Cette semaine, le CTI mène une enquête sur un nouveau logiciel malveillant de type cheval de Troie d'accès à distance (RAT) appelé StilachiRAT. Dans la suite de cet article, CTI examine comment les logiciels de vol d'informations sont diffusés par le biais de publications sur Reddit. Enfin, CTI conclut son analyse en examinant les données de Cloudflare, qui révèlent que 41 % des connexions réussies ont été effectuées à l'aide de mots de passe piratés.
Le nouveau logiciel malveillant StilachiRAT permet le vol de cryptomonnaies et la reconnaissance
Microsoft a découvert (s'ouvre dans un nouvel onglet) un nouveau logiciel malveillant de type RAT appelé StilachiRAT, qui dispose de divers moyens pour voler les identifiants de navigation, les données de portefeuilles numériques, les informations du presse-papiers et les informations système.
Bien qu'il n'ait pour l'instant pas été attribué à un auteur précis, StilachiRAT utilise des techniques sophistiquées pour échapper à la détection, s'ancrer dans le système et exfiltrer des données.
Reconnaissance du système
StilachiRAT effectue une reconnaissance préliminaire afin de collecter des informations sur un système cible. Il recueille diverses informations, notamment les numéros de série du BIOS, la présence d'une caméra, des informations système et bien d'autres encore, en utilisant principalement le langage de requête WMI.
Cibler les portefeuilles numériques
StilachiRAT cible une longue liste d'extensions de portefeuilles de cryptomonnaies dans le navigateur Chrome. Pour ce faire, il accèdera aux paramètres d'une clé de registre spécifique et vérifiera si les extensions indiquées sont installées. La liste complète des extensions de portefeuille ciblées par l' , figure dans le rapport de Microsoft intitulé « » (s'ouvre dans un nouvel onglet).
Vol d'identifiants
À l'instar de nombreux RAT, StilachiRAT est capable de voler des identifiants via l' (s'ouvre dans un nouvel onglet). Microsoft a constaté que le logiciel malveillant extrayait la « clé de chiffrement » de Chrome à partir des données locales d'un répertoire utilisateur.
Cette clé est chiffrée lors de l'installation et doit être déchiffrée à l'aide des API Windows. Cela permet à l'acteur d'accéder aux identifiants stockés dans le coffre-fort de mots de passe afin de les extraire. Ce logiciel malveillant recueillera également des informations, notamment les historiques d'installation des logiciels et la liste des applications actives.
Persévérance
Microsoft indique que StilachiRAT peut fonctionner en tant que service Windows ou de manière autonome, en tant que composant indépendant. Un processus de surveillance contrôlera les fichiers utilisés par le logiciel malveillant afin de s'assurer qu'ils ne soient pas supprimés, et les recréera s'ils venaient à manquer à un moment donné.
Surveillance du protocole RDP (Remote Desktop Protocol)
StilachiRAT surveillera également les sessions RDP afin de se faire passer pour des utilisateurs, une technique qui présente des risques importants pour les serveurs hébergeant des sessions d'administration.
Le logiciel malveillant s'emparera de la session en cours, ouvrira des fenêtres au premier plan et répertoriera toutes les sessions RDP. Pour chaque session identifiée, il reproduira ses privilèges ou son jeton de sécurité, ce qui lui permettra de lancer des applications.
Surveillance du presse-papiers
Ce logiciel malveillant intègre également une fonctionnalité qui lui permet de surveiller les données du presse-papiers. Il interroge régulièrement le presse-papiers afin d'en extraire le texte susceptible d'être exfiltré. Pour identifier les passages pertinents, il utilise des expressions de recherche régulières pour repérer, par exemple, les mots de passe, les clés, les données à caractère personnel, etc.
Mesures anti-criminalistique
Comme la plupart des logiciels malveillants, StilachiRAT tente de brouiller les pistes et de compliquer l'analyse. Il efface les journaux d'événements, vérifie certaines conditions système, notamment les temporisateurs de sandbox, et masque ses appels d'API.
Commandes
Deux adresses différentes sont configurées pour le serveur de commande et de contrôle (C2) : l'une est masquée, tandis que l'autre est convertie au format binaire. Ce logiciel malveillant utilise les ports TCP 53, 443 ou 16000 pour établir son canal de communication. Il peut alors exécuter diverses commandes pour redémarrer le système, effacer les journaux, lancer des applications, manipuler des fenêtres, etc.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
À l'heure actuelle, on dispose de peu d'informations sur la manière dont StilachiRAT s'introduit dans les appareils. Cela dit, les logiciels malveillants de type RAT peuvent être diffusés de nombreuses façons, et les mesures de surveillance et de détection de base (s'ouvre dans un nouvel onglet) sont essentielles pour prévenir ces vecteurs d'accès initiaux courants. Même si ce logiciel malveillant n'est pas encore diffusé à grande échelle, ses capacités justifient qu'on le surveille de près.
Microsoft a également partagé des informations , des mesures d'atténuation recommandées (s'ouvre dans un nouvel onglet), des requêtes de recherche et des alertes Defender susceptibles de vous aider à identifier les activités associées à cette menace.
Les pirates d'AMOS et de Lumma se propagent via des publications sur Reddit
Selon Malwarebytes (s'ouvre dans un nouvel onglet), le logiciel de vol d'informations AMOS pour macOS et le logiciel de vol de données Lumma pour Windows sont actuellement diffusés par le biais de publications sur Reddit. Les appâts utilisés dans cette campagne sont souvent des logiciels piratés.
Que contiennent ces publications sur Reddit ?
Les auteurs de cette campagne recherchent tout particulièrement des subreddits fréquentés par des traders de cryptomonnaies et publient des messages proposant un accès gratuit à un outil de trading très populaire appelé TradingView.
Cette publication vous offre un accès à vie à une version premium de la plateforme. Ce qui rend ce fil de discussion encore plus intéressant, c’est un commentaire laissé par l’auteur du message initial, qui propose son aide si nécessaire et affirme qu’« un vrai virus sur un Mac, ce serait incroyable ».
Téléchargements
Malwarebytes a examiné ces deux liens et a constaté que le logiciel malveillant était hébergé sur un site web appartenant à une entreprise de nettoyage de Dubaï. Il a été établi que le site web utilisait la version 7,3,33 de PHP, dont Malwarebytes souligne qu'elle a atteint sa fin de vie en 2021 , ce qui le rend vulnérable aux attaques.
Malware à double compression
Les fichiers AMOS et Lumma étaient tous deux compressés avec une double compression, et la deuxième compression nécessite un mot de passe. Cela devrait alerter certaines victimes, car les téléchargements de logiciels légitimes ne sont généralement pas compressés deux fois.
Malwarebytes a également examiné de plus près le logiciel malveillant AMOS , un programme de vol de données sous macOS (s'ouvre dans un nouvel onglet) , et a constaté que la dernière version vérifie la présence de machines virtuelles et se ferme si elle en détecte.
Ce logiciel malveillant pour Windows est chargé par un fichier .bat qui exécute un script AutoIt malveillant. Le serveur C2 utilisé par ce logiciel malveillant est un domaine qui a été enregistré tout récemment.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'auteur de cette campagne pousse l'ingénierie sociale (s'ouvre dans un nouvel onglet) un peu plus loin que la plupart des campagnes de logiciels piratés, en incluant un commentaire visant à apaiser les soupçons que la victime pourrait avoir.
Non seulement ce commentaire tente d'expliquer pourquoi l'appareil peut afficher des avertissements lors du téléchargement du logiciel, mais il propose également une assistance directe si vous rencontrez des difficultés pour l'exécuter. Ce commentaire pourrait bien suffire à piéger davantage de victimes que les campagnes qui ne proposent pas de « conseils ».
Près de 41 % des connexions des utilisateurs ont été effectuées à l'aide de mots de passe piratés
Selon le dernier rapport de télémétrie de Cloudflare (s'ouvre dans un nouvel onglet), 41 % des connexions réussies utilisent des mots de passe piratés.
Cela s'explique en grande partie par la réutilisation des mots de passe, de nombreux utilisateurs employant le même mot de passe pour plusieurs comptes, « ce qui entraîne un effet domino en matière de risque lorsque leurs identifiants sont divulgués ».
Portée de l'analyse
Cloudflare a analysé le trafic lié aux connexions provenant des sites web protégés par Cloudflare entre septembre etnovembre 2024.
Pour les sites protégés par Cloudflare, les mots de passe saisis sont hachés puis comparés à une base de données répertoriant les identifiants connus pour avoir fait l'objet de fuites ou d'attaques. Lorsque Cloudflare parle d'identifiants divulgués, il fait référence aux « noms d'utilisateur et mots de passe exposés lors de fuites de données connues ou dans des fichiers contenant des identifiants ».
41 % des identifiants sont exposés à un risque
Le premier défi de Cloudflare a consisté à faire la distinction entre les connexions légitimes et celles provenant d'acteurs malveillants.
Pour ce faire, il a fallu qu'il comprenne le comportement humain, en se concentrant sur les tentatives de connexion réussies. Ces données ont permis de constater qu'environ 41 % des tentatives d'authentification humaines réussies utilisaient des identifiants ayant fait l'objet d'une fuite. Cloudflare a ensuite élargi son analyse au trafic généré par des utilisateurs humains et par des robots, faisant passer ce pourcentage de 41 % à 52 % de mots de passe ayant fait l'objet d'une fuite.
Utilisation de mots de passe divulgués
Cloudflare a constaté que 95 % des tentatives de connexion lors d'attaques par « credential stuffing » impliquant des mots de passe divulgués provenaient de robots.
Les bots exploiteront spécifiquement les identifiants volés et pourront cibler des sites à grande échelle. Souvent, après avoir réussi à pirater un seul compte, un bot utilise ces identifiants pour accéder à plusieurs autres services, ce qui souligne une fois de plus le risque lié à la réutilisation des mots de passe.
Attaques par force brute contre WordPress
Cloudflare a mené une enquête spécifique sur les attaques par force brute visant les sites WordPress, qui sont fréquemment la cible de ce type d'attaques. Il a été constaté que 76 % des tentatives de connexion à des sites WordPress à l'aide de mots de passe divulgués ont abouti.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Bien que l'analyse de Cloudflare se limite aux sites utilisant ses services (environ 20 % de l'ensemble des sites), ces résultats refléteront probablement les tendances observées sur l'ensemble d'Internet.
Cela met en évidence un fait important : le risque de fuite d'identifiants est considérable, et la réutilisation des mots de passe aggrave ce risque. Changer régulièrement de mot de passe, en particulier après une violation de données, est bénéfique, mais l'authentification multifactorielle (MFA) (s'ouvre dans un nouvel onglet) ainsi que la détection des identifiants divulgués, comme le recommande Cloudflare, sont essentielles pour améliorer la surveillance en temps réel.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d'informations sur les cybermenaces publiés par l' : (s'ouvre dans un nouvel onglet),et .
