Dans notre dernier résumé des informations, CTI enquête sur la récente vague de cybercriminalité cherchant à monétiser l’application populaire ChatGPT d’OpenAI. Les activités malveillantes observées vont de la distribution de logiciels malveillants Windows et Android à l’hameçonnage et aux pages de paiement frauduleuses. Ensuite, CTI explore une autre menace à laquelle est confronté un référentiel logiciel open source sous la forme d’une campagne dans laquelle les acteurs malveillants tirent parti de l’automatisation pour produire des milliers de packages de spam en quelques heures seulement. Enfin, CTI analyse un nouveau voleur d’informations appelé Stealc, qui a été récemment découvert comme étant annoncé pour la vente sur le dark web, décrit par ses développeurs comme un voleur complet et prêt à l’emploi.
1. Les pirates informatiques utilisent de fausses applications ChatGPT pour pousser les logiciels malveillants Windows et Android
Les acteurs malveillants ont commencé à exploiter le chatbot ChatGPT d’OpenAI pour distribuer des logiciels malveillants pour Windows et Android, ainsi qu’à utiliser de fausses pages de réseaux sociaux pour la technologie très médiatisée afin de rediriger les victimes vers des pages d’hameçonnage.
ChatGPT : un rappel
ChatGPT a été lancé en novembre 2022 et a gagné une immense traction depuis, devenant ce que BleepingComputer décrit comme l’application grand public la plus rapide de l’histoire moderne, avec plus de 100 millions d’utilisateurs d’ici janvier 2023. Développé et publié par OpenAI, une société de recherche et de développement basée sur l’intelligence artificielle (IA), ChatGPT est un chatbot basé sur un modèle d’apprentissage automatique extrêmement efficace.
Presque immédiatement après son lancement public, des rapports ont commencé à émerger décrivant des cas où ChatGPT était victime d’abus par des acteurs de cybermenaces à des fins malveillantes. Les chercheurs en sécurité ont signalé une activité malveillante impliquant l’utilisation de ChatGPT pour créer des logiciels malveillants et des outils de chiffrement, faciliter les activités frauduleuses, écrire des e- mails d’hameçonnage convaincants, etc.
De son côté, OpenAI semblait avoir anticipé une telle activité. Un article de 20 février 2018blog sur le site Web d’OpenAI, intitulé « Préparer les utilisations malveillantes de l’IA », décrit un article de recherche que la société a co-écrit :
Nous avons co-écrit un article qui prévoit comment les acteurs malveillants pourraient utiliser la technologie d’IA de manière abusive, et les moyens potentiels de prévenir et d’atténuer ces menaces... L’IA remet en question la sécurité mondiale, car elle réduit le coût de la conduite de nombreuses attaques existantes, crée de nouvelles menaces et vulnérabilités, et complique davantage l’attribution d’attaques spécifiques.
La croissance sans précédent de ChatGPT a finalement conduit OpenAI à limiter l’utilisation de l’outil, en lançant un niveau d’abonnement de 20 USD par mois pour les utilisateurs cherchant à utiliser le chatbot sans problèmes de disponibilité.
Une disponibilité constante crée de nouveaux problèmes
Cette nouvelle restriction sur l’accès illimité à ChatGPT a créé une circonstance imprévue : elle a créé des conditions parfaites pour les acteurs malveillants cherchant à tirer parti de la popularité de l’outil en leur permettant d’attirer les victimes en les promettant (faussement) un accès ininterrompu et gratuit au niveau ChatGPT premium nouvellement créé.
Ces offres visent finalement à distribuer des logiciels malveillants aux victimes peu méfiantes ou à les convaincre de fournir aux attaquants leurs informations d’identification de compte.
Parmi les premiers à remarquer un exemple de cette méthodologie, le chercheur en sécurité Dominic Alvieri, qui a observé que le domaine « chat-gpt-pc.online » était utilisé pour infecter les visiteurs avec le logiciel malveillant de vol d’informations Redline, se faisant passer pour un téléchargement pour un client de bureau Windows ChatGPT. Ce site Web faisait l’objet d’une publicité via une page Facebook plaquée de logos officiels ChatGPT afin d’inciter les utilisateurs à être redirigés vers le site malveillant. Des promotions similaires ont été observées sur Google Play et sur les boutiques d’applications Android tierces, chacune distribuant des logiciels malveillants.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« À mesure que le profil du chatbot augmente, le nombre d’acteurs malveillants cherchant à tirer parti de l’application pour lancer des programmes malveillants et des attaques d’hameçonnage augmente également. Le nombre de publications apparaissant sur les marchés souterrains, vendant des interfaces ChatGPT conçues pour aider les pirates informatiques non qualifiés à lancer des campagnes d’hameçonnage convaincantes ou à améliorer leurs logiciels malveillants, a également augmenté de manière exponentielle en réponse au succès de ChatGPT. Cela ne sert qu’à réduire davantage la barrière à l’entrée en ce qui concerne les pirates informatiques à faible niveau de sophistication qui tentent d’entrer dans le domaine de la cybercriminalité. »
2. Les attaquants inondent le référentiel NPM de plus de 15 000 packages de spam contenant des liens d’hameçonnage
Les chercheurs de Checkmarx ont découvert une augmentation de milliers de packages de spam téléchargés dans le référentiel open source NPM à partir de plusieurs comptes d’utilisateur en quelques heures seulement.
L’enquête a révélé que les packages ont été créés à l’aide de processus automatisés. Les packages contiennent le même code d’automatisation utilisé pour se générer, ce que les chercheurs pensent avoir probablement été téléchargé par l’acteur malveillant par erreur.
À propos de la découverte
Checkmarx a découvert une anomalie dans l’écosystème NPM sur 20 février 2023, lors du croisement de nouvelles informations avec leurs bases de données. Les chercheurs ont remarqué que de grandes quantités de nouveaux packages avaient été publiées sur NPM. Ces packages ont été révélés comme faisant partie du vecteur d’attaque populaire, dans lequel les attaquants envoient des spams à des référentiels open source avec des packages contenant des liens vers des campagnes d’hameçonnage. Les processus automatisés semblent avoir créé plus de 15 000 packages dans NPM et les comptes associés.
Sites d’hameçonnage
Pour promouvoir la campagne d’hameçonnage, les pirates ont utilisé des packages avec des noms liés au piratage, aux tricheries et aux ressources gratuites. Certains des noms de package incluent des éléments tels que « free-tiktok- followers » et « free-xbox-codes » pour inciter les utilisateurs à cliquer sur les liens d’hameçonnage avec la promesse de tricheries de jeu et d’un nombre accru d’abonnés. La partie description des packages contenait des liens vers divers sites d’hameçonnage.
La campagne d’hameçonnage était liée à plusieurs URL uniques sur plusieurs domaines, chaque domaine hébergeant plusieurs pages Web d’hameçonnage sous différents chemins. Les pages d’hameçonnage sont plutôt convaincantes et, dans certains cas, comprenaient même de fausses options de chat interactif qui répondront aux messages si la victime choisit d’interagir.
Les pages d’hameçonnage comprennent un faux flux qui prétend traiter les données et générer le cadeau promis. Ce processus a échoué la plupart du temps, et la victime a ensuite été invitée à entrer dans une phase d’étapes de vérification humaine. Cela impliquait plusieurs sites orientant l’utilisateur de l’un à l’autre, demandant à l’utilisateur de répondre à diverses questions et enquêtes. Dans de nombreux cas, l’utilisateur est redirigé vers un site Web d’e-commerce légitime.
Récompenses de recommandation pour l’acteur malveillant
Les chercheurs ont découvert des scripts Python similaires avec des fonctions similaires qui semblent être celles qui génèrent et publient automatiquement les packages de spam.
Ils ont également trouvé d’autres fichiers « helper.txt » qui semblent faire partie de l’automatisation. Un fichier notable est un script python dans les packages qui inclut toutes les étapes de la publication du package.
Il semble que l’acteur malveillant ait créé ou eu accès à plusieurs sites similaires à des informations sur lesquels il pouvait publier du contenu. La dernière tâche du script Python consiste à ajouter des liens vers des publications non liées dans ces sites de type actualités. Ces liens renvoient directement aux pages Web des packages que l’attaquant a publiés sur le site de NPM. Pour ce faire, l’attaquant utilise le package python « sélénium » pour interagir avec ces sites WordPress. Ils doivent d’abord s’authentifier en tant qu’éditeur avant de publier les liens du package.
Les chercheurs pensent que le téléchargement de ces scripts n’était pas intentionnel. Le principal support derrière cette conviction est le fait que les scripts incluent les informations d’identification utilisées pour s’authentifier sur le site WordPress.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette histoire souligne la rapidité avec laquelle les acteurs malveillants peuvent basculer pour suivre les derniers modèles d’attaque lucrative. Un grand nombre des attaques précédentes comportant des packages malveillants découverts sur des référentiels open source semblent être d’une plus petite échelle, indiquant peut-être une méthode de livraison plus manuelle. Dans cette campagne, l’acteur malveillant a fait passer cela au niveau supérieur, investissant du temps et des efforts dans l’automatisation pour mener une attaque plus importante ayant un impact sur plus de 15 000 packages en peu de temps. »
3. De nouveaux logiciels malveillants Stealc apparaissent avec un large éventail de capacités de vol
Un récent article de blog de la société de cybersécurité SEKOIA.IO détaille l’identification d’un nouveau voleur d’informations, Stealc.
Stealc a été découvert sur le dark web et est présenté par l’acteur malveillant comme un voleur complet/prêt à l’emploi basé sur les voleurs Vidar, Raccoon, Mars et Redline. L’enquête de SEKOIA.IO a conduit à la découverte de plusieurs dizaines d’échantillons Stealc distribués à l’état sauvage et de plus de 40 serveurs de commande et de contrôle Stealc.
Voler sur le dark web
Le voleur d’informations Stealc a été annoncé pour la première fois sur des forums souterrains russophones le 9 janvier 2023. L’acteur malveillant qui fait la publicité de Plymouth sur ces forums. Cet acteur malveillant a publié une longue description détaillant le nouveau logiciel malveillant et son large éventail de capacités de vol. Après cette première publication, Plymouth a continué à faire la publicité de Stealc, tentant d’atteindre un public plus large via des canaux supplémentaires.
Afin de gagner la confiance des clients potentiels, Plymouth a proposé des tests « gratuits » des logiciels malveillants aux utilisateurs du forum sur la cybercriminalité. Plymouth avait besoin d’un .02 Dépôt de Bitcoin (qui s’est traduit à environ 400 USD à ce moment-là) pour un test hebdomadaire.
Plymouth a fini par publier plusieurs versions de Stealc, publiant des journaux de modification sur différents forums et sur un canal Telegram dédié. Le calendrier des publications de Plymouth révèle que Stealc est toujours activement en cours de développement.
Capacités annoncées
Sur la base de la publicité sur le dark web, Stealc cible les données sensibles de la plupart des extensions de navigateur Web pour les portefeuilles de cryptomonnaie, les portefeuilles de cryptomonnaie de bureau et les informations d’applications supplémentaires telles que les logiciels de messagerie et de messagerie. La configuration de collecte de données peut apparemment être personnalisée pour adapter le logiciel malveillant aux besoins de l’attaquant.
Stealc met en œuvre un outil d’acquisition de fichiers personnalisable pour permettre à l’attaquant de voler des fichiers correspondant aux règles d’acquisition. Il dispose également de capacités de chargeur traditionnelles pour les voleurs d’informations vendus en tant que malware en tant que service (MaaS). Stealc peut cibler plusieurs navigateurs Web allant de Chrome à Opera en passant par Firefox.
Le panneau d’administration Stealc permet à ses pirates de configurer la configuration des logiciels malveillants, d’analyser/afficher/filtrer/trier/analyser les données volées et de télécharger les journaux.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il n’est pas étonnant que Stealc soit un infostealer entièrement équipé d’une gamme impressionnante de capacités. Après tout, les développeurs de logiciels malveillants concurrents sont engagés dans une lutte constante les uns contre les autres, en concurrence pour voir qui peut produire le voleur avec le plus de fonctionnalités le plus rapidement. Cela implique généralement de créer de nouvelles contraintes de logiciels malveillants sur les bases de code critiquées par d’autres familles de logiciels malveillants de haut niveau. »
« Dans cette tradition, le développeur Stealc note que ce logiciel malveillant s’appuie sur des infostealers de grande envergure comme Raccoon et RedLine ; le flux constant de mises à jour appliquées à Stealc depuis son apparition le mois dernier est révélateur de la volonté du développeur de mettre ce logiciel malveillant à niveau avec d’autres infostealers concurrents , et ce rapidement. »
« SEKOIA.IO a également noté que son analyse technique approfondie de Stealc sera publiée dans un avenir proche, d’autres mises à jour à venir. »
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
