Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium examine Whisper Leak, une nouvelle attaque latérale ciblant des modèles linguistiques à distance. Ensuite, nous enquêtons sur un package npm malveillant nommé « @acitons/artifact », qui présente un risque pour GitHub Actions. Enfin, nous décomposons une campagne d’hameçonnage sophistiquée qui utilise le nouvel outil Quantum Route Redirect pour cibler les utilisateurs de Microsoft 365 .
Whisper Leak cible les modèles linguistiques distants
Microsoft partage des détails sur Whisper Leak, qui exploite désormais les tailles de paquets réseau et les modèles de synchronisation pour découvrir les sujets de conversation des utilisateurs, même lorsque le trafic est chiffré avec TLS.
Le rapport de Microsoft souligne le besoin croissant de confidentialité du modèle linguistique, d’autant plus que les systèmes d’IA sont de plus en plus utilisés pour traiter les informations sensibles. Pour cette raison, il est de plus en plus important que les conversations soient sécurisées et que les modèles disposent de protections de confidentialité solides.
Expérience Microsoft Whisper Leak
Microsoft a commencé par former un classificateur binaire pour différencier le trafic généralisé d’un sujet cible spécifique.
Dans cette expérience, le sujet cible était la légalité du blanchiment d’argent. Les chercheurs ont utilisé un modèle linguistique pour créer 100 questions similaires sur le sujet du blanchiment d’argent, dont 80 pour la formation et 20 pour tester la généralisation. Microsoft a également échantillonné de manière aléatoire plus de 11 000 questions non liées pour les invites de bruit.
Après avoir collecté les données, Microsoft a analysé trois modèles d’apprentissage dans trois modes différents. Ils ont évalué les performances de chacun à l’aide de la mesure AUPRC (Area Under the Precision-Recall Curve) pour mesurer le succès d’une cyberattaque pour des jeux de données déséquilibrés.
La plupart des modèles ont obtenu des scores supérieurs à 98 %. Microsoft note que les empreintes numériques uniques produites par les conversations sur des sujets spécifiques étaient suffisamment distinctes pour que son écouteur automatique alimenté par IA puisse les détecter pendant les tests contrôlés.
Fuite de murmure : une menace croissante
Microsoft a simulé un scénario de surveillance réaliste dans lequel un attaquant a surveillé 10 000 conversations aléatoires, dont une seule contenant le sujet sensible à la cible. Dans ce test, l’attaquant a pu identifier avec précision la conversation portant sur ce sujet.
Comme pour de nombreuses menaces nouvellement signalées, Microsoft pense que cette menace peut s’aggraver au fil du temps. Leur évaluation est qu’il s’agit d’un niveau de risque de référence qui s’améliorera à mesure que les acteurs malveillants collectent plus de données de formation et améliorent leurs attaques grâce à ces informations.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Un chiffrement fort tel que TLS ne peut pas protéger entièrement la confidentialité lorsque les signaux de canal latéral restent exposés. Bien que cette attaque ne semble pas révéler le texte/chat exact, elle peut classer les sujets sensibles qui peuvent toujours publier des problèmes de confidentialité, en particulier pour les organisations dans des secteurs qui ont plus de règles de confidentialité en place. Ceci est un rappel que la sécurité doit tenir compte des fuites de métadonnées, et pas seulement du chiffrement du contenu.
Microsoft et d’autres fournisseurs ont déployé des mesures d’atténuation, mais Microsoft recommande toujours aux utilisateurs d’éviter les sujets sensibles sur les réseaux non approuvés et d’envisager des VPN ou des modèles sans streaming.
@acitons/artifact cible les utilisateurs de GitHub Actions
Les chercheurs de Veracode ont découvert un package npm malveillant nommé « @acitons/artifact », qui cible les utilisateurs de GitHub Actions. Le package, qui typosquat le package légitime « @acitons/artifact », vise à exfiltrer les données cryptées des environnements CI/CD via un script post-installation.
Veracode pense que l’objectif du package malveillant est de « faire exécuter ce script pendant la création d’un référentiel appartenant à GitHub, d’exfiltrer les jetons disponibles dans l’environnement de construction, puis d’utiliser ces jetons pour publier de nouveaux artefacts malveillants sous le nom de GitHub. »
Au cours de leur enquête, les chercheurs ont découvert six versions livrées avec un crochet post-installation pour exécuter des logiciels malveillants, que les notes Veracode n’ont pas été détectées par des produits antivirus. L’acteur a apparemment supprimé les versions malveillantes.
Le package
Les chercheurs de Veracode ont exploré la version 4,0,13 du package malveillant, qui semble être pour la boîte à outils des actions GitHub, mais contient un typosquat clair dans le nom du package.
Veracode a analysé le binaire dans VirusTotal et a découvert qu’il n’était pas signalé comme malveillant au moment de son rapport. Cependant, un examen manuel du fichier a révélé plusieurs aspects apparemment malveillants, y compris un mécanisme pour empêcher l’exécution après une date définie, un script shell masqué et le ciblage de uniquement les référentiels détenus par GitHub lui-même.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Des écosystèmes largement fiables tels que npm sont désormais exploités par les acteurs malveillants, ce qui rend l’hygiène des dépendances essentielle.
Cet acteur s’est spécifiquement concentré sur les actions GitHub, ciblant un point critique du cycle de vie du logiciel. Lorsque ces types d’attaques se produisent, les acteurs peuvent voler des secrets, injecter du code malveillant dans des builds et basculer dans des environnements de production, transformant une erreur de dépendance unique en une violation à grande échelle.
Cet incident souligne les risques croissants de la chaîne d’approvisionnement logicielle et la nécessité d’une vérification stricte des dépendances et de contrôles de sécurité d’exécution.
Quantum Route Redirect simplifie l’hameçonnage
KnowBe4 a récemment observé une campagne d’hameçonnage sophistiquée qui utilise Quantum Route Redirect, un kit d’hameçonnage qui automatise les attaques complexes et permet aux cybercriminels de contourner les outils de sécurité et de cibler les utilisateurs de Microsoft 365 dans le monde entier.
Comme l’explique KnowBe4 , sa capacité à échapper à la détection et à armer les liens après la livraison pose un risque significatif, nécessitant une combinaison de défenses avancées et de sensibilisation des utilisateurs.
KnowBe4 a observé des victimes compromises de cette campagne couvrant 90 pays. Parmi les victimes, 76 % se trouvaient aux États-Unis.
Qu’est-ce que Quantum Route Redirect ?
KnowBe4 décrit Quantum Route Redirect comme une « plateforme d’automatisation avancée qui rationalise l’ensemble du processus de campagne d’hameçonnage, du réacheminement du trafic au suivi des victimes ». À ce jour, ils ont identifié environ 1 000 domaines hébergés sur cette plateforme.
L’outil lui-même est simple et offre à ses utilisateurs une configuration préconfigurée pour faciliter la conduite des campagnes. Il peut différencier les différents visiteurs, en séparant les différentes actions pour les outils de sécurité et les véritables victimes prévues et en les acheminant en conséquence. Pour se différencier, il utilise l’empreinte digitale du navigateur et la détection VPN et proxy.
Attaques par hameçonnage Quantum Route Redirect
KnowBe4 ont d’abord observé des attaques de phishing tirant parti de Quantum Route Redirect début août. Selon KnowBe4, chaque campagne commence par un e-mail d’hameçonnage qui varie en thèmes et en tactiques. Quel que soit le thème, dans chaque cas, les victimes sont dirigées vers une page de collecte des informations d’identification gérée par Quantum Route Redirect.
Comme d’autres kits d’hameçonnage, Quantum Route Redirect offre à ses utilisateurs un panneau de configuration pour gérer leurs campagnes et fournit diverses fonctionnalités utiles, y compris des statistiques sur les visiteurs.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il s’agit d’un autre kit de phishing qui réduit la barrière pour les attaquants et ouvre la porte à des campagnes plus fréquentes et sophistiquées ciblant les environnements Microsoft 365 .
La capacité du kit à armer les liens après la livraison est particulièrement préoccupante, car elle sape de nombreuses couches de sécurité traditionnelles telles que l’analyse des URL et le sandboxing, révélant la criticité de la détection en temps réel et de la résilience des utilisateurs.
Le rapport KnowBe4’s comprend quelques actions recommandées utiles pour se protéger contre Quantum Route Redirect.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
