Cette semaine, CTI se penche sur un nouveau kit de phishing de type « adversary-in-the-middle » (AiTM) associé à la plateforme « phishing-as-a-service » (PhaaS) Tycoon 2FA . CTI se penche ensuite sur un récent e-mail de hameçonnage de type « » ( ) qui diffusait le logiciel malveillant Agent Tesla. Enfin, CTI examine une nouvelle variante du botnet malveillant TheMoon qui a infecté des milliers de routeurs et d'appareils IoT dans 88 pays.
1. Des chercheurs ont découvert une nouvelle version du kit de phishing « Tycoon 2FA AiTM »
Des chercheurs ont découvert un nouvel adversaire « » au sein du kit de phishing « middle- » (AiTM), associé à la plateforme de phishing-as-a-service (PhaaS) Tycoon 2FA .
Au cours des derniers mois, « Tycoon 2FA » s'est imposé comme l'un des kits de hameçonnage AiTM les plus répandus. La dernière version de Tycoon 2FA , découverte dans le cadre de l'opération «février 2024 », présente des capacités de dissimulation et de protection contre l'analyse renforcées, ainsi que de nouveaux schémas de trafic.
Comment fonctionne « Tycoon 2FA »
La dernière version du kit de hameçonnage « Tycoon 2FA » repose sur la technique AiTM. Le serveur malveillant héberge le site de hameçonnage, intercepte les données saisies par les victimes et les transmet au service légitime, qui déclenchera alors la demande d'authentification multifactorielle (MFA) .
Lorsque l'utilisateur répond correctement à la question de sécurité de l'authentification multifactorielle (MFA) et s'authentifie, le serveur intermédiaire récupère les cookies de session. Ces cookies permettent à l'auteur de l'attaque de reproduire une session, contournant ainsi l'authentification à plusieurs facteurs (MFA).
- Étape 0 : L'attaque commence par la diffusion de pages de hameçonnage, souvent via des redirections à partir d'URL et de codes QR. Le kit de hameçonnage « Tycoon 2FA » fournit à ses utilisateurs des modèles de pages de hameçonnage ainsi que des documents leur servant de leurres, destinés à être intégrés dans les e-mails eux-mêmes.
- Étape 1 : Une fois que l'utilisateur a cliqué sur l'URL de phishing, il est redirigé vers une page intégrant un test de sécurité Cloudflare Turnstile destiné à empêcher le trafic provenant de robots et d'analystes. Une intervention humaine est nécessaire pour mener à bien le test de sécurité.
- Étape 2 : Le code JavaScript s'exécute en arrière-plan avant de rediriger l'utilisateur vers une autre page. Le code HTML de cette nouvelle page contient du code JavaScript qui extraira l'adresse e-mail de l'URL, s'il y en a une, afin de personnaliser l'attaque.
- Étape 3 : Cette étape n'est pas non plus visible pour l'utilisateur et le redirige vers une autre page du domaine de hameçonnage.
- Étape 4 : Cette étape présente une fausse page d'authentification Microsoft et permet d'identifier le navigateur Web de l'utilisateur, d'initier une connexion WebSocket avec le serveur C2 , de mettre en place des communications via socket, de capturer et d'exfiltrer les saisies de l'utilisateur, ainsi que de récupérer l'URL de redirection finale.
- Étape 5 : L'étape 5 génère et affiche la page Microsoft 2FA à l'intention de la victime, puis intercepte le jeton afin de contourner les mesures de sécurité.
- Étape 6 : La victime est finalement redirigée vers une page d'apparence légitime.
Les principales nouveautés de cette attaque résident dans les modifications apportées aux codes JavaScript et HTML utilisés pour le hameçonnage. Les pages de cette version ont été légèrement modifiées et récupèrent désormais les ressources nécessaires dans un ordre différent, ce qui permet de filtrer le trafic indésirable provenant des robots et des analystes en sécurité.
Sekoia souligne que les fonctionnalités de déobfuscation étaient similaires entre l'ancienne version et la nouvelle, mais que la structure générale a changé. La principale différence réside dans les améliorations apportées à diverses tactiques de dissimulation, dans le cadre desquelles les ressources malveillantes ne sont pas fournies tant que la victime n'a pas résolu le défi CloudFlare Turnstile.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les modifications apportées à la dernière version de Tycoon 2FA portent principalement sur l'amélioration des techniques de discrétion et d'esquive. Cette initiative laisse penser que l'acteur malveillant à l'origine de ce kit de hameçonnage cherche à étendre les capacités de celui-ci, sans doute dans le but d'accroître sa popularité.
Sekoia indique que l'ampleur de ces activités est considérable, et qu'il existe des preuves montrant qu'un large éventail de cybercriminels exploitent actuellement Tycoon 2FA.
2. Une attaque de hameçonnage fait passer un enregistreur de frappe pour un avis de paiement bancaire
En mars, des chercheurs ont découvert un e-mail de hameçonnage diffusant le logiciel malveillant « Agent Tesla » d' :.
Ces e-mails contiennent un fichier exécutable Windows qui se fait passer pour une fausse notification de paiement bancaire de la part d' , et incitant la victime à l'ouvrir. Le chargeur est capable de contourner les logiciels antivirus et récupère sa charge utile à l'aide de serveurs proxy afin de masquer son trafic.
La chaîne de contamination
Cette attaque commence par un e-mail de hameçonnage qui se présente comme une notification émanant de la banque de la victime. Le fichier d'archive ci-joint est un chargeur qui utilise diverses techniques visant à empêcher l'analyse et à échapper à la détection avant de déployer finalement le logiciel de vol d'informations Agent Tesla, qu'il exécute entièrement en mémoire.
Le module de distribution/chargement des e-mails
L'e-mail de hameçonnage se présente sous la forme d'une fausse notification de paiement bancaire, accompagnée d'une pièce jointe qui ressemble à un reçu de paiement émis par une banque.
L'archive tar.gz ci-jointe contient un chargeur malveillant, compilé via .NET, qui masque ses fonctionnalités à l'aide de techniques d'obfuscation et de compression. Lors de son initialisation, il déchiffrera les données de configuration dont il a besoin pour fonctionner. Trustwave a identifié deux versions différentes du chargeur polymorphe.
Contournement des antivirus / récupération de la charge utile
Le chargeur modifiera la fonction AmsiScanBuffer afin de contourner l'interface d'analyse anti-malware (AMSI) et d'échapper ainsi à l'analyse du contenu en mémoire par les logiciels malveillants.
Par la suite, il ciblera une charge utile hébergée à une URL spécifique et aura besoin d'une chaîne d'agent utilisateur spécifique pour ce faire. L'une des variantes utilise un serveur proxy HTTP issu d'une liste open source disponible sur GitHub pour télécharger la charge utile.
Une fois la charge utile stockée en mémoire, le chargeur utilisera les fonctionnalités de réflexion et de chargement d'assemblages de .NET pour appeler le point d'entrée principal de la charge utile et déclencher le logiciel malveillant Agent Tesla.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Agent Tesla est un logiciel malveillant notoire, couramment utilisé par divers acteurs malveillants et donc diffusé de multiples façons.
Cette version particulière du logiciel malveillant se distingue par le fait que son chargeur utilise toute une série de techniques d'obfuscation et d'anti-analyse et « présente un comportement polymorphe avec des routines de déchiffrement distinctes ».
Trustwave estime que, pour cette raison, ce chargeur pourrait être utilisé à l'avenir pour déployer différents types de logiciels malveillants.
3. Le logiciel malveillant TheMoon cible les routeurs ASUS
Une nouvelle variante du malware « TheMoon » et du botnet « » a infecté des milliers de routeurs et d'appareils connectés dans 88 pays.
Ce logiciel malveillant est lié au service de proxy « Faceless » de l' ( ), qui utilise les appareils infectés comme proxys et achemine le trafic pour le compte d'acteurs malveillants cherchant à dissimuler leurs activités. La dernière campagne TheMoon, qui, en mars, a compromis plus de 6 000 routeurs ASUS en moins de 72 heures.
Qu'est-ce que le logiciel malveillant TheMoon ?
TheMoon a fait son apparition en 2014 et compte désormais plus de 40 000 bots, dont un grand nombre est utilisé dans le célèbre service de proxy Faceless. Les chercheurs estiment que TheMoon attire environ 7 000 nouveaux utilisateurs par semaine sur Faceless.
Black Lotus Labs a identifié une campagne lancée dès la première semaine d' mars 2024 , qui visait 6 000 routeurs ASUS. D'après leur analyse, il semblerait que l'auteur de la menace ait ciblé des appareils en fin de vie.
Analyse des logiciels malveillants
L'attaque a débuté par un fichier de chargement qui vérifie la présence de certains shells. Si aucun des shells n'est identifié, le fichier s'arrêtera. Si l'un des shells est identifié, il déchiffrera, déploiera et exécutera la charge utile de la phase suivante. Le binaire mettra en place plusieurs règles iptables avant de lancer un thread destiné à contacter un serveur NTP, probablement afin de vérifier que l'appareil dispose d'une connexion Internet et qu'il ne s'agit pas d'un environnement de test.
Il parcourra ensuite une liste d'adresses IP prédéfinies, établira une connexion sur le port 15194 et enverra un paquet prédéfini.
Des chercheurs ont identifié deux modules, dont un module de ver et un fichier nommé .sox. Le module du ver tente de se propager en analysant un bloc d'adresses IP à la recherche de cibles vulnérables. Une fois exécuté, le fichier .sox intégrera des fonctionnalités permettant de modifier iptables, ce qui lui permettra d'ouvrir des ports supplémentaires et de télécharger d'autres modules.
Chevauchement entre TheMoon et Faceless
Black Lotus Labs a identifié un chevauchement entre les groupes d'activité de TheMoon et de Faceless. En analysant une période de 10 jours, ils ont constaté qu'environ 80 % des bots qui communiquaient avec Faceless C2s communiquaient également avec TheMoon C2.
Lorsqu'un bot communique avec un serveur Faceless, il s'inscrit au réseau de proxys Faceless. Les chercheurs ont constaté que 30 % des infections avaient duré plus de 50 jours, tandis que seuls 15 % des appareils étaient restés connectés au réseau pendant moins de 48 heures.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les cybercriminels cherchent sans cesse des moyens de mener des attaques en toute discrétion et de préserver leur anonymat. Outre des outils tels que les VPN, les cybercriminels se tournent désormais également vers les serveurs proxy pour dissimuler leurs activités.
Black Lotus Labs estime que ce recours aux services de proxy pourrait également s'expliquer par la multiplication des interventions des forces de l'ordre, ce qui renforce la nécessité pour les acteurs malveillants de rendre leur trafic anonyme. Il convient de noter que bon nombre des modèles d'appareils visés sont en fin de vie, ce qui souligne une nouvelle fois les risques liés aux technologies en fin de vie.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
