Cette semaine, CTI s'intéresse à Vortax, un logiciel de visioconférence récemment identifié qui se présente comme tel, mais qui diffuse en réalité des programmes de vol d'informations. Dans la suite de cet article, CTI examine une campagne qui diffuse des logiciels malveillants par le biais de faux messages d'erreur de Chrome, Word et OneDrive. CTI wraps up with an overview of DISGOMOJI, a Linux malware that uses Discord for its C2 and leverages emojis to execute commands on infected devices.
1. Vortax propage un logiciel malveillant de vol d'informations
Recorded Future a identifié un logiciel de visioconférence de type « » appelé Vortax qui installe trois programmes de vol d'informations lors de son installation. Cette vaste campagne est menée par un acteur malveillant dénommé « markopolo » et diffuse les logiciels malveillants Rhadamanthys, Stealc et Atomic macOS Stealer (AMOS).
On aperçoit rarement AMOS dans la nature, ce qui confère à cette campagne tout son intérêt. L'enquête menée par Recorded Future sur l'application Vortax leur a permis de découvrir 23 autres applications macOS malveillantes qui utilisent toutes la même infrastructure C2 .
Qu'est-ce que Vortax ?
Vortax est un logiciel de réunion virtuelle qui se présente comme une « alternative multiplateforme et accessible directement dans le navigateur, destinée aux entreprises ». Il affirme utiliser l'intelligence artificielle pour rédiger des comptes rendus de réunion et suggérer des questions.
- Vortax est actuellement référencé par tous les principaux moteurs de recherche, est présent sur les réseaux sociaux et tient un blog sur Medium.
- Le logiciel prétend également disposer d'un siège social à Toronto, mais l'adresse indiquée correspond à celle d'un immeuble d'habitation.
- À première vue, Vortax semble être une entreprise de logiciels tout à fait légitime, d'autant plus qu'elle affirme avoir reçu des distinctions de la part de Forbes et bénéficier du soutien d'entreprises de renom telles qu'Uber. Une enquête menée sur le logiciel n'a révélé aucun élément permettant d'étayer ces allégations.
- Ses sites web officiels regorgent de fautes de grammaire.
Vortax Marketing
Comme indiqué, Vortax assure sa promotion sur les réseaux sociaux et sur ses propres sites. Elle affirme proposer des applications pour Windows, Linux, macOS, iOS et Android.
Pour télécharger le logiciel, les utilisateurs doivent disposer d'un « identifiant de salle » qu'ils doivent obtenir via une invitation à une réunion. Ces identifiants sont généralement diffusés de quatre manières différentes : par le biais de messages privés envoyés depuis des comptes de réseaux sociaux, de réponses adressées au compte Vortax sur les réseaux sociaux, de publications sur des canaux Telegram consacrés à la cryptomonnaie et de publications sur des canaux Discord consacrés à la cryptomonnaie.
Téléchargement de Vortax
Lorsqu'un utilisateur saisit l'identifiant de la salle sur le site Web de Vortax, il est redirigé vers un site Dropbox s'il utilise Windows, et vers un site externe s'il utilise macOS. Dans tous les cas, le programme d'installation de Vortax se téléchargera.
Le programme d'installation diffusera les logiciels malveillants « Rhadamanthys » et « Stealc » ( ) aux utilisateurs de Windows, ainsi que « AMOS » aux utilisateurs de macOS. L'application affichera également une fenêtre contextuelle indiquant qu'une « erreur critique » s'est produite et qu'elle ne peut pas s'exécuter. Pendant ce temps, plusieurs processus malveillants s'exécutent en arrière-plan.
Chevauchements de réseaux malveillants
Recorded Future a examiné de plus près les domaines hébergés sur la même adresse IP et a découvert d'autres domaines hébergeant des applications malveillantes qui diffusent également AMOS.
Des recherches plus approfondies sur ces applications ont mis au jour des escroqueries similaires à celle de Vortax, ce qui les a amenés à penser que markopolo est à l'origine de plusieurs escroqueries.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne est une variante des campagnes de logiciels piratés qui existent depuis un certain temps déjà. Au lieu de se faire passer pour des logiciels légitimes et connus, cet acteur crée ses propres logiciels et espère que les utilisateurs seront tentés de les installer. Les fausses allégations de cet acteur pourraient facilement amener les utilisateurs à croire que Vortax est une entreprise légitime. Toutefois, toute étude supplémentaire susciterait probablement un certain scepticisme.
Comme le montre cet exemple, il est important que les employés n'installent que des logiciels approuvés. En ce qui concerne les logiciels à usage personnel, les utilisateurs finaux doivent comprendre ce qu'ils installent et prendre le temps de se renseigner et de vérifier leur authenticité.
Recorded Future souligne que le logiciel malveillant diffusé dans le cadre de cette campagne, AMOS, est rarement utilisé dans la nature. Cette activité met également en évidence à quel point il est difficile de suivre ce type de campagnes d'infostealers.
2. Une campagne de logiciels malveillants diffuse de faux messages d'erreur
Une nouvelle campagne diffuse des logiciels malveillants par le biais de faux messages d'erreur d' de Google Chrome, Microsoft Word et OneDrive. Chaque message d'erreur vise à inciter les utilisateurs à exécuter un script malveillant qui installe un logiciel malveillant sur leur ordinateur.
Activité de ClearFake
C'est Proofpoint qui a découvert cette technique pour la première fois dans avril 2024 et qui l'a depuis observée dans toutes les campagnes ClearFake de . Pour vous donner un peu de contexte, ClearFake est un groupe d'activités qui utilise généralement de fausses mises à jour de navigateur pour compromettre des sites web. Dans le cadre de ces campagnes, lorsqu'un utilisateur se rend sur l'un de ces sites compromis, celui-ci charge un script malveillant via EtherHiding, qui exécute à son tour un script secondaire. Si l'utilisateur reste sur le site, il verra alors s'afficher un faux message d'avertissement lui demandant d'installer un certificat racine afin de pouvoir consulter le site sans rencontrer d'erreurs.
Le message qui s'affiche à l'écran invite l'utilisateur à exécuter manuellement un script sur son ordinateur. Ce script videra le cache DNS, effacera le contenu du presse-papiers, puis téléchargera et exécutera un script PowerShell en mémoire.
Le deuxième script télécharge un troisième script qui vérifie s'il s'exécute dans un environnement virtuel. S'il ne s'agit pas d'un environnement virtuel, il téléchargera un fichier ZIP, exécutera son contenu et indiquera à ClearFake C2 que l'installation s'est déroulée avec succès. Dans le cadre de ce processus, il installe via un « sideload » une DLL infectée par un cheval de Troie afin de charger le logiciel malveillant Lumma Stealer, qui mènera à bien ses activités de vol de données et téléchargera des charges utiles supplémentaires.
Activité ClickFix
En avril, Proofpoint a identifié plusieurs sites piratés qui redirigeaient vers une balise iframe. L'iframe s'affiche aux utilisateurs sous la forme d'un message indiquant qu'un problème est survenu et que le navigateur doit être mis à jour pour que ce problème soit résolu. Cette activité a été baptisée « ClickFix ».
Une fois encore, le message affiché à l'utilisateur vise à l'inciter à copier-coller un script malveillant. Dans ce cas, cela entraînerait l'installation de Vidar Stealer. Quelques jours après cette première découverte, les chercheurs ont constaté que le contenu de l'iframe avait été remplacé par l'injection ClearFake évoquée précédemment.
TA571 activités
Un acteur identifié sous le numéro TA571 utilise cette technique depuis au moins 1 mars 2024. Au cours de cette campagne, plus de 100 000 e-mails ont été envoyés. Ces e-mails contiennent une pièce jointe au format HTML qui ressemble à un document Microsoft Word. En les ouvrant, l'utilisateur verra s'afficher un message d'erreur indiquant que l'extension « Word Online » n'est pas installée, et se verra proposer plusieurs options pour résoudre le problème.
Si l'utilisateur sélectionne l'option « Comment résoudre le problème », un script PowerShell est copié dans le presse-papiers et le message s'affiche alors sous forme d'instructions expliquant comment exécuter ce script manuellement. Si l'utilisateur sélectionne l'option « Correction automatique », l'Explorateur Windows s'ouvre et un fichier hébergé via WebDAV s'affiche.
Cet acteur utilise cette technique depuis quelques mois, en variant les leurres visuels. Dans certains cas, l'auteur de l'attaque a utilisé une pièce jointe au format HTML qui ressemblait à un document hébergé sur OneDrive et qui contenait un autre faux message d'erreur.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce n'est pas la première fois que nous constatons qu'un acteur malveillant utilise une technique consistant, en substance, à demander à l'utilisateur de copier-coller un script afin d'infecter son propre ordinateur.
Cette technique semble gagner en popularité et aider les cybercriminels à diffuser toute une gamme de logiciels malveillants. Cette popularité s'explique tout à fait, car l'auteur de la menace n'a pas besoin d'être particulièrement expérimenté ou sophistiqué ; il compte plutôt sur la victime pour faire le plus gros du travail.
Les équipes de sécurité doivent former et sensibiliser les utilisateurs finaux afin qu'ils évitent d'exécuter des scripts, sauf sur instruction d'un service d'assistance informatique légitime.
3. Un logiciel malveillant sous Linux utilise des emojis pour exécuter des commandes
According to Volexity, a newly discovered Linux malware called DISGOMOJI uses Discord for its C2 and leverages emojis to execute commands on infected devices.
Ce logiciel malveillant est spécialement conçu pour les systèmes Linux et cible les organisations connues pour utiliser des distributions Linux. Ce logiciel malveillant serait lié à un acteur basé au Pakistan, identifié sous le nom d' UTA0137.
L'analyse de Volexity a débuté avec un fichier binaire ELF écrit en Golang, fourni dans un fichier ZIP. Le fichier binaire commence par télécharger un fichier PDF inoffensif servant d'appât, afin que la victime ait quelque chose à consulter qui semble légitime.
En arrière-plan, le logiciel malveillant téléchargera une instance de DISGOMOJI, la charge utile de la phase suivante, à partir d'un serveur distant. Cette charge utile se place dans un dossier caché et crée un canal dédié sur le serveur Discord, de sorte que chaque victime dispose de son propre canal. Il collectera et enverra des informations concernant la victime vers le canal et assurera la persistance du processus via cron.
Ce logiciel malveillant exécutera également un script qui recherche les périphériques USB connectés et copie les fichiers qui s'y trouvent.
Des emojis sont envoyés dans les canaux créés afin de transmettre des commandes au logiciel malveillant. En réponse, un emoji représentant une horloge est envoyé pour indiquer que la commande est en cours de traitement, et un emoji représentant une coche est envoyé une fois celle-ci terminée.
Comportement après l'infection
Après avoir diffusé le logiciel malveillant DISGOMOJI, UTA0137 mène diverses activités post-infection. L'acteur utilise Nmap pour analyser le réseau, Chisel et Ligolo pour établir des tunnels réseau, ainsi que le service de partage de fichiers oshi[.]at pour déployer des outils supplémentaires.
À plusieurs reprises, l'acteur a émis des commandes qui ont ouvert une boîte de dialogue s'affichant à l'écran, faisant croire à l'utilisateur qu'il s'agissait d'une mise à jour de Firefox et lui demandant son mot de passe pour continuer. Lors d'une campagne récente, cet acteur a utilisé « CVE-2922-0847 », une faille permettant l'escalade de privilèges.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme il ne s'agit pas d'une méthode d'attaque courante, cela pourrait poser un défi aux logiciels de sécurité qui se contentent de rechercher des détections basées sur des chaînes de caractères.
À l'heure actuelle, cette activité vise des entités gouvernementales indiennes et ne semble pas être très répandue. Compte tenu de la recrudescence des attaques visant les appareils Linux et de cette nouvelle technique utilisant les emojis, l'ampleur des répercussions pourrait s'étendre si d'autres acteurs s'inspirent de son taux de réussite.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
