Dans le tour d'horizon de cette semaine, CTI examine comment les cybercriminels insèrent des dates trompeuses dans les objets des e-mails de hameçonnage de type « » afin de jouer sur les émotions de leurs destinataires. CTI vous présente ensuite les quatre erreurs les plus courantes commises par les utilisateurs en matière de mots de passe, ainsi que la manière dont les pirates informatiques peuvent en tirer parti. Enfin, CTI fait le point sur le groupe cybercriminel Earth Estries et sa dernière campagne de cyberespionnage.
1. Les cybercriminels utilisent des dates trompeuses dans les objets de leurs e-mails de hameçonnage
Un article récent publié sur le blog de Cofense révèle comment les cybercriminels insèrent des dates trompeuses dans les objets des e-mails de hameçonnage de type « » : (s'ouvre dans un nouvel onglet). Cette analyse met également en évidence certaines tendances intéressantes concernant les objets de courriel comportant des dates et certains sous-secteurs ciblés.
Les proportions de sujets contenant des dates par rapport à ceux qui n'en contiennent pas
L'analyse a commencé par l'examen des sujets dont les dates étaient exprimées sous n'importe quel format. Il s'agissait notamment de sujets liés aux fax en retard, aux messages vocaux manqués, aux factures en souffrance, à la paie et à d'autres points nécessitant une attention immédiate. Le nombre d'e-mails comportant une date dans l'objet variait selon le sous-secteur.
La matière présentant le pourcentage le plus élevé de sujets datés était le transport ferroviaire, avec 48 %. Venaient juste après les secteurs du pétrole et du gaz, avec 45 %. Les secteurs affichant le pourcentage le plus faible étaient l'immobilier et le commerce de gros, avec 13 % chacun. Chaque sous-secteur comportait une date pour environ 31 % de ses sujets.
En analysant plus en détail ces e-mails dont l'objet comportait une date, Cofense les a ensuite classés en fonction de ces dates. Ces catégories ont été établies en fonction de la date à laquelle l'e-mail a été consulté.
La première catégorie, celle des e-mails anciens, comprenait les messages dont la date indiquée dans l'objet était postérieure à la date à laquelle l'e-mail avait été consulté. La deuxième catégorie, celle des e-mails « à temps », comprenait les messages dont la date figurant dans l'objet correspondait au jour où l'e-mail a été consulté. La dernière catégorie, celle des e-mails en retard, comprenait les e-mails dont la date indiquée dans l'objet était antérieure à la date à laquelle l'e-mail a été consulté.
- Premiers e-mails : Peu d'auteurs de menaces ont envoyé des e-mails dont l'objet indiquait une date postérieure à celle à laquelle ils ont été consultés. Les sujets anciens ne représentaient que 2 % de l'ensemble des sujets comportant une date. Selon Cofense, la plupart de ces e-mails résultent d'erreurs commises par des acteurs malveillants et de mauvaises configurations.
- E-mails « à jour » : Les e-mails dont l'objet indiquait la date à laquelle ils avaient été consultés occupaient la deuxième place en termes de fréquence. En moyenne, dans les sous-secteurs, 31 % des sujets présentaient des dates correspondant au jour où les e-mails ont été consultés. Ces e-mails étaient ceux qui présentaient le plus haut degré de personnalisation, 58 % des objets comportant soit un contenu personnalisé, soit des données à caractère personnel nécessitant une expurgation. Les sujets les plus populaires étaient ceux axés sur l'action, sans doute dans le but de susciter une réaction immédiate de la part du destinataire.
- E-mails en retard : La catégorie d'e-mails la plus courante est celle des messages dont l'objet comporte une date antérieure à celle à laquelle l'e-mail a été consulté. Cela risque de susciter un faux sentiment d'urgence, en faisant croire aux victimes qu'un délai est déjà écoulé et qu'elles sont déjà en retard.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le point essentiel à retenir est que les cybercriminels utilisent les dates dans les objets des e-mails pour créer un sentiment d’urgence et inciter le destinataire à réagir ou à interagir. » « Ce n'est pas une nouveauté. »
« Ce qui est nouveau, c'est la répartition de la date choisie par l'auteur de la menace. » Il est intéressant de noter que la plupart de ces e-mails de hameçonnage indiquent, dans l'objet, une date antérieure à celle à laquelle vous ouvririez l'e-mail. Cela vous perturbe vraiment l'esprit, car votre première réaction est de penser que vous avez manqué quelque chose ou que vous avez oublié de faire quelque chose. »
2. Quatre erreurs courantes à éviter en matière de mots de passe
Le fournisseur de solutions de sécurité des mots de passe Specops a détaillé ce qu'il considère comme les quatre erreurs les plus courantes commises par les utilisateurs d' en matière de mots de passe — et la manière dont les pirates peuvent exploiter chacune d'entre elles.
Selon Specops, ces erreurs courantes en matière de mots de passe s'expliquent par le fait que notre cerveau est doué pour compléter les schémas. Cela nous confère une affinité naturelle pour les motifs qui sont agréables ou faciles à mémoriser.
Erreur n° 1 : les termes de base courants
Les utilisateurs ont tendance à rechercher un mot de base lorsqu'ils créent un mot de passe. Même si un mot de base choisi au hasard peut sembler anodin, ces mots de base sont rarement véritablement aléatoires et revêtent une importance bien plus grande que nous ne le pensons souvent.
Les utilisateurs modifient souvent légèrement le même mot de base lors des réinitialisations ou des expirations de mot de passe courantes afin de contourner les exigences par défaut relatives à l'historique des mots de passe ou les paramètres de complexité. Dans « Specops », on constate souvent que les utilisateurs mettent une majuscule à la première lettre de ce mot de base et/ou ajoutent des caractères spéciaux à la fin.
Les cybercriminels savent qu'ils n'ont pas besoin de pirater le mot de passe le plus sécurisé pour s'introduire dans une organisation. Au contraire, ils peuvent pirater un mot de passe faible et se déplacer latéralement. Ils exploiteront des mots de base courants dans le cadre d'une attaque dite « par dictionnaire », consistant à utiliser une liste prédéfinie de mots de base peu sûrs pour deviner les mots de passe. Cette attaque est simple, mais elle aboutit souvent, car les gens ont tendance à utiliser des mots de passe simples et familiers.
Une analyse réalisée précédemment par Specops sur des millions de mots de passe révèle que le terme de base le plus courant est « password ». Parmi les autres termes de base courants, on trouve notamment « admin » et « welcome ». Comme nous utilisons souvent des mots courants qui ont un rapport avec notre vie quotidienne, les réseaux sociaux constituent une véritable mine d'or pour les cybercriminels. Les cybercriminels peuvent utiliser les profils sur les réseaux sociaux pour cibler des personnes spécifiques et peuvent facilement découvrir des informations telles que les dates d'anniversaire, les noms de famille, les noms d'animaux de compagnie et les lieux importants, qui peuvent servir de mot de base dans un mot de passe.
Erreur n° 2 : mot de passe trop court
Les cybercriminels sont toujours confrontés à une grande diversité de possibilités lorsqu'ils tentent de deviner des mots de passe, même ceux qui comportent des termes de base peu sûrs. Ils peuvent recourir à des techniques de force brute pour passer en revue toutes les combinaisons de mots de passe possibles jusqu'à ce qu'ils découvrent le bon mot de passe. Les attaques par force brute sont particulièrement efficaces contre les mots de passe courts, et encore plus efficaces lorsqu'il s'agit de mots de passe courts commençant par un terme de base courant.
Specops a constaté que 88 % des mots de passe compromis recensés dans le cadre de ses recherches comptaient 12 caractères ou moins. Imposer une longueur de mot de passe plus importante peut constituer une défense efficace contre ces attaques.
Erreur n° 3 : les schémas de déplacement au clavier
Une erreur courante en matière de mot de passe, dont on parle moins souvent, concerne les « chemins de clavier », qui sont essentiellement des mots de passe inspirés de la disposition d'un clavier.
On peut en voir un exemple avec le mot « QWERTY », qui constitue pour l'utilisateur un « parcours sur le clavier » facile à mémoriser. Specops a constaté que la séquence « qwerty » avait été identifiée plus d'un million de fois dans des mots de passe, ce qui souligne à quel point les séquences de touches aléatoires sont courantes.
Même si les séquences de touches ne constituent pas de véritables mots, elles peuvent néanmoins être utilisées dans le cadre d'attaques par dictionnaire. Les cybercriminels s'efforcent constamment de comprendre comment et pourquoi les gens agissent d'une certaine manière, afin de mieux tirer parti de ces informations et de planifier leurs attaques. Comme les séquences de touches aléatoires sont prévisibles, elles figurent parfois dans la liste des mots de passe probables qui sont ensuite utilisées dans le cadre d'attaques par dictionnaire.
Erreur n° 4 : réutilisation des mots de passe
Même les mots de passe forts peuvent être compromis, ce qui pose un problème d'autant plus grave si ce même mot de passe est réutilisé pour différentes applications. Des études montrent que 65 % des personnes réutilisent leurs mots de passe — un fait que les cybercriminels ne connaissent que trop bien.
La réutilisation des mots de passe explique en grande partie pourquoi de nombreux cybercriminels se concentrent sur le vol d'identifiants et la vente de ces mots de passe, car un mot de passe volé dans une application peut être exploité ailleurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il a toujours été important de respecter les bonnes pratiques en matière de mots de passe, mais cela devient d'autant plus crucial à mesure que le paysage des menaces continue d'évoluer. Et jusqu’à ce que le monde entier abandonne les mots de passe grâce à des technologies émergentes telles qu’Entra ID, Duo ou KelvinZero, chacun d’entre nous a un rôle à jouer pour se protéger et protéger son organisation en adoptant de bonnes pratiques en matière de mots de passe.
La popularité croissante des logiciels de vol d'informations illustre parfaitement pourquoi nous devons faire preuve de plus de prudence que jamais lors du choix de nos mots de passe. On parle beaucoup de l'avenir de l'authentification sans mot de passe, mais cette transition prendra sans doute un certain temps. En attendant, nous pouvons sans doute tous nous améliorer (ou du moins faire preuve de plus de vigilance) dans la création et la gestion de nos mots de passe.
3. Earth Estries cible les gouvernements et les entreprises technologiques du monde entier
Le groupe cybercriminel « Earth Estries » de l’ , (s’ouvre dans un nouvel onglet) , a été identifié comme étant à l’origine d’une nouvelle campagne de cyberespionnage visant les secteurs gouvernementaux et technologiques aux Philippines, à Taïwan, en Malaisie, en Afrique du Sud, en Allemagne et aux États-Unis. Cet acteur malveillant dispose de ressources de haut niveau et opère avec des compétences et une expérience pointues.
Protocole de dépistage des infections
- Earth Estries compromet les comptes existants dotés de privilèges administratifs après avoir réussi à infecter un serveur interne.
- L'opération a installé Cobalt Strike sur le système avant de déployer d'autres logiciels malveillants et de procéder à des mouvements latéraux. Les protocoles SMB et WMIC ont été utilisés pour propager divers programmes de porte dérobée et outils de piratage vers d'autres machines du réseau.
- L'acteur malveillant a ciblé des fichiers PDF et DDF destinés à l'archivage, qui ont été téléchargés vers des espaces de stockage en ligne tels qu'AnonFiles ou File.io via curl.exe.
- Les membres d'Earth Estries nettoyaient régulièrement leur porte dérobée existante à la fin de chaque cycle d'opération, puis déployaient un nouveau logiciel malveillant au début du cycle suivant.
Earth Estries : porte dérobée et outils de piratage
Au cours de cette campagne, Earth Estries a été détecté à l'aide de divers outils, notamment des programmes de vol d'informations, des programmes de vol de données de navigateur, des scanners de ports, etc.
Trend Micro (s'ouvre dans un nouvel onglet) présente les ensembles d'outils récemment découverts et dignes d'intérêt dans le cadre de cette campagne.
- Zingdoor : Zingdoor est une porte dérobée HTTP écrite en Go qui a été détectée pour la première fois sur avril 2023, bien que certains journaux indiquent que cette porte dérobée existe depuis mi-2022. Cette porte dérobée est rarement observée dans la nature, mais elle est compressée à l'aide d'UPX et fortement obscurcie. Dans le cadre de cette campagne, il se présentait sous le nom de « mpclient.dll » et était conçu pour s'exécuter via le chargement latéral de DLL en exploitant le fichier binaire de Windows Defender, MsSecEs.exe. Il enregistrera le processus parent actuel en tant que service Windows sous le nom « MsSecEsSvc » à des fins de persistance. Il établira également une connexion et attendra une commande du serveur C2 . Il permet d'obtenir des informations sur le système, sur les services Windows, de gérer les disques et d'exécuter des commandes arbitraires.
- TrillClient : TrillClient est un programme de vol d'informations conçu pour récupérer des données de navigateur. Il s'installe en tant que service Windows « Net Connection », crée une liste de victimes à partir de l'identifiant de victime fourni, se lance lors du démarrage des services, puis nettoie les traces de son installation en supprimant le service. Il se connecte à un dépôt GitHub prédéfini pour récupérer la commande lui indiquant les actions à effectuer ensuite. Il peut collecter les identifiants de connexion du navigateur et programmer une tâche pour collecter ces identifiants.
- HemiGate : HemiGate est une porte dérobée qui s'exécute via le chargement latéral d'une DLL. Il s'exécute en trois instances. La première instance est lancée sans paramètres ; son objectif principal est de mettre en place les mécanismes de démarrage et d'exécuter la deuxième instance avant de se fermer. La deuxième instance est chargée de lire le fichier de configuration et de communiquer avec le serveur C2 avant de communiquer avec la troisième instance. La troisième instance exécute un enregistreur de frappe et reçoit/exécute les commandes transmises par la deuxième instance.
Victimologie
Earth Estries concentre ses attaques sur les organismes liés au gouvernement et les entreprises du secteur des technologies. Des attaques ont eu lieu aux Philippines, à Taïwan, en Malaisie, en Afrique du Sud, en Allemagne et aux États-Unis.
Les chercheurs ont également observé un trafic réseau vers C2 serveurs situés au Canada, ainsi que des détections d'outils en Inde et à Singapour.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne s'inscrit dans la tendance observée chez les auteurs de menaces, qui exploitent des services publics tels que GitHub, AnonFiles et File.io dans le cadre de leurs opérations. »
« Ce groupe semble faire preuve d'une grande sophistication, puisqu'il utilise plusieurs nouvelles portes dérobées et outils de piratage dans le cadre de sa dernière campagne. » Trend Micro souligne qu'Earth Estries se consacre principalement à des campagnes de cyberespionnage. « Dans cette optique, le champ d’action de cette initiative, qui vise plusieurs pays à travers le monde, est très vaste. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
