Cette semaine, CTI analyse en détail un nouveau rapport présentant les dernières activités attribuées au groupe malveillant ChamelGang, lié à la Chine, qui cible activement les appareils Linux. CTI se penche ensuite sur une variante de logiciel malveillant destinée au vol d'informations, connue sous le nom de Skuld. Enfin, CTI conclut son article par un aperçu d’une vaste campagne de hameçonnage de type « » , récemment découverte par les chercheurs de Bolster.
1. Des pirates informatiques chinois utilisent le protocole DNS-over-HTTPS pour la communication entre leurs logiciels malveillants sous Linux
Un nouveau rapport de Stairwell dévoile les activités du groupe malveillant lié à la Chine ChamelGang, qui infecte des appareils Linux à l'aide d'un implant jusqu'alors inconnu, baptisé ChamelDOH. Cette porte dérobée permet la communication entre les systèmes compromis et les appareils des attaquants via le protocole DNS-over-HTTPs.
C'est en septembre 2021 que Positive Technologies a pour la première fois documenté les activités de ChamelGang, un groupe de piratage informatique ( ) . Toutefois, ce rapport ne portait que sur l'utilisation d'une boîte à outils Windows par ce groupe malveillant. Le nouveau rapport de Stairwell met en évidence l'élargissement de l'arsenal de logiciels malveillants de ChamelGang, ainsi que les mises à jour concernant les tactiques, techniques et procédures (TTP) du groupe et les indicateurs de compromission (IOC).
Détails techniques
Le rapport de Stairwell porte sur ChamelDOH, un implant qui facilite les communications de type « commande et contrôle » (C2) via un tunnel DNS-over-HTTPS (DoH) – dissimulant ainsi son activité au sein du trafic réseau et rendant l’identification et le blocage des communications de l’implant extrêmement difficiles (voire impossibles, sans visibilité sur le trafic HTTPS).
- L'implant est un fichier binaire C++ volumineux qui permet d'accéder à distance au système sur lequel il s'exécute.
- L'implant utilise un schéma base64 modifié pour encoder ses communications sous forme de sous-domaines destinés à un serveur de noms contrôlé par un attaquant. Cela lui permet de collecter des informations système, de recenser et d'analyser un appareil infecté, ainsi que d'effectuer des opérations d'accès à distance de base, notamment le téléchargement, la suppression et l'exécution de fichiers.
- L'implant utilise toute une série d'appels système pour générer un objet JSON contenant diverses données issues de la reconnaissance.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
«L’attribution de l’implant ChamelDoH au groupe ChamelGang, lié à la Chine, est possible grâce à l’utilisation, par ce logiciel malveillant sous Linux, d’un domaine précédemment associé à cet acteur malveillant, ainsi qu’à un outil personnalisé d’élévation de privilèges qui avait déjà été évoqué dans le rapport de Positive Technologies mentionné au début de ce résumé. »
« Selon Stairwell, ce groupe a probablement consacré des ressources considérables à la recherche et au développement d'un ensemble d'outils destinés aux intrusions sous Linux, aussi performant que l'arsenal de ce groupe de cybercriminels axé sur Windows. »
2. Un nouveau logiciel malveillant appelé « Skuld », basé sur Golang, vole des données Discord et de navigateur sur les PC Windows
Trellix a récemment décrit en détail une nouvelle souche de logiciel malveillant destiné au vol d'informations, baptisée « Skuld », qui cible des applications telles que Discord, les navigateurs Web et les dossiers. Le développeur de Skuld semble s'être inspiré de divers projets open source et d'échantillons de logiciels malveillants.
Ce qu'il faut savoir sur Skuld
Trellix signale que Skuld a compromis des systèmes Windows en Europe, en Asie du Sud-Est et aux États-Unis. On observe également des recoupements avec divers logiciels de vol de données disponibles dans le domaine public, notamment Creal Stealer, Luna Grabber et BlackCap Grabber.
Au cours de ses recherches, Trellix a également repéré un groupe Telegram portant le même pseudonyme que celui utilisé par le développeur présumé de Skuld. Cela pourrait laisser supposer l'existence de projets futurs visant à promouvoir l'offre Skuld en tant que service destiné à d'autres cybercriminels.
Points clés à retenir concernant Skuld
- Les exemples Skuld sont tous écrits en Golang 1,20,3 et utilisent un large éventail de bibliothèques pour réaliser les différentes tâches prises en charge.
- Au démarrage, le programme « stealer » charge certains paramètres, chemins d'accès et expressions régulières dans une structure interne de type « string map » qui prendra ensuite en charge différents modules. Une fois l'environnement d'exécution mis en place, le logiciel malveillant affiche un faux message d'erreur à l'intention de la victime avant d'exécuter divers modules destinés à voler des informations.
- Avant de commencer à voler des informations, Skuld vérifie s'il fait l'objet d'une analyse par un logiciel de sécurité ou un chercheur en examinant diverses caractéristiques de l'environnement. Si Skuld constate qu'il est surveillé, il mettra fin à son exécution.
- Skuld utilise trois techniques différentes pour vérifier si le système cible est une machine virtuelle ou non. La première technique permet de vérifier si la résolution d'écran du système est supérieure à 200x200 pixels. Sinon, il part du principe qu'il s'exécute dans un environnement virtuel. La deuxième technique vérifie si la mémoire vive totale est supérieure à 2 000 000 000 octets. Quant à la troisième technique, elle vérifie différentes clés de registre associées aux informations relatives à la carte graphique et au disque dur du système. Si l'un d'entre eux contient des informations relatives à VMware ou à VirtualBox, l'application se ferme.
- Les dernières vérifications effectuées par Skuld consistent à recenser les processus en cours d'exécution du système et à les comparer à une liste noire prédéfinie. Si un processus correspond à un élément figurant sur la liste noire, le logiciel malveillant met fin à ce processus.
- Une fois que Skuld a vérifié qu'il évolue dans un environnement réel et non dans un environnement virtualisé, il commence à dérober des informations à la victime.
- Skuld dispose de plusieurs méthodes pour voler des informations sur Discord. Il tente tout d'abord d'injecter du code JavaScript dans le module « discord_desktop_core ». Afin de contourner les fonctionnalités de sécurité de Better Discord, le logiciel malveillant altère le fichier « %APPDATA%\BetterDiscord\data\betterdiscord.asar », en remplaçant la chaîne « api/webhooks » par la chaîne « ByDeathined ». Après avoir injecté son code, Skuld tente de voler les codes de sauvegarde Discord, qui constituent une alternative aux codes d'authentification multifactorielle, afin de prendre le contrôle du compte.
- Skuld cible ensuite les informations stockées par les navigateurs basés sur Chromium et Gecko. Les informations volées dans le navigateur comprennent les données locales, les identifiants de connexion, les cookies, l'historique, les téléchargements et les jetons de session. Une fois les informations obtenues, elles sont archivées et compressées dans un fichier nommé « browsers.zip », puis exfiltrées.
Qui est responsable de Skuld ?
Le développeur à l'origine de Skuld est connu sous le pseudonyme de « Deathined ». Trellix a d'abord découvert le profil GitHub d'un utilisateur portant le même pseudonyme, dont l'URL de l'image d'avatar était identique à l'« icon_url » figurant dans le pied de page du webhook Discord de Skuld.
Le compte GitHub « Deathined » indique que son titulaire maîtrise le langage de programmation Golang, ce qui correspond sans aucun doute au langage utilisé par le logiciel malveillant Skuld. Le compte GitHub a également été créé récemment, à l'adresse avril 2023 — quelques semaines seulement avant le début de l'enquête menée par Trellix.
Poursuivant son enquête sur l'identité en ligne du développeur présumé, Trellix a recherché d'autres comptes portant le même nom d'utilisateur et a découvert un compte Reddit également créé en avril. Ils ont également découvert un compte Tumblr portant le même pseudonyme. Enfin, ils ont découvert un compte Carrd comportant un lien vers le compte Twitter connu, @deathined.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Skuld est un énième logiciel malveillant qui surfe sur la vague du Golang. » Trellix résume bien les inquiétudes croissantes concernant les logiciels malveillants développés en Golang :
La recrudescence des logiciels malveillants écrits en Golang constitue une préoccupation majeure dans un paysage de la cybersécurité en constante évolution. À mesure que Golang gagne en popularité, les cybercriminels exploitent ses atouts pour développer de nouvelles variantes de logiciels malveillants qui constituent une menace sérieuse pour les utilisateurs et les entreprises.
3. Une campagne de hameçonnage à grande échelle utilise 6 000 sites pour usurper l'identité de 100 marques
Un nouveau rapport publié par l’équipe de recherche sur les menaces de Bolster révèle la découverte d’une vaste campagne de hameçonnage de type « » — qui serait en cours depuis le juin 2022 — et qui consiste à usurper l’identité de plus de 100 marques populaires de vêtements et de chaussures dans le cadre d’attaques visant à inciter les victimes à saisir leurs identifiants de compte et leurs informations financières sur des sites web frauduleux.
Détails de la campagne
- Selon BleepingComputer, parmi les marques dont l'identité a été usurpée sur les faux sites mentionnés ci-dessus figurent Nike, Puma, Asics, Vans, Adidas, Columbia et plusieurs autres.
- Cette campagne de hameçonnage a été découverte par l'équipe de recherche sur les menaces de Bolster, dont les analystes indiquent que l'opération a débuté aux alentours du juin 2022 et a connu un pic d'activité entre le novembre 2022 et le février 2023.
- Cette campagne s'appuie sur au moins 3 000 domaines distincts et environ 6 000 sites, y compris ceux qui ne sont plus actifs.
Infrastructure de hameçonnage
Le rapport de Bolster présente une vue d'ensemble de l'infrastructure utilisée pour les attaques de hameçonnage menées dans le cadre de cette campagne. Les domaines associés à cette opération ont été retracés par ses découvreurs jusqu'au numéro de système autonome (ASN) AS48950.
Extrait de Bolster :
Les adresses IP de ces domaines sont hébergées par deux fournisseurs d'accès à Internet spécifiques, Packet Exchange Limited et Global Colocation Limited. Il convient de noter que ces deux prestataires ont une mauvaise réputation en matière de risque de fraude.
Les chercheurs de Bolster soulignent également qu'une grande majorité des domaines concernés (environ 1 500) sont enregistrés auprès du registraire de noms de domaine ALIBABA.COM SINGAPORE E-COMMERCE PRIVATE LIMITED. En ce qui concerne la durée d'existence de ces domaines, leur âge varie. Certains ont environ deux ans, tandis qu'une grande partie d'entre eux ont été enregistrés récemment, au cours des 90 derniers jours environ.
BleepingComputer a fait part de ses observations concernant l'ancienneté des domaines suspects :
L'ancienneté d'un domaine est un facteur déterminant dans les opérations de hameçonnage, car plus un domaine reste actif sans causer de dommages, moins il risque d'être signalé comme suspect par les outils de sécurité. Confiant a signalé l'année dernière que le fait de laisser un nom de domaine « vieillir » pendant au moins deux ans constituait une tactique observée dans le cadre d'une campagne mondiale de « malvertising » qui l'utilise avec succès depuis 2018. Dans le cadre de la campagne mise au jour par Bolster, bon nombre de ces domaines malveillants sont restés indétectés si longtemps qu’ils ont été indexés par Google Search et sont désormais susceptibles d’apparaître en tête des résultats pour certains termes de recherche spécifiques.
Cette stratégie s'avère particulièrement efficace pour les cybercriminels qui cherchent à inciter des victimes peu méfiantes à se rendre sur des sites de hameçonnage, en s'appuyant sur le fait que l'internaute lambda associe un bon classement dans les résultats de recherche Google à l'authenticité et à la fiabilité de ce domaine.
Il convient de noter que les noms de domaine utilisés dans le cadre de cette arnaque suivent un schéma récurrent : le nom de la marque usurpée est associé à celui d'une ville ou d'un pays, suivi d'un domaine de premier niveau (TLD) générique tel que .com.
Selon les chercheurs de Bolster, cette campagne gérait plus de 10 sites web frauduleux conçus pour imiter ceux de diverses marques populaires. Chaque domaine frauduleux aurait été conçu de manière très similaire au site web authentique de chaque entreprise.
Mesures recommandées
Bolster vous propose quelques conseils pour vous aider à éviter les attaques de hameçonnage et les sites frauduleux qui imitent des marques connues.
Extrait de Bolster :
Assurez-vous que vous vous trouvez bien sur le site officiel de la marque en vérifiant le nom de domaine de la marque d'origine. Restez vigilant face à tout signe indiquant la présence de noms de domaine suspects. Si vous tombez sur une offre ou un prix qui semble trop beau pour être vrai, vous devriez prendre des précautions supplémentaires pour vérifier la légitimité du nom de domaine. Il est également essentiel que les entreprises protègent leurs actifs numériques contre les attaques par usurpation d'identité de marque afin d'éviter de nuire à la réputation de leur marque. Si des clients (ou des collaborateurs, des partenaires et d'autres personnes de votre réseau) sont victimes d'une arnaque commise par des personnes se faisant passer pour votre organisation, cela peut les dissuader d'acheter chez vous à l'avenir, mais aussi entraîner des avis négatifs, une mauvaise presse et un bouche-à-oreille défavorable.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne nous rappelle pourquoi il est important de rester très vigilant et prudent, notamment lorsque l'on effectue des achats en ligne ou que l'on navigue simplement sur des sites de commerce électronique. »
« Les campagnes de hameçonnage sont de plus en plus convaincantes. » Cette situation va s'aggraver à mesure que les cybercriminels auront plus facilement accès à l'intelligence artificielle (IA) et ainsi qu'aux modèles d'apprentissage automatique. « Il devient tout aussi difficile de tenir les collaborateurs informés des dernières menaces véhiculées par e-mail, des méthodes d’ingénierie sociale et des autres TTP en constante évolution auxquelles recourent les cybercriminels. »
Avez-vous des informations à ce sujet que vous souhaiteriez partager ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
