Cette semaine, CTI examine Vortax, un logiciel de réunion virtuelle nouvellement identifié et autoproclamé qui fournit des infostealers. Ensuite, CTI inspecte une campagne qui distribue des logiciels malveillants via de faux messages d’erreur Chrome, Word et OneDrive. CTI conclut avec une vue d’ensemble de DISGOMOJI, un logiciel malveillant Linux qui utilise Discord pour son C2 et tire parti des émojis pour exécuter des commandes sur des appareils infectés.
1. Vortax propage les logiciels malveillants infostealer
Recorded Future a identifié un logiciel de réunion virtuelle appelé Vortax qui fournit trois infostealers pendant l’installation. La vaste campagne est menée par un acteur malveillant appelé « markopolo » et fournit Rhadamanthys, Stealc et l’AMOS (Atomic macOS Stealer).
L’AMOS n’est pas souvent vu dans la nature, ce qui fait que cette campagne se démarque. L’enquête de Recorded Future sur l’application Vortax les a conduits à la découverte de 23 autres applications macOS malveillantes qui utilisent toutes la même infrastructure C2 .
Qu’est-ce que Vortax ?
Vortax est un logiciel de réunion virtuelle autoproclamé, annoncé comme une « alternative multiplateforme et axée sur l’entreprise dans le navigateur ». Elle prétend tirer parti de l’intelligence artificielle pour créer des résumés de réunion et suggérer des questions.
- Vortax est actuellement indexé par tous les principaux moteurs de recherche, est actif sur les réseaux sociaux et maintient un blog sur Medium.
- Le logiciel prétend également avoir un emplacement physique à Toronto, mais l’adresse indiquée est l’adresse d’un immeuble d’appartements.
- À première vue, Vortax semble être une société de logiciels légitime, en particulier avec sa revendication d’avoir obtenu des récompenses de Forbes et des approbations de grandes entreprises comme Uber. Une enquête sur le logiciel n’a révélé aucune preuve de ce type pour étayer ces réclamations.
- Ses sites Web officiels sont pleins d’erreurs grammaticales.
Marketing Vortax
Comme indiqué, Vortax se commercialise sur les réseaux sociaux et ses propres sites. Il prétend avoir des applications pour Windows, Linux, macOS, iOS et Android.
Pour télécharger le logiciel, les utilisateurs doivent avoir un « ID de salle » qu’ils doivent obtenir via une invitation à une réunion. Ces ID sont généralement répartis de quatre manières, y compris les messages directs envoyés à partir des comptes de réseaux sociaux, les réponses au compte Vortax sur les réseaux sociaux, les publications sur les canaux Telegram liés aux cryptogrammes et les publications sur les canaux Discord sur le thème des cryptogrammes.
Téléchargement de Vortax
Lorsqu’un utilisateur saisit l’ID de salle sur un site Web Vortax, il est redirigé vers un site Dropbox s’il est sur Windows et redirigé vers un site externe s’il est sur macOS. Dans tous les cas, le programme d’installation Vortax sera téléchargé.
Le programme d’installation fournira des logiciels malveillants Rhadamanthys et Stealc aux utilisateurs Windows et AMOS aux utilisateurs macOS. L’application donnera également à l’utilisateur une fenêtre contextuelle affirmant qu’elle a rencontré une « erreur critique » et qu’elle ne peut pas s’exécuter. Pendant ce temps, plusieurs processus malveillants s’exécutent en coulisses.
Chevauchements réseau malveillants
Recorded Future a examiné de plus près les domaines hébergés sur la même adresse IP et a découvert d’autres domaines hébergeant des applications malveillantes qui fournissent également AMOS.
Des recherches plus approfondies sur ces applications ont révélé des escroqueries similaires à celles de Vortax, ce qui les a amenés à croire que Markopolo opère plusieurs escroqueries.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Cette campagne est une variante des campagnes logicielles craquelées qui se déroulent depuis un certain temps. Au lieu d’usurper des logiciels légitimes et connus, cet acteur crée son propre logiciel et espère que les utilisateurs seront intéressés par son installation. Les fausses déclarations de l’acteur pourraient facilement inciter les utilisateurs à penser que Vortax est légitime. Cependant, toute recherche supplémentaire augmenterait probablement un niveau de scepticisme.
Comme le montre cet exemple, il est important que les employés installent uniquement des logiciels approuvés. Et lorsqu’il s’agit de logiciels personnels, les utilisateurs finaux doivent comprendre ce qu’ils installent et prendre le temps de rechercher et de confirmer la légitimité.
Recorded Future souligne que le logiciel malveillant distribué dans cette campagne, AMOS, n’est pas souvent utilisé de manière sauvage. Cette activité met également en évidence la difficulté de suivre ces types de campagnes d’infostealer.
2. La campagne Malware distribue de faux messages d’erreur
Une nouvelle campagne distribue des logiciels malveillants via de faux messages d’erreur Google Chrome, Microsoft Word et OneDrive. Chaque message d’erreur tente d’inciter les utilisateurs à exécuter un script malveillant qui installe des logiciels malveillants sur leur machine.
Activité ClearFake
Proofpoint a découvert cette technique pour la première fois en avril 2024 et l’a remarquée dans chaque campagne ClearFake depuis. Pour le contexte, ClearFake est un cluster d’activités qui exploite généralement de fausses mises à jour de navigateur pour compromettre les sites web. Dans ces campagnes, lorsqu’un utilisateur visite l’un de ces sites compromis, le site chargera un script malveillant via EtherHiding qui exécutera un script secondaire. Si l’utilisateur reste sur le site, il verra alors un faux message d’avertissement lui demandant d’installer un certificat racine afin d’afficher le site Web sans erreurs.
Le message qui est affiché à l’utilisateur lui demande d’exécuter manuellement un script sur sa machine. Ce script purgera le cache DNS, effacera le contenu du presse-papiers et téléchargera et exécutera un script PowerShell en mémoire.
Le second script télécharge un troisième script qui vérifie s’il fonctionne dans un environnement virtuel. S’il ne se trouve pas dans un environnement virtuel, il téléchargera un fichier ZIP, exécutera son contenu et informera ClearFake C2 que l’installation a réussi. Dans le cadre de ce processus, il charge latéralement une DLL trojancée pour charger le logiciel malveillant Lumma Stealer, qui effectuera ses activités de vol et téléchargera des charges utiles supplémentaires.
Activité ClickFix
En avril, Proofpoint a identifié plusieurs sites compromis qui ont conduit à un iframe. L’iframe apparaît aux utilisateurs comme un message indiquant que quelque chose s’est mal passé et que le navigateur doit être mis à jour pour que le problème soit corrigé. Cette activité s’appelle « ClickFix ».
Encore une fois, le message affiché à l’utilisateur essaie de le faire copier et coller un script malveillant. Dans ce cas, cela entraînerait l’installation de Vidar Stealer. Quelques jours après cette découverte initiale, les chercheurs ont découvert que le contenu iframe a été remplacé par l’injection ClearFake qui a été abordée précédemment.
Activité TA571
Un acteur suivi comme TA571 utilise cette technique depuis au moins 1 mars 2024. Dans cette campagne, plus de 100 000 e-mails ont été envoyés. Les e-mails comprennent une pièce jointe HTML qui ressemble à un document Microsoft Word. Lors de leur ouverture, l’utilisateur verra un message d’erreur indiquant que l’extension « Word Online » n’est pas installée et qu’elle est présentée avec des options pour résoudre le problème.
Si l’utilisateur sélectionne l’option « Comment corriger », un script PowerShell copie dans le presse-papiers et le message passe aux instructions sur la manière d’exécuter ce script manuellement. Si l’utilisateur sélectionne l’option « Correction automatique », Windows Explorer est ouvert et un fichier hébergé par WebDAV s’affiche pour l’utilisateur.
Cet acteur a utilisé cette technique ces derniers mois, en changeant les attraits visuels. Dans certains cas, l’acteur a utilisé une pièce jointe HTML qui ressemblait à un document hébergé sur OneDrive et contenait un message d’erreur factice différent.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Ce n’est pas la première fois que nous voyons un acteur malveillant utiliser une technique dans laquelle il demande essentiellement à l’utilisateur de copier et coller un script pour infecter sa propre machine.
Cette technique semble devenir de plus en plus populaire et aider les acteurs malveillants à fournir une gamme de logiciels malveillants. Cette popularité est très logique car l’acteur malveillant n’a pas besoin d’être incroyablement mature ou sophistiqué et s’appuie plutôt sur la victime pour faire le gros du travail.
Les équipes de sécurité doivent former et éduquer les utilisateurs finaux pour éviter d’exécuter des scripts, sauf instruction contraire d’un service d’assistance informatique légitime.
3. Les logiciels malveillants Linux utilisent des émojis pour exécuter des commandes
Selon Volexity, un logiciel malveillant Linux nouvellement découvert appelé DISGOMOJI utilise Discord pour son C2 et tire parti des émojis pour exécuter des commandes sur des appareils infectés.
Ce logiciel malveillant est spécifiquement destiné aux systèmes Linux et cible les organisations connues pour utiliser les distributions Linux. Le logiciel malveillant est considéré comme étant lié à un acteur basé au Pakistan suivi comme UTA0137.
L’analyse de Volexity a commencé par un fichier binaire ELF écrit en Golang qui a été livré dans un fichier ZIP. Le binaire commence par télécharger un appât bénin au format PDF, de sorte que la victime a quelque chose à voir qui semble légitime.
En arrière-plan, le logiciel malveillant téléchargera une instance de DISGOMOJI, la charge utile de l’étape suivante à partir d’un serveur distant. Cette charge utile tombe dans un dossier masqué et crée un canal dédié dans le serveur Discord afin que chaque victime dispose de son propre canal. Il collectera et enverra des informations sur la victime au canal et maintiendra la persistance via cron.
Ce logiciel malveillant exécutera également un script qui vérifie les appareils USB connectés et copie les fichiers de ces appareils.
Les émojis sont envoyés dans les canaux créés pour envoyer des commandes au logiciel malveillant. En réponse, un émoji d’horloge est envoyé pour confirmer que la commande est en cours de traitement et une coche émoji est envoyée une fois terminée.
Comportement post-infection
Après avoir distribué le logiciel malveillant DISGOMOJI, UTA0137 effectue diverses activités post-infection. L’acteur exploite Nmap pour analyser le réseau, Chisel et Ligolo pour la tunnelisation du réseau, et l’oshi[.]au service de partage de fichiers pour mettre en place des outils supplémentaires.
Dans plusieurs cas, l’acteur a émis des commandes qui ont ouvert une boîte de dialogue à l’utilisateur se faisant passer pour une mise à jour Firefox et exigeant le mot de passe de l’utilisateur pour continuer. Dans une campagne récente, cet acteur a utilisé CVE-2922-0847, une exploitation d’escalade de privilège.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Étant donné qu’il ne s’agit pas d’une méthode d’attaque courante, elle peut présenter un défi pour les logiciels de sécurité qui recherchent uniquement des détections basées sur des chaînes.
Actuellement, cette activité cible les entités gouvernementales indiennes et ne semble pas être généralisée. Étant donné le ciblage accru des appareils Linux et la nouvelle technique des émojis, le rayon d’explosion pourrait s’étendre si davantage d’acteurs décelaient ses taux de réussite.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
