Dans notre dernier tour d'horizon des renseignements, CTI se penche sur la récente vague de cybercriminalité visant à tirer profit de l'application ChatGPT d'OpenAI, très populaire. Les activités malveillantes observées vont de la diffusion de logiciels malveillants sous Windows et Android au phishing, en passant par les pages de paiement frauduleuses. CTI se penche ensuite sur une autre menace pesant sur un référentiel de logiciels libres : il s'agit d'une campagne dans laquelle des acteurs malveillants ont recours à l'automatisation pour générer des milliers de paquets de spam en quelques heures seulement. Enfin, CTI analyse un nouveau logiciel de vol d'informations appelé Stealc, qui a récemment été découvert en vente sur le dark web et décrit par ses développeurs comme un logiciel de vol d'informations complet et prêt à l'emploi.
1. Des pirates informatiques utilisent de fausses applications ChatGPT pour diffuser des logiciels malveillants sur Windows et Android
Des cybercriminels ont commencé à exploiter , le chatbot ChatGPT d’OpenAI (s’ouvre dans un nouvel onglet) afin de diffuser des logiciels malveillants destinés à Windows et Android, tout en utilisant de fausses pages sur les réseaux sociaux consacrées à cette technologie très en vogue pour rediriger les victimes vers des pages de hameçonnage.
ChatGPT : un petit rappel
ChatGPT a été lancé en novembre 2022 et a connu depuis un succès fulgurant ; il est devenu, selon BleepingComputer, l'application grand public qui connaît la croissance la plus rapide de l'histoire moderne, avec plus de 100 millions d'utilisateurs en janvier 2023. Développé et lancé par OpenAI, une entreprise spécialisée dans la recherche et le développement en intelligence artificielle (IA), ChatGPT est un chatbot reposant sur un modèle d'apprentissage automatique extrêmement efficace.
Presque immédiatement après son lancement public, des rapports ont commencé à faire état de cas dans lesquels ChatGPT était utilisé de manière abusive par des acteurs malveillants à des fins malveillantes. Des chercheurs en sécurité ont signalé des activités malveillantes impliquant l'utilisation de ChatGPT pour créer des logiciels malveillants et des outils de chiffrement, faciliter des activités frauduleuses, rédiger des e-mails de hameçonnage convaincants de type « », et bien plus encore.
De son côté, OpenAI semblait avoir anticipé ce genre d'activité. Un article de blog publié sur le site web d’OpenAI 20 février 2018, intitulé «: se préparer aux utilisations malveillantes de l’IA (s’ouvre dans un nouvel onglet) », présente un article de recherche dont l’entreprise est co-auteure :
Nous avons co-rédigé un article qui présente des prévisions sur la manière dont des acteurs malveillants pourraient détourner la technologie de l'IA, ainsi que les moyens potentiels de prévenir et d'atténuer ces menaces... L'IA remet en cause la sécurité mondiale, car elle réduit le coût de nombreuses attaques existantes, engendre de nouvelles menaces et vulnérabilités, et complique encore davantage l'attribution de la responsabilité d'attaques spécifiques.
La croissance sans précédent de ChatGPT a finalement conduit OpenAI à limiter l'utilisation de l'outil, en lançant une formule d'abonnement à 20 dollars par mois destinée aux utilisateurs souhaitant utiliser le chatbot sans rencontrer de problèmes de disponibilité.
La disponibilité permanente soulève de nouveaux problèmes
Cette nouvelle restriction concernant l'accès illimité à ChatGPT a donné lieu à une situation imprévue : elle a créé les conditions idéales pour les cybercriminels cherchant à tirer parti de la popularité de l'outil, en leur permettant d'attirer des victimes en leur promettant (à tort) un accès gratuit et ininterrompu au nouveau niveau « premium » de ChatGPT.
Ces offres ont pour objectif final de diffuser des logiciels malveillants auprès de victimes qui ne se doutent de rien ou de les convaincre de communiquer leurs identifiants de compte aux pirates.
L'un des premiers à avoir repéré un exemple de cette méthodologie fut le chercheur en sécurité Dominic Alvieri, qui a constaté que le domaine « chat-gpt-pc.online » était utilisé pour infecter les visiteurs avec le logiciel malveillant Redline, destiné à voler des informations, en se faisant passer pour un téléchargement du client de bureau ChatGPT pour Windows. Ce site web faisait l'objet d'une campagne publicitaire via une page Facebook recouverte de logos officiels de ChatGPT, dans le but d'inciter les utilisateurs à se faire rediriger vers ce site malveillant. Des promotions similaires ont été observées sur Google Play et sur des boutiques d'applications Android tierces, qui diffusaient toutes des logiciels malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« À mesure que la notoriété du chatbot s'accroît, le nombre d'acteurs malveillants cherchant à exploiter cette application pour lancer des attaques par logiciels malveillants et par hameçonnage augmente également. » Le nombre d'annonces publiées sur les marchés clandestins, proposant à la vente des interfaces ChatGPT conçues pour aider les pirates informatiques novices à lancer des campagnes d'hameçonnage convaincantes ou à améliorer leurs logiciels malveillants, a également augmenté de manière exponentielle en raison du succès de ChatGPT. « Cela ne fait que réduire encore davantage les obstacles à l'entrée pour les pirates informatiques peu expérimentés qui tentent de se lancer dans la cybercriminalité. »
2. Des pirates ont inondé le référentiel NPM de plus de 15 000 paquets indésirables contenant des liens de hameçonnage
Les chercheurs de Checkmarx ont constaté une vague de plusieurs milliers de paquets de spam « » mis en ligne sur le référentiel open source NPM (s'ouvre dans un nouvel onglet) à partir de plusieurs comptes utilisateurs en l'espace de quelques heures seulement.
L'enquête a révélé que ces colis avaient été préparés à l'aide de processus automatisés. Ces paquets contiennent le même code d'automatisation que celui utilisé pour les générer, ce qui, selon les chercheurs, a probablement été mis en ligne par erreur par l'auteur de la menace.
À propos de cette découverte
Checkmarx a détecté une anomalie dans l'écosystème NPM sur 20 février 2023, lors d'une recoupement des nouvelles informations avec ses bases de données. Les chercheurs ont constaté que de grandes quantités de nouveaux paquets avaient été publiés sur NPM. Il s'est avéré que ces paquets faisaient partie d'un vecteur d'attaque très répandu, dans le cadre duquel les pirates inondent les dépôts open source de paquets contenant des liens vers des campagnes de hameçonnage. Les processus automatisés semblent avoir généré plus de 15 000 paquets sur NPM et les comptes associés.
Sites de hameçonnage
Afin de promouvoir la campagne de hameçonnage « » (), les pirates ont utilisé des paquets dont les noms faisaient référence au piratage informatique, aux astuces de jeu et aux ressources gratuites. Certains noms de paquets comportent des expressions telles que « free-tiktok-followers » et « free-xbox-codes » afin d’inciter les utilisateurs à cliquer sur les liens de hameçonnage en leur promettant des astuces de jeu et une augmentation du nombre de leurs abonnés. La partie « description » des paquets contenait des liens vers divers sites de hameçonnage.
La campagne de hameçonnage renvoyait vers plusieurs URL distinctes réparties sur divers domaines, chaque domaine hébergeant plusieurs pages web de hameçonnage sous différents chemins d'accès. Les pages de hameçonnage sont assez convaincantes et, dans certains cas, comportaient même de fausses options de chat interactif qui répondaient aux messages si la victime choisissait d'interagir.
Les pages de hameçonnage comportent un faux processus qui donne l'impression de traiter les données et de générer le cadeau promis. Ce processus échouait la plupart du temps, et la victime était alors invitée à passer par une série d'étapes de vérification manuelle. Ce processus impliquait que plusieurs sites redirigent l'utilisateur de l'un à l'autre, en lui demandant de répondre à diverses questions et de participer à des enquêtes. Dans de nombreux cas, l'utilisateur est redirigé vers un site de commerce électronique légitime.
Récompenses pour le signalement de l'acteur malveillant
Des chercheurs ont découvert des scripts Python similaires, dotés de fonctions analogues, qui semblent être à l'origine de la génération et de la publication automatiques de ces paquets de spam.
Ils ont également découvert d'autres fichiers « helper.txt » qui semblent faire partie du processus d'automatisation. Un fichier mérite particulièrement d'être mentionné : il s'agit d'un script Python inclus dans les paquets, qui regroupe toutes les étapes de la publication du paquet.
Il semblerait que l'auteur de la menace ait soit créé, soit eu accès à plusieurs sites ressemblant à des sites d'actualités sur lesquels il pouvait publier du contenu. La dernière tâche du script Python consiste à ajouter des liens vers des articles sans rapport avec le sujet sur ces sites de type actualités. Ces liens renvoient vers les pages Web des paquets que l'attaquant a publiés sur le site de NPM. Pour ce faire, le pirate utilise le module Python « selenium » afin d'interagir avec ces sites WordPress. Ils doivent d'abord s'identifier en tant que rédacteur avant de publier les liens vers les paquets.
Les chercheurs estiment que la mise en ligne de ces scripts n'était pas intentionnelle. Ce qui étaye principalement cette hypothèse, c'est le fait que les scripts contiennent les identifiants utilisés pour s'authentifier sur le site WordPress.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette histoire met en évidence la rapidité avec laquelle les cybercriminels peuvent s'adapter pour suivre les derniers modèles d'attaques les plus lucratifs. » Bon nombre des attaques précédentes impliquant des paquets malveillants découverts dans des dépôts open source semblent être de moindre ampleur, ce qui pourrait indiquer une méthode de diffusion davantage manuelle. « Dans le cadre de cette campagne, l'auteur de la menace est passé à la vitesse supérieure, en consacrant du temps et des efforts à l'automatisation afin de mener une attaque de plus grande envergure qui a touché plus de 15 000 paquets en très peu de temps. »
3. Un nouveau logiciel malveillant de type « Stealc » fait son apparition, doté d'un large éventail de capacités de vol de données
Un article récemment publié sur le blog « » (s'ouvre dans un nouvel onglet) par la société de cybersécurité SEKOIA.IO décrit en détail la découverte d'un nouveau logiciel de vol d'informations, Stealc.
Stealc a été découvert sur le dark web et est présenté par l'auteur de la menace comme un logiciel de vol de données complet et prêt à l'emploi, inspiré des logiciels de vol Vidar, Raccoon, Mars et Redline. L'enquête menée par SEKOIA.IO a permis de découvrir plusieurs dizaines d'exemplaires de Stealc en circulation et plus de 40 serveurs de commande et de contrôle de Stealc.
Stealc sur le dark web
Le logiciel de vol d'informations « Stealc » a été présenté pour la première fois sur des forums clandestins russophones, sur le site 9 janvier 2023. L'acteur malveillant qui en fait la promotion se fait appeler « Plymouth » sur ces forums. Cet acteur malveillant a publié une description détaillée du nouveau logiciel malveillant et de ses nombreuses capacités de vol de données. Après cette première publication, Plymouth a continué à faire la promotion de Stealc, en cherchant à toucher un public plus large par le biais d'autres canaux.
Afin de gagner la confiance de clients potentiels, Plymouth a proposé des tests « gratuits » de détection de logiciels malveillants aux utilisateurs d'un forum consacré à la cybercriminalité. Plymouth avait besoin d'un coefficient de 0,02 Un dépôt en bitcoins (qui représentait environ 400 dollars à l'époque) pour un test hebdomadaire.
Plymouth a fini par publier plusieurs versions de Stealc, en diffusant les journaux des modifications sur différents forums et sur une chaîne Telegram dédiée. Le calendrier des publications de Plymouth montre que Stealc est toujours en cours de développement.
Fonctionnalités annoncées
D'après l'annonce publiée sur le dark web, Stealc cible les données sensibles issues de la plupart des extensions de navigateur web destinées aux portefeuilles de cryptomonnaies, aux portefeuilles de cryptomonnaies de bureau, ainsi que les informations provenant d'autres applications telles que les logiciels de messagerie électronique et de messagerie instantanée. La configuration de la collecte de données peut apparemment être personnalisée afin d'adapter le logiciel malveillant aux besoins de l'attaquant.
Stealc intègre un outil de capture de fichiers personnalisable permettant à l'attaquant de dérober les fichiers correspondant aux règles définies par cet outil. Il dispose également de fonctionnalités de chargement typiques des programmes de vol d'informations commercialisés sous la forme de « Malware-as-a-Service » (MaaS). Stealc peut cibler plusieurs navigateurs Web, de Chrome à Opera en passant par Firefox.
Le panneau d'administration de Stealc permet à ses pirates de paramétrer le logiciel malveillant, d'analyser, d'afficher, de filtrer, de trier et d'étudier les données volées, ainsi que de télécharger les journaux.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il n’est pas étonnant que Stealc soit un logiciel de vol d’informations doté d’un éventail impressionnant de fonctionnalités. » Après tout, les développeurs de logiciels malveillants se livrent une lutte sans relâche les uns contre les autres, rivalisant pour savoir qui sera capable de produire le plus rapidement possible le logiciel de vol de données offrant le plus de fonctionnalités. « Cela consiste généralement à créer de nouvelles souches de logiciels malveillants à partir de codes empruntés à d'autres familles de logiciels malveillants de premier plan. »
« Dans cette optique, le développeur de Stealc souligne que ce logiciel malveillant s'appuie sur certains voleurs d'informations de renom, tels que Raccoon et RedLine ; le flux constant de mises à jour apportées à Stealc depuis son apparition le mois dernier témoigne de la volonté du développeur d'amener ce logiciel malveillant au niveau des autres voleurs d'informations concurrents de — et ce, rapidement. »
« SEKOIA.IO a également indiqué que son analyse technique approfondie de Stealc serait publiée prochainement – d’autres informations suivront. »
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
