Dans le tour d'horizon de cette semaine, CTI se penche sur le dernier rapport « Cyber Threat Index » publié par Coalition, qui apporte un éclairage sur la sécurité sur Internet, les tendances en matière de cyberrisques et les vulnérabilités. Par la suite, le CTI enquête sur une campagne de hameçonnage en cours menée par « » , qui cible des victimes situées au Mexique à l'aide d'appâts liés à la fiscalité. Enfin, CTI conclut par un aperçu du rapport annuel de Proofpoint intitulé « State of the Phish » pour l'année 2024.
1. Les chercheurs prévoient une hausse de 25 % du nombre de CVE
Coalition a publié son dernier rapport « » sur l'indice des cybermenaces, portant sur 2024 (s'ouvre dans un nouvel onglet), qui fournit des informations sur la sécurité Internet, les tendances en matière de risques et les vulnérabilités récentes.
Parmi les principales conclusions, l'entreprise prévoit une augmentation de 25 % du nombre de vulnérabilités et d'expositions courantes (CVE) en 2024. La Coalition prévoit environ 2 900 vulnérabilités par mois, contre une moyenne de 2 321 sur 2023.
À propos des données issues des « honeypots » de Coalition
La Coalition gère plusieurs « honeypots » qui comportent de nombreuses vulnérabilités. Ils utilisent délibérément des logiciels obsolètes, ce qui leur permet d'avoir un aperçu de ce que recherchent les auteurs de menaces.
Si Coalition a constaté un volume important de trafic inoffensif vers ses « honeypots », l'entreprise a également signalé un volume non négligeable de trafic malveillant. Le trafic RDP a notamment augmenté en 2023 , avec une hausse de 59 % du nombre d'adresses IP uniques effectuant des analyses à la recherche de services RDP.
Services accessibles depuis Internet
Coalition examine régulièrement les expositions les plus risquées sur l'Internet public. L'entreprise a constaté que les ports ouverts restaient l'un des principaux risques. Par ailleurs, le port 7547 était le plus élevé parmi ceux analysés dans le port 2023.
Des acteurs malveillants ont été observés en train de rechercher certains services Web tels qu’Apache, Nginx et IIS, et d’exploiter des outils de gestion à distance mal configurés. Sans surprise, les cybercriminels ont également recherché des bases de données exposées.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les conclusions de la Coalition viennent renforcer la nécessité, soulignée par l’ , d’appliquer les correctifs en temps opportun — une nécessité qui ne cesse de gagner en importance d’année en année.
L'entreprise prévoit une augmentation du nombre de CVE pour 2024. Mais s'il est important de comprendre le risque que représentent les vulnérabilités, il est tout aussi important de comprendre qu'elles ne constituent pas la seule menace à laquelle les organisations sont confrontées aujourd'hui.
2. TimbreStealer se propage par le biais d'e-mails de hameçonnage
Une campagne d'hameçonnage « » (s'ouvre dans un nouvel onglet) cible activement des victimes au Mexique à l'aide d'appâts liés au domaine financier. Cette campagne est en cours depuis au moins novembre 2023 et vise à diffuser un logiciel malveillant jusqu'alors inconnu, appelé TimbreStealer. L'acteur malveillant recourt à des techniques sophistiquées d'obfuscation et utilise le géorepérage pour cibler les utilisateurs qui l'intéressent.
À propos de la campagne
Dans le cadre de cette campagne, des e-mails de hameçonnage redirigent les victimes vers un site piraté hébergeant un code malveillant. Ces e-mails ont pour but de convaincre les victimes d'exécuter du contenu malveillant.
Pour l'instant, cette campagne ne cible que les utilisateurs situés au Mexique, grâce à des techniques de géolocalisation. Grâce à cette technique, tout utilisateur qui tenterait d'accéder au site malveillant sans se trouver au Mexique se verra proposer un document PDF vierge à la place du véritable document malveillant.
Qu'est-ce que TimbreStealer ?
TimbreStealer est un programme de vol d'informations de type « » récemment identifié qui utilise diverses techniques pour échapper à la détection et assurer sa persistance. Parmi ces techniques, on peut citer le contournement de la surveillance classique des API, l'exploitation de la technique « Heaven's Gate » et l'utilisation de chargeurs personnalisés. Cisco Talos estime que, ces fonctionnalités étant relativement sophistiquées, l'auteur de la menace à l'origine de ce logiciel malveillant doit être un expert.
- Une fois la couche initiale extraite, le logiciel malveillant effectuera une vérification afin de déterminer si le système mérite d'être pris pour cible et s'il s'exécute dans un environnement de test.
- Il extraira ensuite de nombreux sous-modules intégrés dans la charge utile. Il convient de noter que Cisco Talos fournit, dans son rapport, des explications techniques très détaillées sur les différentes couches de ce logiciel malveillant.
- Ce qui est intéressant avec ce logiciel malveillant, c'est qu'il effectue des appels vers une fonction servant à supprimer les points de restauration du système sur l'appareil. Selon Cisco Talos, ce type d'activité est généralement caractéristique des logiciels malveillants de type rançongiciel, mais aucune activité de rançongiciel n'a encore été observée sur les appareils infectés.
Les chercheurs ont découvert plusieurs chaînes de caractères au sein de fonctions chargées d'analyser les fichiers et les répertoires présents sur l'ordinateur de la victime. Il a également été constaté que ce logiciel malveillant intégrait la bibliothèque SQLite, nécessaire au fonctionnement des fichiers de stockage des identifiants de différents navigateurs.
TimbreStealer analyse les répertoires à la recherche de fichiers, mais l'objectif précis de cette action n'est pas encore connu. Les dossiers analysés contiennent notamment des éléments liés à AdwCleaner, à Avast Scanner, à la quarantaine de 360 Antivirus, et bien d'autres encore. Ils ont également identifié une série de chaînes de caractères telles que « .Spotlight-V100” » et « .fseventsd », qui sont liées à macOS.
Ce logiciel malveillant exploite l'interface WMI et les clés de registre pour collecter des informations sur l'ordinateur de la victime. Les informations collectées comprennent des informations sur le système d'exploitation, le BIOS SMB, le matériel, le domaine réseau et les données des applications.
Campagne précédente associée
Cisco Talos a constaté que l'acteur malveillant présumé menait de nouvelles campagnes depuis au moins septembre 2023. Dans « septembre 2023 », l'acteur diffusait une variante de Mispadu, un cheval de Troie bancaire. Cette campagne antérieure a utilisé des sites piratés pour, au final, transmettre un fichier .url permettant d'exécuter un fichier hébergé en externe. Le fichier utilisait un chemin d'accès WebDAV, et tous les serveurs WebDAV étaient soumis à une restriction géographique afin de n'autoriser que les connexions provenant d'adresses IP situées au Mexique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
D'après les conclusions de Cisco Talos, cet acteur malveillant diffusait auparavant le cheval de Troie bancaire Mispadu avant de se tourner vers ce nouveau logiciel malveillant, TimbreStealer. Hormis l'évolution des logiciels malveillants, les autres TTP sont restées relativement similaires.
Cela dit, il ne serait pas surprenant de voir cet acteur se tourner à nouveau vers un autre logiciel malveillant dans un avenir proche. Même si cette campagne est spécialement conçue pour cibler les utilisateurs situés au Mexique, elle exploite un thème de hameçonnage très courant à cette période de l'année : les impôts.
À tout le moins, cette activité nous rappelle de rester vigilants pendant la période des déclarations d'impôts et d'être à l'affût des leurres liés à la fiscalité.
3. Proofpoint publie son 2024 e rapport « State of the Phish »
Proofpoint a publié son rapport annuel sur les menaces intitulé «State of the Phish (s'ouvre dans un nouvel onglet) » pour l'année 2024. Ce rapport s'appuie sur une enquête menée auprès de 7 500 utilisateurs finaux et de 1 050 professionnels de la sécurité dans plusieurs pays, ainsi que sur les données propres à Proofpoint, issues de ses produits, de ses chercheurs en menaces et de messages de hameçonnage simulés.
Le rapport souligne que « les personnes constituent un élément essentiel de toute bonne défense, mais qu'elles peuvent également être les plus vulnérables ».
Principales conclusions du rapport de Proofpoint
Proofpoint a détecté et bloqué en moyenne 66 millions d'attaques de type « Business Email Compromise » (BEC) par mois. Leur rapport souligne également que les attaques par ransomware sont en hausse et que Microsoft reste la marque la plus souvent usurpée.
Une statistique intéressante communiquée par Proofpoint, issue de son enquête auprès des utilisateurs finaux, indique que “71 % des adultes actifs ont admis avoir adopté un comportement à risque, tel que la réutilisation ou le partage d'un mot de passe, le fait de cliquer sur des liens provenant d'expéditeurs inconnus ou la communication d'identifiants à une source non fiable. « Et 96 % d’entre eux l’ont fait en sachant qu’ils prenaient un risque. »
Tendances en matière de sensibilisation à la sécurité
Bien que 99 % des organisations interrogées disposent d'un programme de sensibilisation à la sécurité, bon nombre d'entre elles ne parviennent pas réellement à induire un changement de comportement. L'un des principaux facteurs à l'origine de cette situation tient aux thèmes abordés lors des sessions de formation à la sensibilisation à la sécurité, car celles-ci ne couvrent souvent pas l'ensemble des risques.
Proofpoint constate également une tendance à la hausse concernant la formation dispensée par les entreprises à des postes ou services spécifiques (jusqu'à 41 %, contre 28 % l'année précédente), ce qui constitue une approche beaucoup plus ciblée de la formation.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Proofpoint a inclus de nombreuses autres statistiques intéressantes dans son rapport, ce qui en fait une lecture incontournable. Ils résument leurs conclusions en un seul point : « Même les meilleures mesures de protection techniques peuvent être rendues inefficaces si les utilisateurs ne respectent pas les règles élémentaires, telles qu’éviter les liens suspects, vérifier l’identité de l’expéditeur, choisir un mot de passe fort et ne le divulguer à personne. »
En résumé, les programmes de formation et de sensibilisation sont essentiels et ne peuvent pas stagner. Ils doivent être mis à jour régulièrement avec les dernières menaces connues afin que les utilisateurs sachent à quoi s'attendre et comprennent les risques potentiels. De plus, des formations ciblées et sur mesure en matière de sensibilisation à la sécurité sont essentielles pour faire passer le programme de votre organisation à un niveau supérieur.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
