Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium examine comment les cybercriminels créent de faux sites web imitant des services d'IA légitimes afin de diffuser des logiciels malveillants. Ce tour d'horizon comprend également des informations actualisées concernant « APT41 », un acteur malveillant chinois très sophistiqué soutenu par l'État. Enfin, notre équipe CTI mène une enquête sur un nouvel acteur malveillant lié à la Russie, baptisé « Void Blizzard ».
UNC6032 crée de faux sites web consacrés à l'IA
Selon Mandiant (s'ouvre dans un nouvel onglet), les cybercriminels créent désormais de faux sites web consacrés à l'IA et s'en servent pour diffuser des logiciels malveillants par le biais de publicités trompeuses.
Cette campagne, attribuée au groupe UNC6032, cible les utilisateurs du monde entier et met en évidence la tendance croissante des acteurs malveillants à exploiter les technologies émergentes pour commettre des vols d'identifiants et mener des opérations de surveillance à grande échelle.
Comment les cybercriminels utilisent-ils l'IA et les réseaux sociaux pour diffuser des logiciels malveillants ?
Comme l'explique Mandiant, les cybercriminels n'ont pas tardé à tirer parti de la popularité croissante de l'IA. Cela a donné lieu à des campagnes provenant de sites se faisant passer pour des outils d'IA populaires, qui sont promus par le biais de publicités sur Facebook et LinkedIn.
Mandiant a recensé plus de 30 sites web parmi des milliers d'annonces présentant un contenu similaire. L'acteur semble changer sans cesse les noms de domaine mentionnés dans les publicités afin d'échapper à la détection ; la plupart ont une durée de vie très courte et de nouveaux sont créés chaque jour.
Que se passe-t-il lorsque vous cliquez sur une fausse publicité générée par l'IA ?
Dans le cadre de cette campagne, la publicité Facebook se faisait passer pour un outil d'IA connu permettant de transformer du texte en vidéo, appelé Luma AI. La publicité redirige les victimes vers un site web créé par le pirate, sur lequel elles peuvent cliquer sur un bouton « Commencer gratuitement dès maintenant » et sélectionner les différentes fonctionnalités qui les intéressent.
- Lorsque la victime clique pour générer le contenu, une barre de chargement s'affiche, donnant l'impression que le modèle d'IA traite la requête.
- Au bout de quelques secondes, ils reçoivent une vidéo à télécharger. Cela permettra de télécharger un fichier .zip sur l'appareil.
- Le fichier .zip téléchargé contient un fichier exécutable à double extension, conçu pour se faire passer pour un fichier .mp4 , mais qui est en réalité un fichier .exe.
[À lire également : Qu'est-ce que l'IA agentique ? Ce qu'il faut savoir sur ce nouveau type d'IA]
Qu'est-ce que le compte-gouttes STARKVEIL ?
Le fichier exécutable, répertorié par Mandiant sous le nom de STARKVEIL, est un logiciel malveillant de type « dropper » écrit en Rust. Il extraira l'archive intégrée ainsi que ses composants malveillants, qui seront utilisés ultérieurement au cours de l'infection pour injecter du code malveillant dans des processus légitimes.
Mandiant a constaté que le fichier exécutable devait être lancé à deux reprises pour que l'attaque aboutisse. Pour ce faire, le logiciel malveillant affiche une fenêtre d'erreur lors de sa première exécution, ce qui peut inciter les utilisateurs à tenter de le relancer.
Lors de la deuxième exécution, cela lancera un lanceur Python contenant une commande Python. Il s'est avéré qu'il s'agissait du compte-gouttes COILHATCH. Vous trouverez davantage d'informations sur COILHATCH ainsi que des détails techniques supplémentaires concernant le logiciel malveillant STARKVEIL dans le rapport de Mandiant.
Fichiers exécutables à connaître
La campagne contient trois fichiers exécutables, à savoir GRIMPULL, XWORM et FROSTRIFT :
- GRIMPULL is a downloader that uses anti-VM capabilities and Tor for its C2 communications.
- Le fichier « XWORM » ( ) s'exécute en deuxième plan et est injecté dans un processus Windows légitime. Il s'agit d'un programme malveillant qui étend ses fonctionnalités grâce à des plugins.
- FROSTRIFT s'injecte dans un processus Windows légitime et recueille des informations sur le système. Il reçoit les modules provenant du C2 , qui sont stockés en vue de leur chargement en mémoire.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne illustre parfaitement la manière dont les cybercriminels s'adaptent rapidement pour exploiter les technologies en vogue. Dans ce cas précis, le battage médiatique autour de l’IA constitue un appât idéal pour les attaques de manipulation psychologique de type « ».
Par ailleurs, l'utilisation abusive de plateformes publicitaires telles que Facebook et LinkedIn met en évidence une lacune croissante dans la détection des menaces. Des infrastructures malveillantes sont désormais mises en place au sein même d'écosystèmes légitimes.
Nous tenons à vous rappeler que la surveillance des charges utiles des logiciels malveillants ne suffit pas. Il convient d'accorder une attention tout aussi grande à l'identification et à la surveillance des vecteurs de transmission.
La division APT41 utilise Google Agenda pour la gestion et le pilotage
Le dernier rapport du Google Threat Intelligence Group, intitulé « » (s'ouvre dans un nouvel onglet), traite de « APT41 », un acteur malveillant soutenu par l'État chinois qui a récemment utilisé un site web gouvernemental piraté pour diffuser un logiciel malveillant sophistiqué en trois étapes, baptisé « TOUGHPROGRESS ».
Cette attaque a exploité des structures de fichiers trompeuses et Google Agenda pour assurer le commandement et le contrôle. Google a réussi à contrecarrer cette campagne en mettant en place des mécanismes de détection personnalisés et en désactivant l'infrastructure des attaquants.
Comment APT41 a-t-il utilisé de faux fichiers PDF pour diffuser des logiciels malveillants ?
Le groupe APT41 a lancé l'attaque en envoyant des e-mails de spear phishing aux victimes ciblées. Ces e-mails contenaient un lien vers une archive .zip hébergée sur un site web gouvernemental piraté.
L'archive contenait sept images au format .jpg et un fichier .lnk déguisé en fichier .pdf. La charge utile a été exécutée via le fichier .lnk, puis ce dernier a été supprimé et remplacé par un fichier .pdf servant de leurre.
Comprendre la chaîne d'infection par les logiciels malveillants
Ce logiciel malveillant comporte trois modules, qui ont chacun leur propre fonction et sont déployés les uns après les autres :
- PLUSDROP est une DLL conçue pour déchiffrer et exécuter la phase suivante de l'attaque.
- PLUSINJECT réalise l'évidement et injecte la charge utile finale.
- TOUGHPROGRESS exécute les actions proprement dites sur l'appareil compromis et utilise Google Agenda à des fins de commande et de contrôle (C2).
Comment APT41 a transformé Google Agenda en une chaîne C2
Comme indiqué, TOUGHPROGRESS fait un usage abusif de Google Agenda. Il peut lire et enregistrer des événements à l'aide d'un Google Agenda contrôlé par un pirate. Une fois exécutée, cette commande créera un événement de calendrier dont la date sera fixée de manière immuable au 30 mai 2023, avec une heure égale à zéro minute.
La description de l'incident comprend les données qui ont été recueillies à partir de l'appareil compromis. L'attaquant insère également des commandes chiffrées dans d'autres événements de calendrier, à des dates codées en dur dans le logiciel malveillant.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'utilisation de Google Agenda à des fins de commandement et de contrôle, comme le montre l'exemple APT41’s , nous rappelle de manière frappante que les attaquants ont de plus en plus recours à des services cloud légitimes pour dissimuler leurs activités malveillantes.
Cette tactique complique la détection et souligne la nécessité de recourir à des analyses comportementales allant au-delà de la détection traditionnelle basée sur les IOC (abréviation de « », qui désigne l’identification des menaces à l’aide d’éléments connus tels que des adresses IP malveillantes, des hachages de fichiers ou des noms de domaine associés à des attaques antérieures).
L'architecture en trois étapes de TOUGHPROGRESS reflète une tendance croissante dans la conception modulaire des logiciels malveillants, permettant aux attaquants d'adapter leurs charges utiles de manière dynamique et de contourner les défenses statiques. Cette modularité facilite également la réutilisation d'un projet de campagne à l'autre, ce qui rend l'attribution et l'atténuation plus complexes.
Void Blizzard : une nouvelle menace pour les secteurs stratégiques
Microsoft a identifié (s'ouvre dans un nouvel onglet) un nouvel acteur malveillant lié à la Russie, baptisé « Void Blizzard », qui mène activement des campagnes de cyberespionnage contre des secteurs critiques. Ce groupe utilise des identifiants volés et des techniques de spear phishing pour s'infiltrer dans les réseaux et exfiltrer de grands volumes de données sensibles.
À quel public s'adresse « Void Blizzard » ?
On a constaté que le groupe « Void Blizzard » ciblait des organisations issues de nombreux secteurs, notamment les communications et les télécommunications, la défense, la santé, l'éducation, les administrations et services publics, les technologies de l'information, les organisations intergouvernementales, les médias, les ONG et les transports.
Le plus souvent, ce groupe cible des organismes publics et des services de police, en particulier ceux des États membres de l'OTAN.
Comment « Void Blizzard » parvient-il à s'introduire dans le système ?
Ce groupe utilise principalement des techniques rudimentaires pour obtenir un premier accès, notamment le « password spraying » et le vol d'identifiants. Microsoft estime que ce groupe se procure des cookies et des identifiants via l'écosystème cybercriminel, puis les utilise pour accéder à des services tels qu'Exchange et SharePoint Online.
Dans le rapport « avril 2025 », Microsoft a identifié une campagne de spear phishing « Void Blizzard » qui utilisait la technique dite « adversary-in-the-middle » (AiTM). Cette campagne s'adressait à plus de 20 organisations non gouvernementales aux États-Unis et en Europe.
Les e-mails de hameçonnage « » prétendaient provenir du Sommet européen de la défense et de la sécurité et contenaient des fichiers PDF d'une fausse invitation à cet événement. Le fichier PDF contenait un code QR qui redirigeait vers un domaine de « typosquatting » imitant Microsoft Online. La page de hameçonnage imitait fidèlement le portail d'authentification Microsoft Entra. Microsoft estime également que Void Blizzard utilise probablement le framework Evilginx pour mener ce type de campagnes.
Que se passe-t-il après l'accès initial ?
Une fois que le groupe a obtenu un accès initial à un environnement, il exploite de manière abusive des API cloud légitimes, notamment celles d'Exchange Online et de Microsoft Graph. Cela leur permet de recenser les boîtes aux lettres des cibles ainsi que divers fichiers hébergés dans le cloud.
Dans certaines campagnes, les acteurs ont également accédé à des conversations Microsoft Teams, plus précisément via le client Web.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce n'est pas tous les jours que l'on entend parler d'un nouvel acteur ou groupe malveillant. Même si Void Blizzard utilise peut-être des techniques moins sophistiquées, sa capacité à compromettre avec succès des organisations nous rappelle à quel point les stratégies les plus « élémentaires » peuvent néanmoins constituer de réelles menaces. Cela dit, il peut s'avérer essentiel de pouvoir détecter et identifier certaines des tactiques, techniques et procédures (TTP) les plus élémentaires.
Comme à son habitude, Microsoft a publié sur des recommandations en matière de mesures d'atténuation et de protection (s'ouvre dans un nouvel onglet) concernant l'identité et l'authentification, la sécurité des e-mails et les activités postérieures à une compromission. Microsoft a également intégré diverses détections Defender et requêtes de recherche afin de faciliter l'identification des activités liées à Void Blizzard.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
