Cette semaine, CTI met en avant une campagne d'ingénierie sociale qui vise à submerger les utilisateurs de courriers indésirables avant de se faire passer pour l'équipe informatique de l'entreprise. CTI se penche ensuite sur la dernière étude de cas de Palo Alto, qui détaille les applications de tunneling DNS qu'ils ont observées en conditions réelles. Enfin, le CTI enquête sur une campagne en cours qui diffuse des programmes d'installation malveillants pour WinSCP et PuTTY par le biais de publicités malveillantes.
1. Une campagne d'ingénierie sociale en cours cible les entreprises
Une campagne d'ingénierie sociale actuellement en cours, intitulée « » ( ), tente de submerger les utilisateurs de nombreux e-mails indésirables avant de se faire passer pour l'équipe informatique de l'entreprise et d'appeler l'utilisateur pour lui proposer de l'aide.
Dans le cadre de la campagne « » (), un appel téléphonique invite l'utilisateur à télécharger un logiciel de surveillance et de gestion à distance ou à utiliser la fonctionnalité « Quick Assist » intégrée à Microsoft afin d'établir une connexion à distance avec l'appareil. L'acteur malveillant télécharge ensuite des charges utiles malveillantes, récupère des identifiants et met en place un mécanisme de persistance.
Bien que ces attaques n'impliquent pas de ransomware, les indicateurs de compromission (IOC) associés à ces attaques ont déjà été mis en relation avec l'opération de ransomware Black Basta menée par le groupe « ».
Rapid7 a recensé plusieurs cas liés à cette campagne d'ingénierie sociale depuis la fin du mois d' avril 2024 Ces attaques commencent toutes par l'envoi d'un grand nombre de courriers indésirables à un groupe d'utilisateurs au sein de l'environnement ciblé.
Rapid7 a confirmé que le volume de spams serait suffisant pour « submerger les solutions de protection des e-mails en place et atteindre la boîte de réception de l'utilisateur ».
Les e-mails
Les e-mails en eux-mêmes ne sont pas intrinsèquement malveillants. Il s'agit en réalité d'e-mails de confirmation d'inscription à une newsletter provenant de nombreuses organisations légitimes. Comme l'utilisateur reçoit un nombre si important de ces e-mails indésirables, il risque de commencer à s'inquiéter, ou du moins à s'interroger sur cette activité.
Les appels téléphoniques
Après avoir envoyé un grand nombre d'e-mails aux utilisateurs, l'auteur de la menace contactera chacun d'entre eux par téléphone, en se faisant passer pour un membre de leur service informatique.
L'acteur proposera à l'utilisateur une assistance pour résoudre les « problèmes » de messagerie électronique qu'il rencontre et tentera de l'amener à lui accorder un accès à distance à son appareil via des outils de surveillance et de gestion à distance (RMM), tels qu'AnyDesk.
Dans d'autres cas, l'auteur de l'attaque a exploité l'utilitaire d'assistance à distance intégré à Windows, Quick Assist. Si un utilisateur ne se laissait pas piéger par cette tentative d'ingénierie sociale, l'auteur passerait tout simplement à l'utilisateur suivant.
Accès obtenu
Si l'utilisateur se laisse piéger et que le pirate parvient à accéder à distance à l'appareil, il commencera par exécuter une série de scripts batch. Ces scripts se présentent à l'utilisateur sous la forme de mises à jour afin de paraître moins suspects.
Le premier script vérifiera la connexion au serveur C2 et téléchargera une archive ZIP. Cette archive contient une copie authentique d'OpenSSH, renommée RuntimeBroker.exe, ainsi que ses dépendances, ses clés RSA et d'autres fichiers SSH.
Le script assurera la persistance grâce à des entrées de clé d'exécution qui pointeront vers des scripts batch supplémentaires créés au moment de l'exécution. Chacun de ces scripts exécutera SSH via PowerShell dans une boucle infinie et tentera d'établir un shell inversé vers le C2.
Dans tous les cas observés par Rapid7, le script a récupéré les identifiants de la victime à partir de la ligne de commande via PowerShell. Les identifiants sont récupérés lorsqu'une fenêtre de dialogue se présentant comme une « mise à jour » vous demande de saisir vos identifiants pour vous connecter afin que la mise à jour puisse se poursuivre. Dans un cas, après avoir initialement compromis le système, l'acteur s'est déplacé latéralement dans l'environnement via SMB.
Rapid7 n'a constaté à aucun moment que l'auteur de ces attaques avait déployé un rançongiciel. Toutefois, les IOC identifiés grâce à une analyse criminalistique correspondent à ceux de l'opération menée par le ransomware Black Basta.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les chercheurs constatent de plus en plus souvent des techniques d'ingénierie sociale sophistiquées, à l'image de cette campagne. C'est principalement parce qu'elles sont efficaces.
Dans le cadre de cette attaque, l'auteur de la menace fait croire à l'utilisateur qu'il a besoin d'une assistance, avant de se faire passer pour l'équipe informatique et de contacter la victime, créant ainsi de toutes pièces un problème qu'il va ensuite « résoudre ».
Cette technique diffère quelque peu de l'attaque MGM, mais elle permet d'atteindre le même objectif et met en évidence le niveau de sophistication que l'ingénierie sociale a atteint ces derniers temps. Ce type d'attaques risque de se multiplier à mesure que les acteurs malveillants continuent d'utiliser l'IA générative et les modèles de langage à grande échelle (LLM) pour des applications telles que les deepfakes.
2. Les pirates informatiques développent les techniques de tunneling DNS
L'Unité 42 de Palo Alto a récemment publié une étude de cas portant sur les applications du tunneling DNS « » qu'elle a observées dans la nature.
Ces cybercriminels utilisent le tunneling DNS pour détecter à quel moment leur cible ouvre des e-mails de hameçonnage de type « » et clique sur des liens malveillants ; ils s'en servent également pour rechercher d'éventuelles vulnérabilités.
These techniques expand beyond traditional DNS tunneling uses cases of C2 and VPN purposes.
Qu'est-ce que le tunneling DNS ?
Le tunneling DNS est une stratégie couramment utilisée par les acteurs malveillants pour exfiltrer des informations. Les acteurs malveillants ont souvent recours au tunneling DNS pour établir une communication avec leur C2, ce qui leur permet d'exfiltrer et d'infiltrer des données. Les acteurs utilisent également couramment le tunneling DNS à des fins de VPN. Quelle que soit leur finalité, les acteurs encodent généralement les données à l'aide de leurs propres méthodes, qui consistent à mélanger ce trafic avec du trafic DNS légitime.
Les recherches menées par Palo Alto révèlent que les acteurs malveillants utilisent désormais également des tunnels DNS à des fins de suivi et d'analyse.
Le tunneling DNS à des fins de suivi
Les cybercriminels ont désormais recours au tunneling DNS pour suivre les activités de leurs victimes ciblées afin de détecter à quel moment celles-ci cliquent sur des liens ou des publicités malveillants.
Pour ce faire, un pirate intégrerait des informations malveillantes concernant les actions de la victime dans un sous-domaine unique d'une requête DNS. Ce sous-domaine constituerait la charge utile du tunnel, et toutes les requêtes DNS seraient stockées sur un serveur de noms contrôlé par le pirate.
- de la campagne TrkCdn : cette campagne a pour but de suivre les interactions d'une victime avec un e-mail.
Palo Alto a identifié 731 victimes potentielles de cette campagne et 75 adresses IP correspondant à des serveurs de noms assurant la résolution de 658 domaines. Pour effectuer ce suivi, les acteurs malveillants peuvent consulter leurs journaux DNS et comparer la charge utile à la valeur de hachage de l'adresse e-mail afin de vérifier si une victime donnée a ouvert un e-mail ou cliqué sur un lien contenu dans celui-ci.
- de la campagne SpamTracker : Un autre exemple concret est celui d'une campagne appelée SpamTracker, qui utilise le tunneling DNS pour suivre la diffusion des messages de spam.
Cette campagne a été associée à 44 domaines de tunneling qui partagent tous la même adresse IP pour leurs serveurs de noms. Ces domaines utilisent une méthode de nommage DGA et un encodage similaires à ceux des autres campagnes. SpamTracker serait originaire du Japon et utilise des e-mails et des liens vers des sites web pour diffuser du spam et des tentatives d'hameçonnage, en proposant des appâts tels que des services de voyance, de fausses notifications de livraison de colis, des offres d'emploi à temps partiel et des articles gratuits à vie.
Tunneling DNS pour l'analyse
Les acteurs malveillants ont également recours au tunneling DNS pour analyser un réseau, souvent en utilisant des adresses IP sources usurpées, afin de repérer des résolveurs ouverts qu'ils peuvent exploiter. Cette activité constitue souvent la première étape d'une attaque.
- de la campagne SecShow : Palo Alto a identifié une campagne dans laquelle l'acteur a utilisé le tunneling DNS pour analyser l'infrastructure réseau d'une organisation, ce qui était généralement suivi d'attaques par réflexion.
L'acteur a recherché des résolveurs accessibles, a testé leurs temps de réponse et a exploité toutes les vulnérabilités identifiées au niveau de ces résolveurs. Cette campagne visait principalement les secteurs de l'éducation, des technologies et de l'administration publique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les acteurs malveillants ont le plus souvent recours au tunneling DNS à des fins de « C2 » et de VPN.
L'étude de cas de Palo Alto révèle que les cybercriminels étendent désormais cette technique à des activités telles que l'analyse et la surveillance des réseaux.
Cet aspect lié au suivi est intéressant et montre que certains acteurs malveillants prennent réellement le temps d'évaluer la portée et l'efficacité de leur campagne, plutôt que de se contenter de lancer des campagnes à tout va en espérant que tout se passe pour le mieux.
3. Une campagne de « malvertising » conduit à un ransomware
Une campagne actuellement en cours diffuse des programmes d'installation malveillants pour WinSCP et PuTTY par le biais de publicités malveillantes de type « ».
Ce logiciel malveillant permet à l'auteur de la menace d'obtenir un accès privilégié et de se fondre parmi les actions administratives légitimes. Dans au moins un cas, cette attaque par « malvertising » a donné lieu à une tentative de diffusion d'un rançongiciel.
Présentation de la campagne de « malvertising »
Cette campagne a débuté début mars 2024 , lorsque Rapid7 acteurs malveillants identifiés ont diffusé des programmes d'installation de WinSCP et PuTTy infectés. Les victimes sont redirigées vers ces programmes d'installation malveillants après avoir recherché des téléchargements de WinSCP ou de PuTTy via un moteur de recherche et cliqué sur une publicité malveillante. La publicité malveillante redirigera l'utilisateur vers un site qui ressemble beaucoup au site de téléchargement légitime.
Ces sites contrefaits contiennent un lien permettant de télécharger une archive ZIP contenant un cheval de Troie provenant d'un domaine secondaire intégré à la page. C'est lorsque l'utilisateur télécharge et décompresse ce contenu que l'infection commence. Dans le cadre de cette attaque, une DLL malveillante est installée par une méthode de « sideloading ».
Rapid7 souligne que certaines des techniques, tactiques et procédures (TTP) utilisées dans cette attaque « rappellent les campagnes passées de BlackCat/ALPHV ». Dans un cas précis, Rapid7 a constaté que l'acteur tentait d'extraire des données via Restic et de déployer un rançongiciel. Cette tentative a été bloquée lors de son exécution.
Accès initial
L'infection commence lorsque l'utilisateur clique sur la publicité malveillante et télécharge un faux programme d'installation de WinSCP ou de PuTTy. La page PuTTy victime d'un typosquatting comportait un « t » supplémentaire dans le nom de domaine, ce qui rendait difficile pour l'utilisateur de repérer la différence.
La page d'accueil de ce site issu d'un typosquatting comporte un lien de téléchargement ainsi que deux liens légitimes vers d'autres ressources. Lorsque la victime télécharge le programme d'installation, celui-ci appelle une fonction intégrée et, au final, redirige l'utilisateur vers la dernière archive ZIP malveillante à télécharger.
Exécution
Une fois l'archive ZIP extraite, l'utilisateur se retrouve face au fichier « setup.exe », qui est en réalité une copie renommée du fichier « python.exe ». Une fois exécuté, le fichier setup.exe installera de manière non officielle une DLL malveillante, python311.dll, qui chargera une copie renommée de la DLL légitime, python3.dll.
Une fois le « sideloading » réussi, le logiciel malveillant effectuera une configuration préalable au décompressage et activera dynamiquement des fonctions supplémentaires. Il utilise des fonctionnalités similaires à celles de la bibliothèque AntiHook, accessible au public, pour la configuration et l'exécution.
Ce logiciel malveillant convertit les fonctions NTAPI (API native de Windows) afin de « contourner les mécanismes de détection appliqués aux fonctions en mode utilisateur les plus couramment utilisées (WINAPI) et d'accéder à des fonctionnalités de niveau inférieur qui seraient autrement inaccessibles ». Une fois l'installation terminée, le logiciel malveillant récupère une ressource chiffrée à partir de la DLL. Le logiciel malveillant déchiffre cette ressource en mémoire, ce qui donne lieu à une archive ZIP contenant trois fichiers compressés, dont un programme d'installation MSI légitime pour PuTTY. Le logiciel malveillant finit par déchiffrer un fichier qui est une DLL de balise Sliver.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Nous savons déjà que la « malvertising » est très répandue, mais il s'agit là de l'un des rares cas où un acteur malveillant s'en est servi pour tenter de déployer un rançongiciel.
Bien que le déploiement du rançongiciel ait échoué, il est possible que cet acteur (ou d'autres) tente à nouveau cette méthode. La combinaison de la publicité malveillante et des ransomwares est assurément préoccupante et se distingue de la plupart des attaques de ransomware.
Dans le cas des ransomwares, les cybercriminels ciblent souvent des victimes spécifiques et font preuve d'un certain niveau de sophistication technique pour obtenir un accès initial. Le recours à la publicité malveillante pour l'accès initial permet aux victimes de venir d'elles-mêmes vers l'auteur de l'attaque.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
