Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium mène l'enquête sur SystemBC, un botnet proxy à grande échelle qui exploite une infrastructure de serveurs privés virtuels (VPS) compromis pour soutenir des opérations cybercriminelles, notamment des attaques par ransomware et le vol d'identifiants. L'équipe s'intéresse ensuite à ShinyHunters, un groupe d'extorsion de données à but lucratif qui cible désormais les applications cloud d'entreprise.
Vous trouverez également un aperçu d'une campagne sophistiquée de phishing de type « » qui utilisait du code généré par l'IA pour dissimuler des charges utiles malveillantes au sein de fichiers SVG, dans le but de contourner les méthodes de détection traditionnelles.
Le botnet SystemBC cible les infrastructures VPS
L'équipe de Black Lotus Labs chez Lumen Technologies dévoile de nouveaux détails concernant le botnet SystemBC, notamment son immense portée, ses infections persistantes et son intégration à plusieurs services proposés par des acteurs malveillants.
Le botnet SystemBC est actif depuis des années et infecte chaque jour des milliers de systèmes. Il convient notamment de noter qu’il privilégie les infrastructures VPS — qui représentent la majorité de ses victimes — afin d’optimiser la bande passante et la persistance, selon Black Lotus Labs.
À l'instar d'autres botnets, ces victimes sont transformées en serveurs proxy pour acheminer du trafic malveillant. Selon Black Lotus Labs, SystemBC utilise des systèmes VPS plutôt que des adresses IP résidentielles afin de « proposer des proxys offrant un volume considérable pendant des périodes plus longues ».
Des chercheurs ont constaté que ces proxys étaient utilisés par plusieurs réseaux. L'un des principaux utilisateurs de ce botnet est un réseau de proxys appelé REM Proxy. Ce réseau a été associé à des auteurs de ransomware au cours des dernières années et propose trois formules différentes à ses utilisateurs, la formule la plus chère étant censée présenter de faibles taux de détection. Le rapport contient une analyse plus approfondie de l' de REM Proxy, disponible à l'adresse , à l'intention des personnes intéressées.
Bien qu'il n'ait pas été possible d'identifier le vecteur d'accès initial, Black Lotus Labs a découvert que chaque victime présentait environ 20 vulnérabilités CVE non corrigées, dont une ou plusieurs étaient critiques.
Télémétrie globale et analyse des victimes
Les utilisateurs de ce réseau de proxy commenceront par se connecter à C2 adresses IP appartenant à SystemBC. Cela redirigera l'utilisateur vers l'un des ordinateurs compromis du botnet. Les données de télémétrie indiquent que SystemBC gère environ 1 500 bots actifs par jour, dont 80 % sont concentrés chez cinq grands fournisseurs de serveurs virtuels (VPS). Cette concentration contribue à la persistance des infections, près de 40 % des systèmes restant infectés pendant plus d'un mois.
Aucun schéma de ciblage particulier n'a été observé chez les fournisseurs de VPS. Cependant, Black Lotus Labs a constaté que la plupart d'entre elles comportaient des failles faciles à exploiter. Les chercheurs ont établi un lien entre de nombreuses attaques et une seule adresse IP qui semble servir à recruter des victimes.
Analyse des mandataires
Les opérateurs et les clients du botnet SystemBC ne semblent pas accorder beaucoup d'importance à la dissimulation et à la discrétion, comme le montre le fait que les adresses IP ne sont ni renouvelées ni masquées. Ce botnet privilégie le volume.
La plupart des utilisateurs de ce botnet sont des opérateurs qui se servent de ce réseau pour pirater par force brute les identifiants WordPress, sans doute dans le but de les revendre pour en tirer profit. Ce botnet alimente également un important service russe de web scraping, un service de proxys « VN5Socks » basé au Vietnam, ainsi que REM Proxy.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne Black Lotus Labs, SystemBC fait preuve de résilience depuis des années et est devenu un « vecteur persistant dans le paysage des cybermenaces ».
Le recours par SystemBC à une infrastructure VPS piratée marque un tournant dans la stratégie des botnets, qui privilégie désormais la stabilité et la bande passante au détriment de la discrétion. Cela rend sa détection plus difficile, mais son suivi potentiellement plus aisé une fois qu'il a été identifié.
La persistance des infections et l'absence de rotation des adresses IP laissent supposer soit une négligence opérationnelle, soit un compromis délibéré, dans lequel les acteurs malveillants privilégient le débit et l'accessibilité au détriment de la capacité à échapper à la détection, misant sur la lenteur de la réaction des défenseurs.
ShinyHunters cible les applications cloud d'entreprise
Selon EclecticIQ, le groupe ShinyHunters cible de plus en plus les applications cloud d'entreprise afin de voler des données sensibles et de faire pression sur les victimes pour qu'elles paient des rançons. ShinyHunters combine désormais des techniques telles que l'hameçonnage vocal par IA, les attaques de la chaîne d'approvisionnement et les actes malveillants commis par des initiés pour mener ses attaques.
Le groupe ShinyHunters a fait son apparition en 2020 et est actif sur Telegram ainsi que sur des forums de cybercriminels anglophones. EclecticIQ a identifié ce qu’il considère comme trois des membres les plus actifs du groupe 2025, en soulignant que ces membres entretiennent des liens ténus avec d’autres groupes tels que Scattered Spider, The Com et Lapsus$.
On pense qu'une des membres, Yukari, fait partie à la fois des ShinyHunters et des Scattered Spider. EclecticIQ estime que ce membre est responsable de la compromission initiale, des attaques par échange de carte SIM et des tentatives de hameçonnage vocal de type « » (). Le dirigeant de ShinyHunters, ShinyCorp, recrute probablement par l'intermédiaire d'acteurs de la cybercriminalité. D'une manière générale, il semble que les membres de ShinyHunters soient souvent actifs au sein de plusieurs groupes.
Des assistants vocaux basés sur l'IA et un réseau d'affiliation Scattered Spider
ShinyHunters a utilisé des services d'appel VoIP pour mener des attaques de « vishing » (hameçonnage vocal) ainsi que des plateformes d'appels vocaux basées sur l'IA afin d'automatiser les appels d'ingénierie sociale de type « ». Par exemple, le groupe utilise l'IA de Bland pour « adapter de manière dynamique ses discours et ses tactiques en temps réel, en modulant ses réponses en fonction des réactions de la victime lors des appels téléphoniques ». L'attaquant peut modifier le style vocal pour que celui-ci semble plus humain, et le modèle adapte son ton et ses réponses afin de renforcer son apparence de légitimité.
Selon le responsable de ShinyHunters, la partie des attaques consistant en des appels vocaux est menée par des membres de Scattered Spider, bien que certains d'entre eux aient utilisé The Com. ShinyHunters recherche activement de nouvelles recrues pour des opérations d'hameçonnage par appel vocal via des groupes Telegram.
Attaques par hameçonnage vocal visant les utilisateurs d'applications cloud
Selon EclecticIQ, ce groupe aurait également mené des attaques par « vishing » afin de compromettre des applications Salesforce, en se faisant passer pour des membres du personnel informatique et en incitant les victimes à saisir des codes de connexion et à autoriser des applications contrôlées par l'acteur malveillant. En 2025, on a également constaté que ShinyHunters usurpait l'identité des pages de connexion Okta SSO afin de dérober des identifiants.
On pense que ShinyHunters aurait dérobé des clés API de BrowserStack afin de cibler des environnements de développement d'entreprise. EclecticIQ soupçonne également que ce groupe ait ciblé les ressources « Zero Trust » de Cloudflare.
Les experts en recrutement
Fin août, une chaîne Telegram intitulée « scattered LAPSUS$ hunters 4,0” » a publié un message de recrutement visant à trouver des initiés au sein d’organisations susceptibles de leur fournir un accès à des systèmes tels qu’Okta, l’authentification unique (SSO) de Microsoft, le VPN Citrix et GitHub. L'annonce proposait des récompenses financières en échange d'un accès.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les services cloud mal configurés et une mauvaise gestion des identités sont devenus des cibles faciles pour les acteurs malveillants, ce qui montre que les environnements cloud doivent être traités avec la même rigueur que les infrastructures traditionnelles.
Le fait que ce groupe s'appuie sur des identifiants volés souligne l'importance de mettre en place des stratégies solides de protection des identités, notamment l'authentification multifactorielle (MFA) , des politiques d'accès conditionnel et une surveillance continue, et met en évidence le fait que l'identité constitue désormais le nouveau périmètre de sécurité.
À tout le moins, ShinyHunters nous rappelle que le SaaS d’entreprise constitue une cible de grande valeur.
Une campagne de hameçonnage utilise du code généré par l'IA pour échapper à la détection
Microsoft a récemment mis au jour une campagne de hameçonnage sophistiquée qui utilisait du code généré par l'IA pour dissimuler des charges utiles malveillantes au sein de fichiers SVG afin de contourner les méthodes de détection traditionnelles.
Malgré la sophistication de ces tactiques, les systèmes de sécurité de Microsoft, basés sur l'intelligence artificielle, ont réussi à identifier et à bloquer la menace en analysant des signaux comportementaux et contextuels.
Tactiques et contenu des campagnes de hameçonnage
En août, Microsoft a identifié une campagne d'hameçonnage qui utilisait un compte de messagerie piraté pour envoyer des messages d'hameçonnage visant à dérober des identifiants. L'auteur de cette campagne a eu recours à une technique consistant à utiliser une adresse e-mail identique pour l'expéditeur et le destinataire, de sorte que les adresses de l'expéditeur et du destinataire semblaient être les mêmes, dissimulant ainsi les véritables destinataires du message dans le champ « Cci ».
Le corps du courriel de hameçonnage indiquait au destinataire qu'un fichier lui avait été partagé et contenait une prétendue pièce jointe correspondant à ce fichier. Le fichier joint s'intitulait « “23mb – PDF – 6 pages.svg », un fichier SVG dont le nom avait été choisi pour faire croire aux victimes qu'il s'agissait d'un fichier PDF. L'ouverture de ce fichier redirige la victime vers une page contenant une fausse fenêtre CAPTCHA de type « » ( ) destinée à dérober ses identifiants.
Microsoft a analysé le code SVG afin de mettre en évidence ses méthodes d'obfuscation. Le code a été conçu pour ressembler à un tableau de bord d'analyse métier, avec des graphiques à barres et des libellés indiquant les mois. Cependant, leur opacité était réglée sur zéro et leur remplissage était transparent, ce qui les rendait invisibles. La véritable fonctionnalité de la charge utile a également été dissimulée à l'aide d'outils professionnels.
Microsoft a déterminé que l'objectif était de rediriger les utilisateurs vers une page d'accueil de hameçonnage, d'identifier le navigateur et de mettre en place un suivi de session.
Utilisation de l'IA pour analyser la campagne
Microsoft estime que le pirate pourrait avoir eu recours à l'IA pour dissimuler le fonctionnement de la charge utile. Pour confirmer cette théorie, ils ont demandé à Copilot d'analyser le fichier et de déterminer s'il avait été créé par une IA.
Copilot a indiqué qu'il était très probable que ce code soit synthétique et généré soit par un modèle de langage de grande échelle (LLM), soit par un outil utilisant un tel modèle. Copilot a notamment fourni cinq éléments de preuve à l'appui de cette affirmation, à savoir :
- Des noms de fonctions et de variables trop descriptifs et redondants
- Structure de code modulaire et surdimensionnée
- Remarques générales
- Techniques d'obfuscation stéréotypées
- Utilisation inhabituelle de CDATA et de la déclaration XML
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'obfuscation générée par l'IA marque un tournant dans la sophistication des attaques de hameçonnage. Les pirates ne se contentent plus d'imiter le comportement humain, mais exploitent désormais l'intelligence artificielle pour créer un code plus difficile à détecter et à analyser.
L'utilisation du jargon d'entreprise pour dissimuler un code malveillant est particulièrement astucieuse, car elle exploite la confiance que suscite le langage professionnel pour contourner les filtres heuristiques et la méfiance humaine.
Le succès de Microsoft en matière de détection souligne l'importance de l'analyse comportementale par rapport à l'inspection statique du code, d'autant plus que les menaces générées par l'IA tiennent de plus en plus compte du contexte. Microsoft a également publié, à l'adresse , des recommandations, des détections de Defender et des requêtes de recherche afin de vous aider à identifier cette menace.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
