Dans le tour d'horizon de cette semaine, CTI vous propose une présentation de la plateforme de phishing-as-a-service (PhaaS) Sniper Dz, notamment de son infrastructure et de ses tactiques. CTI vous présente ensuite les points clés à retenir du rapport « 2024 Global Threat Report » publié par Elastic Security Labs. Le CTI examine également des éléments récents indiquant que plusieurs organisations aux États-Unis ont été prises pour cible par un acteur soutenu par l'État nord-coréen, connu sous le nom d'Andariel (alias Stonefly).
Sniper Dz cible les réseaux sociaux et les services en ligne
Palo Alto surveille de près (s'ouvre dans un nouvel onglet) le groupe « Sniper Dz » ainsi que la plateforme de phishing-as-a-service (PhaaS) (s'ouvre dans un nouvel onglet) et a partagé son analyse de l'infrastructure et des tactiques de cette plateforme.
Selon Palo Alto, Sniper Dz cible les plateformes de réseaux sociaux et les services en ligne les plus populaires et dispose d’au moins 140 000 sites web de hameçonnage associés.
Zoom sur la plateforme Sniper Dz
La plateforme Sniper Dz permet aux cybercriminels de mener facilement des attaques de hameçonnage de type « » (s'ouvre dans un nouvel onglet) , car son panneau d'administration leur permet de générer rapidement des pages de hameçonnage. Pour accéder au panneau d'administration, les acteurs doivent créer un compte à l'aide d'une adresse e-mail. Grâce à ce compte, ils peuvent accéder à toute une série de pages de hameçonnage ciblant différentes marques et différents utilisateurs.
Une fois qu'ils ont accédé à la plateforme, les cybercriminels disposent de deux méthodes pour lancer des attaques :
- Pages de hameçonnage hébergées sur l'infrastructure de Sniper Dz
- Modèles de hameçonnage téléchargeables hébergés sur d'autres infrastructures
Pages et modèles de hameçonnage de Sniper Dz
Grâce à cette tactique, l'auteur n'a pas besoin de mettre en place un serveur web pour héberger les sites, et le contenu des pages de hameçonnage est dissimulé derrière des serveurs proxy. Si l'acteur utilise plutôt les modèles de hameçonnage téléchargeables sur son infrastructure, de nombreuses options s'offrent à lui.
Infrastructure et tactiques
Sniper Dz dissimule son contenu de hameçonnage derrière des serveurs proxy publics. Ce service utilise de manière abusive le serveur proxy public légitime proxymesh[.]com.
Le groupe configure le serveur proxy de manière à ce qu'il charge automatiquement du contenu de hameçonnage sans communication directe. Ce faisant, le groupe contribue à protéger ses serveurs backend, car le navigateur considérera que c'est le serveur proxy qui est responsable du chargement du site de hameçonnage.
De plus, le groupe masque le code de ses modèles de phishing et exfiltre les identifiants vers une infrastructure centralisée appartenant à Sniper Dz.
Suivi des victimes et des modèles
Sniper Dz assure le suivi de ses victimes à l'aide d'un code JavaScript personnalisé intégré et de serveurs d'analyse.
Le script chargera un module de suivi provenant d'un serveur d'analyse légitime afin de suivre les victimes qui consultent les liens hébergés sur leur infrastructure ainsi que ceux hébergés sur d'autres infrastructures.
Attaques connues utilisant Sniper Dz
Depuis le 2023, Palo Alto a détecté plus de 140 000 pages de hameçonnage liées à Sniper Dz.
Le groupe est resté actif pendant cette période, même s'il semble avoir atteint son apogée vers la fin de l'année 2023. Sniper Dz compte des milliers de clients et, au août 2024, sa chaîne Telegram comptait 7 156 abonnés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les recherches menées par Palo Alto indiquent que de nombreux acteurs pourraient tirer parti de la plateforme Sniper Dz PhaaS en fonction du nombre de leurs abonnés Telegram et de leur infrastructure.
Telegram a récemment mis à jour sa politique de confidentialité, précisant qu’il communiquera désormais les numéros de téléphone et les adresses IP de ses utilisateurs aux forces de l’ordre sur décision judiciaire. Ce changement de politique pourrait inciter les acteurs malveillants à réorienter leurs activités.
Cela dit, il sera intéressant de voir si les services malveillants vendus sur Telegram (s'ouvre dans un nouvel onglet), tels que Sniper Dz, continueront à prospérer sur Telegram ou ailleurs.
Elastic Security Labs publie son 2024 e rapport mondial sur les menaces
Elastic Security Labs a publié son rapport mondial sur les menaces « » pour l'année 2024 (s'ouvre dans un nouvel onglet), qui présente les dernières menaces en matière de cybersécurité et les tendances dans les domaines de l'IA générative (s'ouvre dans un nouvel onglet), des logiciels malveillants, des comportements des terminaux et de la sécurité dans le cloud.
IA générative
Elastic a constaté que les cybercriminels exploitaient l'IA générative de plusieurs manières, l'une des plus évidentes étant les campagnes de hameçonnage. Sans surprise, les acteurs malveillants peuvent utiliser l’IA pour étendre leurs opérations et améliorer leurs techniques d’ , notamment en matière d’ingénierie sociale : (s’ouvre dans un nouvel onglet) , en personnalisant plus facilement leurs campagnes. On observe une extension de ce phénomène avec l'essor actuel des « deepfakes » sur (s'ouvre dans un nouvel onglet).
Outre le phishing, les cybercriminels exploitent l'IA pour développer des logiciels malveillants. Cette pratique n'est pas encore très répandue, mais elle se développe progressivement.
Détections de logiciels malveillants
Le rapport d'Elastic examine également les différents types de logiciels malveillants en circulation et les systèmes d'exploitation ciblés. Windows reste le système d'exploitation le plus ciblé.
Ils ont examiné les signatures YARA correspondant aux différents types et catégories de logiciels malveillants afin de ventiler leurs données. Ils ont constaté que les chevaux de Troie représentaient la grande majorité des logiciels malveillants qu'ils ont observés.
Enfin, en ce qui concerne les familles de logiciels malveillants, les plus répandues étaient Cobalt Strike (s'ouvre dans un nouvel onglet) et Metasploit.
Comportements des terminaux
Elastic a analysé les tactiques, techniques et procédures (TTP) les plus couramment observées sur Windows, macOS et Linux. La plupart des comportements des terminaux qu'ils ont observés étaient liés au contournement des systèmes de défense, représentant 38,99 % de l'ensemble des tactiques observées, soit une baisse de 6 % par rapport à l'année précédente. Les tactiques suivantes, en termes d'importance, étaient « l'exécution » et « la persistance », dont la part cumulée s'élevait à environ 30 %.
Les techniques les plus courantes sous Windows étaient l'injection de processus, l'exécution via un proxy binaire système et la neutralisation des défenses. Sous Linux, l'affaiblissement des défenses était la technique la plus couramment utilisée, suivie par la modification des droits d'accès aux fichiers et aux répertoires.
Enfin, le chargement de code réflexif s'est révélé être la principale technique de contournement des mesures de défense sur macOS, suivie par le contournement des contrôles de confiance et la suppression des indicateurs.
Sécurité du cloud
Elastic a constaté que les organisations continuent de mal configurer leurs environnements cloud (s'ouvre dans un nouvel onglet) et/ou de ne pas mettre en œuvre les mesures de sécurité appropriées, ce qui permet aux acteurs malveillants de prospérer dans ces environnements.
L'un des problèmes les plus fréquents qu'ils ont constatés concernait le stockage : 47 % des défaillances Azure étaient liées à des comptes de stockage et environ 30 % des défaillances AWS provenaient de S3 contrôles.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le rapport d'Elastic va plus loin que bon nombre d'autres rapports sur les tendances disponibles sur le marché, en présentant une analyse détaillée par stratégie spécifique.
L'un des points les plus intéressants a été la remarque d'Elastic concernant l'impact – ou l'absence d'impact – de l'IA :
Les capacités de l'intelligence artificielle n'ont pas transformé le paysage, ni en bien ni en mal : elles n'ont pas entraîné une explosion de nouvelles menaces et n'ont pas non plus créé un avantage tel que toutes les menaces aient été éliminées.
Il s’agit là d’un rappel important : bien que l’IA de type « » fasse souvent l’objet de discussions (s’ouvre dans un nouvel onglet) et puisse offrir des avantages aux acteurs malveillants, nous ne constatons pas encore cette adoption explosive de l’IA dans l’ensemble du paysage des menaces.
Andariel lance des attaques financières contre des organisations américaines
Symantec a récemment mis au jour des éléments de preuve (s'ouvre dans un nouvel onglet) indiquant que le groupe nord-coréen Andariel a pris pour cible plusieurs organisations aux États-Unis.
Selon Symantec, l'auteur n'a pas réussi à déployer un rançongiciel (s'ouvre dans un nouvel onglet) auprès de ces victimes. Ces attaques indiquent que cet acteur continue de mener des attaques, bien qu'il fasse l'objet d'un récent acte d'accusation.
Qui est Andariel ?
Le groupe Andariel est lié aux services de renseignement militaire nord-coréens, le Bureau général de reconnaissance (RGB).
This actor first appeared in 2009 when it carried out DDoS attacks (opens in a new tab) against several South Korean, U.S. government, and financial websites.
Mention de source
Symantec a établi que le groupe Andariel continue de mener des attaques à des fins financières, notamment contre des organisations américaines.
Lors de plusieurs attaques, l'acteur a déployé son logiciel malveillant sur mesure, Backdoor.Preft, qui avait déjà été attribué à ce groupe. Ces attaques ont également laissé derrière elles plusieurs indicateurs de compromission que Microsoft avait déjà identifiés lors des attaques d'Andariel.
Dans l'affaire « juillet 2024 », le ministère américain de la Justice a mis en accusation un ressortissant nord-coréen pour des faits liés à une récente attaque d'Andariel. Cette personne est accusée d'avoir participé à des actes d'extorsion à l'encontre d'hôpitaux américains et d'autres entités entre 2021 et 2023 (s'ouvre dans un nouvel onglet), d'avoir blanchi les fonds issus des rançons et d'avoir utilisé ces fonds pour financer d'autres cyberattaques visant les secteurs de la défense, des technologies et des administrations publiques à l'échelle mondiale.
Parmi les cibles de ces attaques consécutives figurent notamment deux bases de l'armée de l'air américaine et le bureau de l'inspecteur général de la NASA (NASA-OIG).
Quels outils Andariel utilise-t-elle ?
Comme indiqué, cet acteur utilise couramment un logiciel malveillant appelé « Preft », une porte dérobée à plusieurs étapes capable de télécharger des fichiers, d'en envoyer, d'exécuter des commandes et de télécharger des plugins supplémentaires.
L'acteur utilise également une porte dérobée supplémentaire appelée « Nukebot », qui présente des fonctionnalités similaires, mais qui offre en outre la possibilité de réaliser des captures d'écran. Le code source de cet outil avait déjà fait l'objet d'une fuite, ce qui explique probablement comment cet acteur a pu y avoir accès.
On constate également que l'acteur utilise des outils plus courants, tels que des fichiers batch malveillants, Mimikatz, des enregistreurs de frappe, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML et FRP.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Symantec :
L'acte d'accusation visant l'un de ses membres n'a pas encore entraîné la cessation de ses activités.
Au contraire, il semble que cette mise en accusation ait encouragé le groupe à poursuivre ses activités, notamment à l'encontre des États-Unis. Ce groupe existe depuis bien plus d'une décennie et a survécu à plusieurs tentatives de démantèlement ; il est donc probable que nous le voyions continuer à prospérer pendant encore un certain temps.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés par l' : (s'ouvre dans un nouvel onglet),et .
