Cette semaine, l’équipe de Cyber Threat Intelligence (CTI) de Tanium enquête sur SystemBC, un botnet proxy à grande échelle qui exploite l’infrastructure de serveur privé virtuel (VPS) compromise pour soutenir les opérations cybercriminelles, y compris les ransomwares et le vol d’informations d’identification. Ensuite, l’équipe examine ShinyHunters, un groupe d’extorsions de données motivé financièrement qui cible désormais les applications cloud d’entreprise.
Un aperçu d’une campagne d’hameçonnage sophistiquée qui utilisait le code généré par l’IA pour masquer les charges utiles malveillantes dans les fichiers SVG, visant à contourner les méthodes de détection traditionnelles, est également inclus.
Le botnet SystemBC cible l’infrastructure VPS
L’équipe Black Lotus Labs de Lumen Technologies partage de nouveaux détails sur le botnet SystemBC, y compris sa vaste portée, ses infections persistantes et son intégration à plusieurs services d’acteurs malveillants.
Le botnet SystemBC est actif depuis des années, infectant des milliers de systèmes chaque jour. Il privilégie notamment l’infrastructure VPS, qui représente la majorité de ses victimes, pour maximiser la bande passante et la persistance, selon Black Lotus Labs.
Comme d’autres botnets, ces victimes se transforment en proxys pour le trafic malveillant. Selon Black Lotus Labs, SystemBC utilise les systèmes VPS plutôt que les IP résidentielles pour « offrir des proxys avec des quantités massives de volume pendant des périodes plus longues ».
Des chercheurs ont observé que ces proxys étaient utilisés par plusieurs réseaux. L’un des principaux utilisateurs du botnet est un réseau proxy appelé proxy REM. Ce réseau a été lié aux acteurs des rançongiciels au cours des dernières années et propose trois packages différents à ses utilisateurs, le niveau supérieur ayant prétendument des taux de détection faibles. Le rapport contient une analyse plus approfondie du proxy REM pour les personnes intéressées.
Bien qu’un vecteur d’accès initial n’ait pas pu être identifié, Black Lotus Labs a découvert que chaque victime a montré environ 20 CVE non corrigés, un ou plusieurs étant critiques.
Télémétrie mondiale et analyse des victimes
Les acteurs utilisant ce réseau proxy commenceront par engager C2 adresses IP appartenant à SystemBC. Cela canalisera l’utilisateur vers l’une des victimes dans le botnet. La télémétrie montre que SystemBC maintient environ 1 500 robots actifs chaque jour, avec 80 % concentrés sur cinq principaux fournisseurs VPS. Cette concentration contribue à de longues durées d’infection, près de 40 % des systèmes restant compromis pendant plus d’un mois.
Aucun modèle de ciblage spécifique n’a été observé parmi les fournisseurs VPS. Cependant, Black Lotus Labs a déterminé que la plupart contenaient des vulnérabilités faciles à exploiter. Les chercheurs ont lié de nombreuses attaques à une seule adresse IP qui semble recruter des victimes.
Analyse proxy
Les opérateurs et les clients du botnet SystemBC ne semblent pas se soucier autant de l’évasion et de la furtivité, car les adresses IP ne sont pas tournées ou masquées. Le botnet donne la priorité au volume.
La plupart des utilisateurs du botnet sont des opérateurs qui utilisent le réseau pour forcer brutement les informations d’identification WordPress, potentiellement pour vendre à des fins de profit. Le botnet sert également un grand service russe de web scraping, un service proxy VN5Socks basé au Vietnam et un proxy REM.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Comme le souligne Black Lotus Labs, SystemBC est résilient depuis des années et est devenu un « vecteur persistant dans le paysage des cybermenaces ».
L’utilisation par SystemBC de l’infrastructure VPS compromise marque un changement dans la stratégie de botnet, en favorisant la stabilité et la bande passante plutôt que la furtivité. Cela rend la détection plus difficile, mais potentiellement plus facile à suivre une fois identifiée.
La persistance des infections et l’absence de rotation de l’IP suggèrent une négligence opérationnelle ou un compromis calculé, où les acteurs malveillants privilégient le débit et l’accessibilité par rapport à l’évasion, pariant sur la lenteur de la réponse des défenseurs.
ShinyHunters cible les applications cloud d’entreprise
Selon EclecticIQ, le groupe ShinyHunters cible de plus en plus les applications cloud d’entreprise pour voler des données sensibles et pousser les victimes à payer des rançons. ShinyHunters combine désormais des tactiques telles que l’hameçonnage vocal par IA, les attaques de la chaîne d’approvisionnement et les initiés malveillants pour mener leurs attaques.
ShinyHunters est apparu pour la première fois en 2020 et est actif sur Telegram et les forums cybercriminels anglophones. EclecticIQ a identifié ce qu’ils pensent être trois des membres les plus actifs du groupe en 2025, notant que ces membres ont des liens lâches avec d’autres groupes tels que Scattered Spider, The Com et Lapsus$.
Un membre, Yukari, est considéré comme membre de ShinyHunters et de Scattered Spider. EclecticIQ pense que ce membre est responsable de la compromission initiale, des attaques d’échange de SIM et de l’ hameçonnage vocal. Le leader de ShinyHunters, ShinyCorp, recrute probablement via les acteurs d’eCrime. En général, il semble que les membres de ShinyHunters travaillent souvent dans plusieurs groupes.
Agents vocaux IA et réseau d’affiliation Scattered Spider
ShinyHunters a utilisé des services d’appel basés sur la VoIP pour effectuer des plateformes d’appels vocaux basées sur le vishing et l’IA pour automatiser les appels d’ingénierie sociale. Par exemple, le groupe utilise l’IA Bland pour « ajuster dynamiquement ses récits et tactiques en temps réel, en adaptant les réponses aux réactions des victimes pendant les appels téléphoniques ». L’attaquant peut modifier le style de voix pour qu’il semble plus humain, et le modèle ajuste son ton et ses réponses pour améliorer la légitimité.
Selon le leader ShinyHunters, la partie appel vocal des attaques est effectuée par les membres de Sciny Spider, bien que certains membres aient utilisé The Com. ShinyHunters recherche activement des recrues pour l’hameçonnage par appel vocal via les groupes Telegram.
Attaques par hameçonnage contre les utilisateurs d’applications cloud
EclecticIQ pense que le groupe a également mené des attaques par vishing pour compromettre les applications Salesforce, usurper l’identité du personnel informatique et tromper les victimes pour qu’elles saisissent des codes de connexion et autorisent les applications contrôlées par l’acteur. En 2025, ShinyHunters a également été observé en usurpant l’identité des pages de connexion SSO Okta pour voler des informations d’identification.
ShinyHunters aurait volé des clés API BrowserStack pour cibler les environnements de développement d’entreprise. EclecticIQ soupçonne également que le groupe a ciblé les ressources Cloudflare Zero Trust.
Recruter des initiés
À la fin du mois d’août, un canal Telegram appelé « LAPSUS$ hunters 4,0” a partagé un message de recrutement à la recherche d’initiés dans des organisations qui fourniraient un accès à des systèmes tels que Okta, Microsoft SSO, Citrix VPN et GitHub. La publication proposait des récompenses financières en échange d’un accès.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les services cloud mal configurés et une mauvaise hygiène de l’identité sont devenus un fruit faible pour les acteurs malveillants, indiquant que les environnements cloud doivent être traités avec la même rigueur que l’infrastructure traditionnelle.
La dépendance du groupe à l’égard des informations d’identification volées souligne l’importance de stratégies robustes de protection des identités, y compris l’ AMF, les politiques d’accès conditionnel et la surveillance continue, et souligne comment l’identité est le nouveau périmètre.
Si rien d’autre, ShinyHunters nous rappelle que le SaaS d’entreprise est une cible de grande valeur.
La campagne d’hameçonnage utilise du code généré par l’IA pour éviter la détection
Microsoft a récemment découvert une campagne d’hameçonnage sophistiquée qui utilisait du code généré par l’IA pour masquer les charges utiles malveillantes dans les fichiers SVG afin de contourner les méthodes de détection traditionnelles.
Malgré les tactiques avancées, les systèmes de sécurité optimisés par IA de Microsoft ont identifié et bloqué avec succès la menace en analysant les signaux comportementaux et contextuels.
Tactiques et charge utile de campagne de phishing
En août, Microsoft a identifié une campagne d’hameçonnage qui utilisait un compte de messagerie compromis pour envoyer des messages d’hameçonnage afin de voler des informations d’identification. L’attaquant derrière la campagne a utilisé une tactique d’e-mail auto-adressée afin que les adresses de l’expéditeur et du destinataire semblent être les mêmes, cachant les véritables cibles du message dans le champ BCC.
Le corps de l’e-mail d’hameçonnage a informé le destinataire qu’un fichier avait été partagé avec lui et contenait une supposée pièce jointe de ce fichier. Le fichier joint a été nommé “23mb – PDF- 6 pages.svg », un fichier SVG étiqueté pour inciter les victimes à penser qu’il s’agissait d’un PDF. L’ouverture de ce fichier redirige la victime vers une page avec une fausse invite CAPTCHA pour voler des informations d’identification.
Microsoft a analysé le code SVG pour révéler ses méthodes d’obscurcissement. Le code a été conçu pour ressembler à un tableau de bord d’analyse commerciale avec des barres de graphique et des étiquettes de mois. Cependant, ils étaient réglés sur zéro opacité et remplissage transparent, les rendant invisibles. La véritable fonctionnalité de la charge utile était également masquée à l’aide d’outils commerciaux.
Microsoft a déterminé que l’objectif était de rediriger les utilisateurs vers une page d’accueil d’hameçonnage, d’effectuer une empreinte digitale du navigateur et d’initier le suivi de session.
Utiliser l’IA pour analyser la campagne
Microsoft pense que l’attaquant a peut-être utilisé l’IA pour masquer la fonctionnalité de charge utile. Pour confirmer cette théorie, ils ont demandé à Copilot d’analyser le fichier et de déterminer s’il a été créé par l’IA.
Copilot a déclaré qu’il était très probable que le code soit synthétique et généré par un LLM ou un outil qui en utilise un. Copilot a spécifiquement renvoyé cinq éléments de preuve à l’appui de cela, notamment :
- Nommage trop descriptif et redondant des noms de fonction et de variable
- Structure de code modulaire et sur-conçue
- Commentaires génériques
- Techniques d’obscurcissement formulées
- Utilisation inhabituelle de la déclaration CDATA et XML
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’obscurcissement généré par l’IA marque un tournant dans la sophistication du phishing. Les attaquants ne se contentent plus d’imiter le comportement humain, mais tirent parti de l’intelligence machine pour créer un code plus difficile à détecter et à inverser.
L’utilisation du jargon commercial comme camouflage pour le code malveillant est particulièrement intelligente, exploitant la confiance dans le langage professionnel pour contourner les filtres heuristiques et la suspicion humaine.
La détection réussie de Microsoft souligne l’importance de l’analyse basée sur le comportement par rapport à l’inspection de code statique, d’autant plus que les menaces générées par l’IA sont de plus en plus sensibles au contexte. Microsoft a également partagé des recommandations, des détections Defender et des requêtes de recherche pour aider à identifier cette menace.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
