Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur « Whisper Leak », une nouvelle attaque par canal latéral ciblant les modèles linguistiques à distance. Ensuite, nous nous penchons sur un paquet npm malveillant nommé « @acitons/artifact », qui présente un risque pour GitHub Actions. Enfin, sur , nous analysons en détail une campagne de hameçonnage sophistiquée qui utilise le nouvel outil « Quantum Route Redirect » pour cibler les utilisateurs de Microsoft 365 .
Whisper Leak cible les modèles linguistiques à distance
Microsoft fournit des informations sur la faille « Whisper Leak », qui exploite désormais la taille des paquets réseau et les schémas de synchronisation pour découvrir les sujets de conversation des utilisateurs, même lorsque le trafic est chiffré via TLS.
Le rapport de Microsoft souligne le besoin croissant de confidentialité des modèles linguistiques, d'autant plus que les systèmes d'IA sont de plus en plus utilisés pour traiter des informations sensibles. C'est pourquoi il est de plus en plus important que les conversations soient sécurisées et que les modèles soient dotés de solides mesures de protection de la vie privée.
L'expérience « Whisper Leak » de Microsoft
Microsoft a commencé par entraîner un classificateur binaire afin de distinguer le trafic général d'un sujet cible spécifique.
Dans cette expérience, le sujet abordé était la légalité du blanchiment d'argent. Les chercheurs ont utilisé un modèle linguistique pour générer 100 questions similaires sur le thème du blanchiment d'argent, dont 80 destinées à l'apprentissage et 20 à l'évaluation de la généralisation. Microsoft a également sélectionné au hasard plus de 11 000 questions sans rapport entre elles pour servir d'exemples de « bruit ».
Après avoir collecté les données, Microsoft a analysé trois modèles d'apprentissage selon trois modes différents. Ils ont évalué les performances de chacune d'entre elles à l'aide de l'indicateur « aire sous la courbe précision-rappel » (AUPRC) afin de mesurer le succès d'une cyberattaque sur des ensembles de données déséquilibrés.
La plupart des modèles ont obtenu des scores supérieurs à 98 %. Microsoft souligne que les « empreintes numériques » uniques générées par les conversations portant sur des sujets spécifiques étaient suffisamment distinctes pour que son système d'écoute basé sur l'IA puisse les détecter lors de tests contrôlés.
« Whisper Leak » : une menace grandissante
Microsoft a simulé un scénario de surveillance réaliste dans lequel un pirate surveillait 10 000 conversations choisies au hasard, dont une seule abordait le sujet sensible recherché. Lors de ce test, le pirate a réussi à identifier avec précision la conversation portant sur ce sujet.
Comme c'est souvent le cas pour les menaces récemment signalées, Microsoft estime que celle-ci risque de s'aggraver avec le temps. Selon leur analyse, il s'agit d'un niveau de risque de référence qui évoluera à mesure que les acteurs malveillants collecteront davantage de données d'entraînement et perfectionneront leurs attaques grâce à ces informations.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Un chiffrement puissant tel que le protocole TLS ne permet pas de protéger pleinement la vie privée lorsque des signaux de canal latéral restent exposés. Bien que cette attaque ne semble pas révéler le contenu exact des messages ou des conversations, elle permet de classer les sujets sensibles , ce qui peut néanmoins poser des problèmes de confidentialité, en particulier pour les organisations évoluant dans des secteurs soumis à des règles de confidentialité plus strictes. Nous vous rappelons que la sécurité doit tenir compte des fuites de métadonnées, et pas seulement du chiffrement du contenu.
Microsoft et d'autres fournisseurs ont mis en place des mesures d'atténuation, mais Microsoft recommande tout de même aux utilisateurs d'éviter les sujets sensibles sur les réseaux non fiables et d'envisager l'utilisation d'un VPN ou de solutions ne nécessitant pas de streaming.
@acitons/artifact s'adresse aux utilisateurs de GitHub Actions
Des chercheurs de Veracode ont découvert un paquet npm malveillant nommé « @acitons/artifact », qui cible les utilisateurs de GitHub Actions. Ce paquet, qui exploite une erreur de nom de domaine (typosquatting) du paquet légitime « @acitons/artifact », vise à exfiltrer des données chiffrées depuis des environnements CI/CD via un script exécuté après l'installation.
Veracode estime que l'objectif de ce paquet malveillant est de « faire en sorte que ce script s'exécute lors de la compilation d'un dépôt appartenant à GitHub, d'extraire les jetons accessibles à l'environnement de compilation, puis d'utiliser ces jetons pour publier de nouveaux artefacts malveillants au nom de GitHub ».
Au cours de leur enquête, les chercheurs ont découvert six versions comportant un mécanisme d'exécution post-installation destiné à lancer un logiciel malveillant, lequel, comme le souligne Veracode, n'a pas été détecté par les logiciels antivirus. L'acteur aurait supprimé les versions malveillantes.
Le colis
Les chercheurs de Veracode ont analysé la version 4,0,13 de ce paquet malveillant, qui semble être destiné au GitHub Actions Toolkit mais dont le nom comporte manifestement une erreur de frappe.
Veracode a analysé le fichier binaire sur VirusTotal et a constaté qu'il n'était pas signalé comme malveillant au moment de la publication de son rapport. Toutefois, un examen manuel du fichier a révélé plusieurs éléments apparemment malveillants, notamment un mécanisme visant à empêcher l'exécution après une date donnée, un script shell obscurci et le fait que seuls les dépôts appartenant à GitHub lui-même étaient ciblés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Des écosystèmes jouissant d'une grande confiance, tels que npm, sont désormais exploités par des acteurs malveillants, ce qui rend l'hygiène des dépendances essentielle.
Cet acteur s'est spécifiquement concentré sur GitHub Actions, ciblant ainsi une étape cruciale du cycle de vie des logiciels. Lorsque ce type d'attaques se produit, les acteurs malveillants peuvent voler des informations confidentielles, injecter du code malveillant dans les versions, et s'introduire dans les environnements de production, transformant ainsi une simple erreur de dépendance en une violation à grande échelle.
Cet incident met en évidence les risques croissants liés à la chaîne d'approvisionnement logicielle, ainsi que la nécessité de procéder à une vérification rigoureuse des dépendances et de mettre en place des contrôles de sécurité en temps d'exécution.
Quantum Route Redirect facilite le phishing
KnowBe4 a récemment détecté une campagne de hameçonnage sophistiquée qui utilise Quantum Route Redirect, un kit d'hameçonnage permettant d'automatiser des attaques complexes et donnant aux cybercriminels les moyens de contourner les outils de sécurité et de cibler les utilisateurs de Microsoft 365 à l'échelle mondiale.
Comme l'explique KnowBe4 , sa capacité à échapper à la détection et à transformer les liens en armes après leur envoi représente un risque important, qui nécessite à la fois des défenses avancées et une sensibilisation des utilisateurs.
KnowBe4 a recensé des victimes de cette campagne dans 90 pays. Parmi les victimes, 76 % se trouvaient aux États-Unis.
Qu'est-ce que la redirection d'itinéraire quantique ?
Le document KnowBe4 décrit Quantum Route Redirect comme une « plateforme d'automatisation avancée qui rationalise l'ensemble du processus d'une campagne de hameçonnage, du réacheminement du trafic au suivi des victimes ». À ce jour, ils ont recensé environ 1 000 domaines hébergés sur cette plateforme.
L'outil en lui-même est simple et propose à ses utilisateurs une configuration prédéfinie qui facilite la mise en place de campagnes. Il est capable de distinguer les différents visiteurs, en séparant les actions menées par des outils de sécurité de celles des véritables victimes visées, et en les acheminant en conséquence. Pour effectuer cette différenciation, il utilise l'empreinte numérique du navigateur ainsi que la détection des VPN et des proxys.
Attaques de hameçonnage de type « Quantum Route Redirect »
KnowBe4 a détecté pour la première fois, début août, des attaques de hameçonnage exploitant la technique « Quantum Route Redirect ». Selon KnowBe4, chaque campagne débute par un e-mail de hameçonnage de type « » ( ), dont les thèmes et les tactiques varient. Quel que soit le thème, dans chaque cas, les victimes sont redirigées vers une page de collecte d'identifiants gérée par Quantum Route Redirect.
À l'instar d'autres kits de phishing, Quantum Route Redirect met à la disposition de ses utilisateurs un panneau de configuration leur permettant de gérer leurs campagnes et offre diverses fonctionnalités utiles, notamment des statistiques sur les visiteurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il s'agit là d'un énième kit de hameçonnage qui facilite la tâche des attaquants et ouvre la voie à des campagnes plus fréquentes et plus sophistiquées ciblant les environnements Microsoft 365 .
La capacité de ce kit à transformer des liens en armes après leur envoi est particulièrement préoccupante, car elle contourne de nombreuses mesures de sécurité traditionnelles, telles que l'analyse des URL et le sandboxing, ce qui met en évidence l'importance cruciale de la détection en temps réel et de la résilience des utilisateurs.
Le rapport KnowBe4’s contient des informations utiles ainsi que des mesures recommandées pour se protéger contre l'attaque « Quantum Route Redirect ».
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
