Pour commencer ce tour d'horizon hebdomadaire, voici un aperçu d'une nouvelle variante du logiciel malveillant XLoader pour macOS, qui se fait passer pour une application de bureautique. CTI se penche ensuite sur la dernière campagne du groupe Lazarus et sur la découverte d'une nouvelle menace baptisée CollectionRAT. Enfin, CTI explique comment les cybercriminels exploitent les promotions Facebook mettant en avant les grands modèles linguistiques (LLM) pour diffuser du code malveillant.
Une variante de XLoader pour macOS se fait passer pour une application de productivité
Sentinel One a découvert une variante du logiciel malveillant pour macOS « » XLoader (s'ouvre dans un nouvel onglet) en circulation. Cette campagne dissimule ses fonctionnalités malveillantes en se faisant passer pour une application de productivité bureautique appelée OfficeNote (s'ouvre dans un nouvel onglet) , tout en intégrant la variante XLoader au sein d'une image disque Apple standard.
Qu'est-ce que le logiciel malveillant XLoader ?
Le logiciel malveillant XLoader est une nouvelle version du logiciel malveillant Formbook. Il sert principalement à voler des informations, tant sous Windows que sous macOS.
XLoader a fait son apparition sur des forums clandestins consacrés à la cybercriminalité au début de l'année 2020, peu après la fermeture de Formbook par son auteur. La première variante pour macOS a été détectée en 2021 et se distinguait par le fait qu'elle était diffusée sous la forme d'un programme Java. Ce logiciel malveillant est commercialisé dans le cadre d'un contrat de type « malware-as-a-service » (MaaS), qui permet aux abonnés d'accéder au panneau d'administration et aux versions exécutables.
La nouvelle variante de macOS XLoader est écrite en natif dans les langages de programmation C et Objective-C. Elle est signée avec une signature de développeur Apple et se fait passer pour une application bureautique appelée OfficeNote.
Comment le logiciel malveillant XLoader est-il diffusé ?
La dernière variante de XLoader est intégrée à une image disque Apple standard nommée OfficeNote.dmg. Cette variante porte la signature de l'éditeur MAIT JAKHU et a été signée le 17 juillet 2023. Apple a depuis révoqué cette signature. Toutefois, les tests réalisés par SentinelOne indiquent que l'outil de blocage des logiciels malveillants d'Apple ne dispose pas de signature permettant d'empêcher l'exécution de ce logiciel malveillant.
Plusieurs échantillons de cette variante ont été détectés sur VirusTotal tout au long du mois de juillet, ce qui indique qu'elle est probablement en circulation. Des forums clandestins consacrés à la criminalité proposent cette nouvelle variante de macOS au prix de 199 dollars par mois ou de 299 dollars pour trois mois. Ce prix est relativement élevé par rapport à la version Windows de XLoader, dont le tarif est de 59 dollars par mois.
Dropper et persistance
Lorsque cette variante est exécutée, l'application OfficeNote est programmée pour afficher un message d'erreur indiquant à l'utilisateur que l'application ne peut pas être ouverte. En arrière-plan, le logiciel malveillant déploie sa charge utile et installe un agent de persistance. Ce message est codé en dur à l'aide d'une technique de chaîne de pile qui avait déjà été utilisée dans des variantes antérieures de XLoader.
La charge utile est placée dans le répertoire personnel de l'utilisateur sous le nom ~/73a470tO , puis exécutée. Il crée un répertoire masqué et une application minimale de base à l'intérieur de ce répertoire. Alors que le nom de la charge utile est codé en dur dans le dropper, le nom du répertoire caché, de l'application et du fichier exécutable est généré de manière aléatoire à chaque exécution. Un fichier LaunchAgent est également placé dans le dossier « Bibliothèque » de l'utilisateur afin que le fichier binaire puisse faire la distinction entre sa première exécution et les suivantes.
Comportement de la charge utile
Le logiciel malveillant XLoader tente de voler des informations confidentielles contenues dans le presse-papiers via les API Apple NSPasteboard et generalPasteboard. Il peut également cibler les navigateurs Firefox et Chrome afin de lire les fichiers contenant les identifiants de connexion. Aussi étrange que cela puisse paraître pour une variante de macOS, elle ne semble pas cibler le navigateur Safari.
Le logiciel malveillant utilisera de faux appels réseau pour dissimuler le véritable C2. SentinelOne a observé 169 résolutions de noms DNS et 203 requêtes HTTP, et a identifié quelques adresses IP suspectes issues de cette activité. Il tente d'échapper à l'analyse de plusieurs façons. Le dropper et la charge utile tenteront d'empêcher les débogueurs de se connecter à l'aide de Ptrace. Le logiciel malveillant exécutera également des commandes de mise en veille afin de retarder son activité.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La dernière variante de XLoader pour macOS cible clairement les utilisateurs évoluant dans un environnement professionnel, comme le montre le fait qu’elle se fait passer pour une application de bureautique. » Son prix élevé sur les forums clandestins de cybercriminels, par rapport à ses variantes Windows, indique également que ses développeurs estiment que cette variante suscitera un intérêt plus grand et offrira un meilleur retour sur investissement. Comme le souligne SentinelOne, « XLoader continue de menacer les utilisateurs de macOS et les entreprises ».
2. Le groupe nord-coréen Lazarus utilise un nouveau logiciel malveillant
Cisco Talos a récemment mené une enquête sur la dernière campagne du groupe Lazarus, « » (s'ouvre dans un nouvel onglet) , dans le cadre de laquelle le groupe a exploité une vulnérabilité de ManageEngine ServiceDesk pour déployer plusieurs menaces.
Leur enquête sur cette campagne — ainsi que sur la réutilisation de composants d'infrastructure — les a conduits à découvrir une nouvelle menace appelée CollectionRAT. Le groupe Lazarus modifie également sa stratégie et s'appuie de plus en plus sur des outils open source lors de la phase d'accès initial.
Réutilisation des infrastructures
L'acteur malveillant soutenu par l'État nord-coréen continue d'utiliser une grande partie de la même infrastructure dans ses campagnes récentes, bien que bon nombre de ces composants aient été répertoriés par les chercheurs au fil des ans.
Même si cela peut paraître étrange, cela met en évidence la confiance du groupe dans ses attaques. Cette dernière campagne nous rappelle à quel point ce groupe est actif.
Un arsenal en constante évolution
Le logiciel malveillant CollectionRAT, récemment découvert, intègre toute une série de fonctionnalités typiques d’un RAT, telles que la capacité d’exécuter des commandes arbitraires et de gérer les fichiers présents sur l’appareil.
L'implant exploite un fichier binaire Windows basé sur la bibliothèque MFC (Microsoft Foundation Class) pour déchiffrer et exécuter le logiciel malveillant. Le framework MFC est ici uniquement utilisé comme enveloppe et outil de déchiffrement pour le code malveillant proprement dit.
Le logiciel malveillant recueillera des informations sur le système afin d'identifier l'infection et les transmettra au serveur de commande et de contrôle (C2). Il recevra des commandes du serveur C2 afin d'effectuer diverses tâches. Il est capable de créer un shell inversé, de lire et d'écrire des fichiers sur le disque, et de lancer de nouveaux processus afin de télécharger et de déployer d'autres charges utiles. Il peut également se désinstaller de l'appareil lorsque le C2 lui en donne l'ordre.
CollectionRAT et son lien avec EarlyRAT
Cisco Talos a analysé les indicateurs de compromission (IOC) associés à CollectionRAT et a mis en évidence un lien avec EarlyRAT, un logiciel malveillant attribué au sous-groupe Andariel du groupe Lazarus.
CollectionRAT a été signé avec le même certificat que celui utilisé pour signer une ancienne version d'EarlyRAT provenant de 2021. Ces deux logiciels malveillants utilisaient le même certificat, doté du même numéro de série et de la même empreinte numérique. EarlyRAT est souvent déployé grâce à l'exploitation réussie de la vulnérabilité Log4j .
Utilisation d'outils open source lors de l'accès initial
Le groupe Lazarus semble modifier sa stratégie en s'appuyant de plus en plus sur des outils et des frameworks open source dès la phase d'accès initial de ses attaques, alors qu'auparavant il ne les utilisait qu'au cours de la phase post-compromission.
Ce groupe s'appuyait auparavant sur des implants sur mesure, tels que MagicRAT, pour établir un accès initial persistant sur une machine compromise. Ces implants personnalisés ont ensuite servi à déployer des outils open source. Cette campagne illustre un cas où l'auteur de la menace a utilisé le framework open source DeimosC2 pour obtenir un accès initial et persistant.
On constate également que le groupe Lazarus utilise l'outil de tunneling de shell inversé PuTTY Link (Plink). Par le passé, l'acteur malveillant utilisait Plink pour établir des tunnels à distance. Cependant, l'acteur malveillant a désormais commencé à générer des binaires Plink malveillants à partir du code source de l'outil afin d'y intégrer des chaînes de commande de tunnel inversé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le fait que le groupe Lazarus utilise de nouveaux logiciels malveillants dans ses attaques est quelque chose à quoi on pouvait presque s’attendre à ce stade, compte tenu du dynamisme et de l’agilité dont fait preuve ce groupe. »
« Dans le même ordre d'idées, l'acteur malveillant modifie ses tactiques afin d'exploiter des outils open source lors de la phase d'accès initial de ses attaques. » Par le passé, le groupe n'utilisait les outils open source que dans la phase postérieure à la compromission, ce qui marque une évolution manifeste. « La raison de cette évolution n'est pas claire, mais elle semble correspondre à l'évolution constante des acteurs malveillants et à une grande partie de ce que nous observons dans le paysage des menaces. »
3. Des cybercriminels exploitent les promotions Facebook pour diffuser du code malveillant
Une étude récente de Trend Micro explique comment des acteurs malveillants exploitent les promotions Facebook (s'ouvre dans un nouvel onglet) en utilisant des modèles de langage (LLM) pour diffuser du code malveillant, dans le but d'installer une extension de navigateur malveillante et de voler des identifiants. L'auteur de la menace utilise des services de raccourcissement d'URL pour rediriger les liens, Google Sites pour l'hébergement de sites web, ainsi que des services de stockage dans le cloud tels que Google Drive et Dropbox pour héberger des fichiers malveillants.
Les promotions Facebook comme vecteur de propagation
L'auteur de la menace utilise les promotions payantes de Facebook pour piéger ses victimes potentielles à l'aide de publicités présentant de faux profils d'agences de marketing. Ces faux profils comportent souvent des abonnés achetés ou générés par des robots, de faux avis publiés par d'autres profils piratés, ainsi qu'un historique en ligne limité. Ces publicités promettent d'améliorer la productivité, d'élargir la portée et d'augmenter le chiffre d'affaires, ou encore de faciliter l'enseignement — le tout grâce à l'intelligence artificielle. Dans certains cas, l'auteur de la menace a prétendu pouvoir donner accès à Meta AI.
Dès que l'utilisateur clique sur la publicité, il est redirigé vers un site web simple qui présente les avantages de l'utilisation du LLM. Le site comporte un lien permettant de télécharger le progiciel d'IA. Afin d'échapper à la détection par les solutions antivirus, l'auteur de la menace diffuse le paquet sous la forme d'une archive chiffrée protégée par des mots de passe simples tels que « 999 » ou « 888 ».
Analyse des colis
Une fois l'archive ouverte et déchiffrée à l'aide du mot de passe correct, elle contient un seul fichier d'installation MSI. Lorsque le programme d'installation est lancé, le processus d'installation va créer des fichiers appartenant à une extension Chrome. Il exécutera ensuite un script batch afin de fermer le navigateur actuellement ouvert et de le redémarrer avec une extension malveillante qui se fait passer pour Google Translate.
Analyse des extensions malveillantes
La logique principale de cette extension malveillante se trouve dans le script du « service worker » de l'extension. Une fois le code déchiffré, Trend Micro a pu analyser ses capacités de vol de données.
Le script tente tout d'abord de voler les cookies Facebook, en vérifiant la présence du cookie « c_user ». Il s'attaquera ensuite à l'extraction du jeton d'accès et l'utilisera pour demander des informations supplémentaires via GraphQL de Facebook. Grâce à ce jeton, le script peut interroger l'API GraphQL de Facebook afin de répertorier les pages gérées par le compte et d'obtenir des informations à leur sujet. Le pirate tentera également d'obtenir l'adresse IP de la victime. Les informations volées sont concaténées, encodées en URL, encodées selon la méthode base64 , puis exfiltrées vers un serveur C2 .
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne et cet acteur malveillant semblent cibler les responsables des réseaux sociaux d'entreprise, les administrateurs et les spécialistes du marketing, ce qui laisse supposer une attaque assez ciblée. »
« Meta a supprimé les pages et les publicités frauduleuses après que Trend Micro lui a signalé le problème, mais il s'agit souvent d'un jeu de « tape-la-taupe » qu'il est difficile d'éradiquer complètement. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
