’hameçonnage téléchargeables sur son infrastructure, il dispose de nombreuses options.
Infrastructure et tactiques
Sniper Dz cache son contenu de phishing derrière des serveurs proxy publics. Le service abuse du proxymesh[.]com légitime du serveur proxy public.
Le groupe configure le serveur proxy pour charger automatiquement le contenu d’hameçonnage sans communication directe. Ce faisant, le groupe aide à protéger ses serveurs backend, car le navigateur verra le serveur proxy comme responsable du chargement du site d’hameçonnage.
En outre, le groupe masque son code de modèle d’hameçonnage et exfiltre les informations d’identification vers une infrastructure centralisée appartenant à Sniper Dz.
Suivi des victimes et des modèles
Sniper Dz suit ses victimes à l’aide de serveurs JavaScript et d’analyse personnalisés intégrés.
Le script chargera un traceur à partir d’un serveur d’analyse légitime pour suivre les victimes qui visitent les liens hébergés sur leur infrastructure et ceux hébergés sur différentes infrastructures.
Attaques connues à l’aide de Sniper Dz
Depuis 2023, Palo Alto a découvert plus de 140 000 pages d’hameçonnage associées à Sniper Dz.
Le groupe est resté actif pendant cette période, bien qu’il semble avoir atteint un pic vers la fin de l’année 2023. Sniper Dz compte des milliers de clients, avec 7 156 abonnés sur son canal Telegram à compter du août 2024.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les recherches de Palo Alto indiquent que de nombreux acteurs pourraient tirer parti de la plateforme PhaaS Sniper Dz en fonction de leur nombre d’abonnés Telegram et de leur infrastructure.
Telegram a récemment mis à jour sa politique de confidentialité, notant qu’elle partagera désormais les numéros de téléphone et les adresses IP des utilisateurs avec les forces de l’ordre suite aux ordonnances du tribunal. Ce changement de politique pourrait inciter les acteurs malveillants à migrer leur entreprise.
Cela dit, il sera intéressant de voir si les services malveillants vendus sur Telegram, tels que Sniper Dz, continueront de prospérer sur Telegram ou ailleurs.
Elastic Security Labs publie son rapport mondial 2024 sur les menaces
Elastic Security Labs a publié son rapport mondial sur les menaces pour 2024, qui comprend les dernières menaces et tendances en matière d’IA générative, de logiciels malveillants, de comportements des endpoints et de sécurité du cloud.
IA générative
Elastic a observé des acteurs malveillants tirer parti de l’IA générative de plusieurs manières, l’une des plus évidentes étant les campagnes de phishing. Sans surprise, les acteurs peuvent utiliser l’IA pour faire évoluer leurs opérations et améliorer leur ingénierie sociale en personnalisant plus facilement leurs campagnes. Une expansion est observée avec l’ augmentation actuelle des deepfakes.
En plus du phishing, les acteurs tirent parti de l’IA pour le développement de logiciels malveillants. Cela n’a pas encore été largement adopté, mais se développe lentement.
Détections de logiciels malveillants
Le rapport d’Elastic explore également différents types de logiciels malveillants dans les systèmes d’exploitation sauvages et ciblés. Windows reste le système d’exploitation le plus ciblé.
Ils ont examiné les signatures YARA pour identifier les types et catégories de logiciels malveillants afin de décomposer leurs données. Ils ont découvert que les chevaux de Troie constituaient la plupart des logiciels malveillants qu’ils ont observés.
Enfin, en examinant les familles de logiciels malveillants, les principales familles étaient Cobalt Strike et Metasploit.
Comportements des endpoints
Elastic a examiné les tactiques, techniques et procédures (TTP) les plus fréquemment observées sur Windows, macOS et Linux. La plupart des comportements des endpoints qu’ils ont observés étaient liés à l’évasion de la défense, représentant 38,99 % de toutes les tactiques observées, en baisse de 6 % par rapport à l’année précédente. L’exécution et la persévérance ont suivi les prochaines tactiques de pointe, avec un montant combiné approximatif de 30 %.
Les techniques les plus courantes pour Windows étaient l’injection de processus, l’exécution de proxy binaire du système et l’altération des défenses. Pour Linux, les défenses d’altération étaient la technique principale, suivies des modifications des permissions de fichier et de répertoire.
Enfin, le chargement de code réfléchissant était la technique d’évasion de défense principale pour macOS, suivi par la subversion du contrôle de confiance et la suppression des indicateurs.
Sécurité du cloud
Elastic a déterminé que les organisations ne configuraient toujours pas correctement les environnements cloud et/ou ne mettent pas en œuvre les protections de sécurité appropriées, ce qui permet aux acteurs malveillants de prospérer dans ces environnements.
L’un des problèmes les plus courants qu’ils ont observés était lié au stockage, avec 47 % des défaillances Azure liées aux comptes de stockage et environ 30 % des défaillances AWS provenant de S3 vérifications.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Le rapport d’Elastic va plus loin que de nombreux autres rapports de tendance, décomposant les choses par des tactiques spécifiques.
L’un des enseignements les plus intéressants a été le commentaire d’Elastic sur l’impact, ou l’absence de celui-ci, de l’IA :
Les capacités d’intelligence artificielle n’ont pas transformé le paysage pour le mieux ou pour le pire : elles n’ont pas entraîné une explosion de nouvelles menaces et n’ont pas créé un tel avantage lorsque toutes les menaces ont été éliminées.
Il s’agit d’un rappel important que, bien que l’ IA soit fréquemment évoquée et puisse fournir des avantages aux acteurs malveillants, nous ne voyons pas encore cette adoption explosive de l’IA dans le paysage des menaces.
Andariel lance des attaques financières contre les organisations américaines
Symantec a récemment découvert des preuves que le groupe Andariel de Corée du Nord ciblait plusieurs organisations aux États-Unis.
Selon Symantec, l’acteur n’a pas déployé de ransomware pour ces victimes. Les attaques indiquent que cet acteur continue de mener des attaques, même si elles font l’objet d’une inculpation récente.
Qui est Andariel ?
Le groupe Andariel est lié à l’agence nord-coréenne de renseignement militaire, le Bureau général de reconnaissance (Reconnaissance General Bureau, RGB).
Cet acteur est apparu pour la première fois en 2009 lorsqu’il a mené des attaques DDoS contre plusieurs sites web sud-coréens, gouvernementaux américains et financiers.
Attribution
Symantec a déterminé que le groupe Andariel continue à mener des attaques motivées financièrement, en particulier contre les organisations américaines.
Dans plusieurs attaques, l’acteur a déployé son malware personnalisé, Backdoor.Preft, qui a été précédemment attribué à ce groupe. Les attaques ont également laissé derrière elles plusieurs indicateurs de compromission que Microsoft avait précédemment identifiés dans les attaques Andariel.
En juillet 2024, le ministère de la Justice américain a inculpé une personne nord-coréenne pour des accusations liées à une récente attaque Andariel. La personne est accusée d’être impliquée dans l’extorsion d’hôpitaux américains et d’autres personnes entre 2021 et 2023, de blanchir des recettes de rançon et d’utiliser ces recettes pour financer d’autres cyberattaques contre les secteurs de la défense, de la technologie et du gouvernement à l’échelle mondiale.
Certaines cibles de ces attaques de suivi comprennent deux bases de l’armée de l’air américaine et la NASA-OIG.
Quels outils Andariel utilise-t-il ?
Comme indiqué, cet acteur exploite généralement des logiciels malveillants appelés Preft, une backdoor à plusieurs étapes qui peut télécharger des fichiers, charger des fichiers, exécuter des commandes et télécharger des plug-ins supplémentaires.
L’acteur utilise également une backdoor supplémentaire appelée Nukebot qui a des fonctionnalités similaires, mais avec l’ajout de capacités de capture d’écran. Le code source de cet outil a déjà été divulgué, ce qui est probablement la manière dont cet acteur a obtenu l’accès à l’outil.
L’acteur est également observé à l’aide d’outils plus courants tels que des fichiers de lots malveillants, Mimikatz, des enregistreurs de frappe, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML et FRP.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le souligne Symantec :
L’acte d’accusation désignant l’un de ses membres n’a pas encore conduit à une cessation d’activité.
Le cas échéant, il semble que l’acte d’accusation ait encouragé le groupe à poursuivre ses activités, en particulier contre les États-Unis. Ce groupe existe depuis bien plus de dix ans et a survécu à plusieurs formes de perturbation, et il est probable que nous continuerons à voir ce groupe prospérer pendant un certain temps.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
