Dans le résumé de cette semaine, CTI enquête sur la manière dont les acteurs malveillants mettent des dates trompeuses dans les lignes d’objet des e-mails d’hameçonnage pour influencer les émotions de leurs destinataires. Ensuite, CTI présente les quatre erreurs de mot de passe les plus courantes que les utilisateurs commettent, et comment les pirates informatiques peuvent en tirer parti. Enfin, CTI fournit une mise à jour sur le groupe cybercriminel Earth Estries et sa dernière campagne de cyberespionnage.
1. Les acteurs malveillants utilisent des dates trompeuses dans les lignes d’objet du phishing
Un blog récent de Cofense révèle comment les acteurs malveillants incluent des dates trompeuses dans les lignes d’objet des e-mails d’hameçonnage. L’analyse révèle également des tendances intéressantes dans les lignes d’objet avec des dates dans celles-ci et des sous-secteurs ciblés.
Les ratios des sujets contenant des dates par rapport à ceux sans
L’analyse a commencé par examiner les sujets qui avaient des dates de tout format. Cela comprenait les thèmes liés aux fax tardifs, aux messages vocaux manqués, aux factures en retard, à la paie et à d’autres éléments nécessitant une attention immédiate. Le nombre d’e-mails avec des dates dans la ligne d’objet variait en fonction du sous-secteur.
Le sujet avec le pourcentage le plus élevé de sujets datés était le transport ferroviaire à 48 %. Cela a été suivi de près par le pétrole et le gaz à 45 %. Les secteurs avec le pourcentage le plus faible étaient l’immobilier et le commerce de gros à 13 % chacun. Chaque sous-secteur avait une date chez environ 31 % de ses sujets.
En explorant ces e-mails avec des dates dans leurs lignes d’objet, Cofense les a séparés en fonction des dates elles-mêmes. Les catégories étaient basées sur la date d’accès à l’e-mail.
La première catégorie, les premiers e-mails, comprenait des messages où la date dans l’objet était postérieure au jour où l’e-mail a été consulté. La deuxième catégorie, les e-mails ponctuels, comprenait des messages où la date dans l’objet correspondait au jour où l’e-mail a été consulté. La catégorie finale, les e-mails tardifs, comprenait les e-mails où la date dans l’objet était antérieure au jour où l’e-mail a été consulté.
- E-mails précoces : peu d’acteurs malveillants ont envoyé des e-mails avec des dates d’objet plus tard que le jour où ils ont été consultés. Les sujets précoces ne représentaient que 2 % de tous les sujets avec des dates. Selon Cofense, la plupart de ces e-mails proviennent d’accidents et de mauvaises configurations des attaquants.
- E-mails à temps : les e-mails avec des dates d’objet correspondant au jour d’accès à l’e-mail étaient les deuxièmes plus courants. Les sous-secteurs disposaient en moyenne de 31 % de leurs sujets avec des dates identiques au jour où les e-mails ont été consultés. Ces e-mails étaient les plus personnalisés, avec 58 % des sujets ayant une sorte de contenu personnalisé, ou PII nécessitant une rédaction. Le thème le plus populaire était les sujets orientés vers l’action, probablement dans une tentative de recevoir une action immédiate du destinataire.
- E-mails tardifs : la catégorie d’e-mails la plus courante est celles avec des dates dans leur ligne d’objet avant l’accès à l’e-mail. Cela facilitera probablement un faux sentiment d’urgence, avertissant les victimes qu’une échéance est déjà passée et qu’elles sont déjà en retard.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’enseignement clé est que les acteurs malveillants tirent parti des dates dans les lignes d’objet des e-mails pour créer un sentiment d’urgence et susciter une réponse ou une interaction du destinataire. Ce n’est pas un fait nouveau. »
« Ce qui est nouveau, c’est la répartition de la date à laquelle l’acteur malveillant choisit d’utiliser. Il est intéressant que la plupart de ces e-mails d’hameçonnage utilisent une date dans la ligne d’objet avant d’ouvrir l’e-mail. Cela joue vraiment avec votre mentalité, car votre réaction immédiate est que vous avez manqué quelque chose ou oublié de faire quelque chose. »
2. Quatre erreurs courantes de mot de passe à éviter
Le fournisseur de sécurité des mots de passe Specops a détaillé ce qu’il pense être les quatre erreurs de mot de passe les plus courantes que les utilisateurs commettent, et comment les pirates informatiques peuvent en tirer parti.
Selon Specops, ces erreurs de mot de passe courantes se produisent parce que notre cerveau est bon pour terminer le modèle. Cela nous donne une affinité naturelle pour les modèles qui sont satisfaisants ou faciles à mémoriser.
Erreur 1 : Termes de base courants
Les utilisateurs ont tendance à rechercher un mot de base lors de la création d’un mot de passe. Bien qu’un mot de base aléatoire puisse sembler inoffensif, ces mots de base sont rarement vraiment aléatoires et présentent plus de pertinence que nous ne le réalisons souvent.
Les utilisateurs ajusteront souvent progressivement le même mot de base pendant les réinitialisations/expirations de mot de passe de routine pour contourner les exigences d’historique de mot de passe par défaut ou les paramètres de complexité. Les spécops voient souvent les utilisateurs majusculer la première lettre de ce mot de base et/ou ajouter des caractères spéciaux à la fin.
Les cybercriminels savent qu’ils n’ont pas besoin de déchiffrer le mot de passe le plus fort comme moyen d’intégrer une organisation. Au lieu de cela, ils peuvent craquer un mot de passe faible et se déplacer latéralement. Ils exploiteront les termes de base courants dans une attaque connue sous le nom d’attaque de dictionnaire, où ils utiliseront une liste prédéfinie de termes de base faibles pour deviner les mots de passe. Cette attaque est simple, mais souvent réussie, car les gens ont tendance à utiliser des mots de passe simples et familiers.
Une analyse précédente par Specops de millions de mots de passe révèle que le terme de base le plus courant est « mot de passe ». Certains des autres termes de base courants comprennent « admin » et « welcome ». Étant donné que nous utilisons souvent des mots de base qui ont une certaine pertinence pour notre vie quotidienne, les réseaux sociaux offrent une mine d’or aux acteurs malveillants. Les acteurs malveillants peuvent utiliser des profils de réseaux sociaux pour cibler des personnes spécifiques et peuvent facilement apprendre des faits tels que les anniversaires, les noms de famille, les noms d’animaux de compagnie et les lieux de signification qui peuvent être utilisés comme mot de passe de base.
Erreur 2 : longueur du mot de passe courte
Les acteurs malveillants sont toujours confrontés à de nombreuses variations lorsqu’ils tentent de deviner des mots de passe, même ceux avec des termes de base faibles. Ils peuvent utiliser des techniques de force brute pour itérer via des combinaisons de mots de passe potentielles jusqu’à ce qu’ils découvrent le bon mot de passe. Les attaques par force brute sont particulièrement efficaces contre les mots de passe courts, et encore plus efficaces sur les mots de passe courts qui commencent par un terme de base commun.
Specops a découvert que 88 % des mots de passe compromis de leur recherche étaient de 12 caractères ou moins. L’application d’une longueur de mot de passe plus longue peut constituer une défense efficace contre ces attaques.
Erreur 3 : modèles de marche du clavier
Une erreur de mot de passe moins fréquemment évoquée est liée aux modèles de promenade du clavier, qui sont essentiellement des mots de passe inspirés par la mise en page d’un clavier.
Un exemple de cela peut être vu avec le mot QWERTY, qui est une « marche clavier » facile à retenir pour l’utilisateur. Les spécops ont découvert que la qwerté du modèle a été identifiée plus d’un million de fois dans les mots de passe, soulignant ainsi à quel point les promenades de clavier sont courantes.
Bien que les modèles de navigation clavier ne soient pas des mots réels, ils peuvent toujours être utilisés dans les attaques de dictionnaire. Les acteurs malveillants essaient toujours de comprendre comment et pourquoi les gens font certaines choses, afin de mieux capitaliser et planifier leurs attaques. Étant donné que les promenades au clavier sont prévisibles, elles sont parfois incluses dans la liste des mots de passe probables qui sont ensuite utilisés dans les attaques de dictionnaire.
Erreur 4 : Réutilisation du mot de passe
Même les mots de passe forts peuvent être compromis, ce qui devient un problème encore plus important si ce même mot de passe est réutilisé pour différentes applications. Les recherches indiquent que 65 % des personnes réutilisent les mots de passe, un fait que les acteurs malveillants savent trop bien.
La réutilisation des mots de passe est une grande partie des raisons pour lesquelles de nombreux acteurs malveillants se concentrent sur le vol d’informations d’identification et la vente de ces mots de passe, car un mot de passe volé à partir d’une application pourrait être exploité ailleurs.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
Une bonne hygiène des mots de passe a toujours été importante, mais elle devient encore plus importante à mesure que le paysage des menaces continue d’évoluer. Et jusqu’à ce que le monde entier passe sans mot de passe grâce à des technologies émergentes telles qu’Entra ID, Duo ou KelvinZero, chacun d’entre nous a un rôle à jouer dans notre protection et celle de nos organisations grâce à l’hygiène des mots de passe.
L’augmentation de la popularité des infostealers est un excellent exemple de la raison pour laquelle nous devrions être plus prudents que jamais lorsque nous choisissons nos mots de passe. Il y a beaucoup de buzz sur l’avenir de l’authentification sans mot de passe, mais cela prendra probablement un certain temps pour que ce changement se produise. En attendant, nous pouvons tous nous améliorer (ou du moins être plus attentifs) lors de la création et de la gestion des mots de passe.
3. Earth Estries cible les gouvernements mondiaux et les entreprises technologiques
Le groupe cybercriminel Earth Estries a été attribué à une nouvelle campagne de cyberespionnage ciblant les secteurs gouvernementaux et technologiques aux Philippines, à Taïwan, en Malaisie, en Afrique du Sud, en Allemagne et aux États-Unis. L’acteur de la menace travaille activement avec des ressources et des fonctions de haut niveau disposant de compétences et d’une expérience sophistiquées.
Routine d’infection
- Earth Estries compromet les comptes existants avec des privilèges administratifs après avoir infecté avec succès un serveur interne.
- L’opération a installé Cobalt Strike sur le système avant de déployer des logiciels malveillants supplémentaires et d’effectuer un mouvement latéral. SMB et WMIC ont été utilisés pour propager divers backdoors et outils de piratage à d’autres machines de l’environnement.
- L’acteur malveillant ciblait les fichiers PDF et DDF pour l’archivage, qui ont été téléchargés dans des référentiels de stockage en ligne tels qu’AnonFiles ou File.io via curl.exe.
- Earth Estries a régulièrement nettoyé sa porte dérobée existante après avoir terminé chaque tour de l’opération, redéployant un nouveau logiciel malveillant lors du début d’une autre tour.
Outils de backdoor et de piratage de Earth Estries
Earth Estries a été observée à l’aide de divers outils dans cette campagne, notamment des infostealers, des voleurs de données de navigateur, des scanners de port, etc.
Trend Micro couvre les jeux d’outils nouvellement découverts et remarquables de cette campagne.
- Zingdoor : Zingdoor est une backdoor HTTP écrite en Go qui a été rencontrée pour la première fois en avril 2023, bien que certains journaux indiquent que cette backdoor existe depuis la mi-2022. Cette porte dérobée est rarement vue dans la nature, mais elle est emballée à l’aide d’UPX et est fortement masquée. Dans cette campagne, elle a été déguisée en mpclient.dll et conçue pour s’exécuter via le chargement latéral DLL en abusant du fichier binaire du défenseur Windows, MsSecEs.exe. Il enregistrera le processus parent actuel en tant que service Windows avec le nom MsSecEsSvc pour la persistance. Il se connectera également et attendra une commande du serveur C2 . Il est capable d’obtenir des informations système, des informations de service Windows, de gérer les disques et d’exécuter des commandes arbitraires.
- TrillClient : TrillClient est un infostealer conçu pour saisir les données du navigateur. Il s’installe lui-même en tant que connexion réseau de service Windows, crée une liste de victimes basée sur l’ID de victime d’entrée, se lance par le démarrage des services et nettoie le processus d’installation en supprimant le service. Il se connecte à un référentiel GitHub codé en dur pour récupérer la commande pour ses prochaines actions. Il peut collecter les informations d’identification du navigateur et planifier une tâche pour collecter les informations d’identification du navigateur.
- HemiGate : HemiGate est une porte dérobée qui est exécutée via le chargement latéral DLL. Il s’exécute dans trois instances. La première instance est lancée sans paramètres et son objectif principal est d’installer des mécanismes de démarrage et d’exécuter la deuxième instance avant de se terminer. La deuxième instance est chargée de lire le fichier de configuration et de communiquer avec le serveur C2 avant de communiquer avec la troisième instance. La troisième instance exécute un keylogger et reçoit/exécute les commandes transmises par la deuxième instance.
Victimologie
Earth Estries concentre ses attaques sur les organisations gouvernementales et les entreprises technologiques. Des attaques ont eu lieu aux Philippines, à Taïwan, en Malaisie, en Afrique du Sud, en Allemagne et aux États-Unis.
Des chercheurs ont également observé le trafic réseau vers C2 serveurs au Canada et des détections de jeux d’outils en Inde et à Singapour.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Cette campagne s’ajoute à la tendance des acteurs malveillants qui abusent des services publics tels que GitHub, AnonFiles et File.io dans le cadre de leurs opérations. »
« Le groupe semble être plutôt sophistiqué, tirant parti de plusieurs nouveaux backdoors et outils de piratage dans sa dernière campagne. Trend Micro note que Earth Estries se concentre sur les campagnes de cyberespionnage. Dans cette optique, son ciblage de plusieurs pays à travers le monde est très large. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
