WatchGuard a révélé une nouvelle enquête de son Threat Lab sur une campagne active combinant ClickFix et EtherHiding pour distribuer NightshadeC2/CastleRAT, un troyano d’accès à distance associé à l’opérateur russe de Malware-as-a-Service TAG-150 et utilisé pour distribuer des logiciels malveillants.
L’analyse, réalisée par Euler Neto, enquêteur de l’entreprise, mène une campagne particulièrement sélective à partir du point de vue géographique. Les attaques sont dirigées par les utilisateurs de Windows des États-Unis, du Canada, du Royaume-Uni, de l’Irlande, de l’Australie et de Nouvelle-Zélande et combinent des techniques d’ingénierie sociale avec l’utilisation de services et de technologies légitimes pour occulter les différentes phases d’attaque et rendre difficile la détection des logiciels malveillants.
L’enquête reflète une tendance particulièrement pertinente : les cyberdélinquants sont intégrés à chaque fois plus dans votre activité au sein des infrastructures web, cloud et blockchain d’utilisation habituelle, ce qui peut rendre difficile l’identification des comportements malveillants lorsque chaque élément est observé sous forme d’authentification et que les logiciels malveillants sont distribués. través de services apparemment légitimes.
Fausses vérifications pour engager l’utilisateur
L’attaque commence sur des sites Web WordPress auparavant compromis. Les cyberdélinquants introduits dans ceux-ci contiennent des éléments malveillants qui doivent être faussement vérifiés pour convenir à l’utilisateur qui exécute une commande sur son propre équipement. Cette technique, connue comme ClickFix, est basée précisément sur la création de la victime qui doit réaliser une action déterminée pour résoudre un problème ou compléter une vérification légitime. Dans ce cas, l’objectif est d’exécuter une commande PowerShell qui permet d’avancer dans l’infection et de télécharger le malware.
De plus, WatchGuard a compromis que le contenu malveillant ne soit pas montré de manière indiscriminée. La campagne utilise l’emplacement de l’utilisateur pour sélectionner ses objectifs et charger le contenu uniquement lorsqu’il détecte les connexions précédentes de ses pays de langue anglaise identifiés dans l’enquête.
Blockchain et services cloud pour occulter l’activité
La campagne combinant ClickFix avec EtherHiding, une technique qui permet aux utilisateurs d’utiliser l’infrastructure blockchain comme partie du processus de distribution des logiciels malveillants.
Concrètement, répétez les contrats intelligents d’Ethereum Sepolia pour récupérer les informations cifrada nécessaires pour continuer l’attaque. À partir d’ici, la chaîne d’infections utilise également des services comme Cloudflare R2, ainsi que des technologies comme PowerShell et Python.
Par ailleurs, WatchGuard a identifié des changements successifs dans la campagne destinés à modifier la forme en distribuant le contenu malveillant et en rendant difficile sa détection.
L’un des éléments les plus significatifs de l’analyse est précisément la combinaison de nombreux services légitimes dans une même opération. Outre WordPress, Ethereum et Cloudflare, les enquêteurs ont observé l’utilisation de la communauté Steam lors d’une étape ultérieure pour obtenir des informations relatives à l’infrastructure de contrôle des logiciels malveillants.
Le malware peut enregistrer les impulsions du clavier, accéder au contenu du portable, réaliser des captures d’écran ou sauvegarder des sessions du navigateur.
De cette manière, les acteurs maîtrisent leur activité avec des plates-formes et des technologies largement utilisées pour faire en sorte que les différentes parties de la chaîne puissent être légitimes pour se séparer.
Un troyano avec des capacités de surveillance étendues
L’objectif final de la campagne est d’installer NightshadeC2/CastleRAT, un troyano d’accès à distance qui fournit aux utilisateurs de nombreuses capacités pour surveiller l’équipement compromis et obtenir des informations. Le malware peut enregistrer les impulsions du clavier, accéder au contenu du portable, réaliser des captures d’écran, sécuriser les sessions du navigateur, voler les informations d’identification et permettre l’accès à distance à l’appareil.
Vous pouvez également diriger les informations stockées sur les navigateurs, les gestionnaires de comptes, les monnaies de cryptomonnaie et les extensions d’authentification.
L’enquête a également identifié un mécanisme permettant de comprendre le langage configuré dans le système et d’éviter que les phases déterminées par les logiciels malveillants continuent d’être exécutées par des équipes associées à divers pays de la Communauté des États indépendants (CEI).
La campagne qui manifeste les acteurs de lutte consiste à combiner la sélection géographique des victimes, l’ingénierie sociale et les infrastructures numériques légitimes pour construire des chaînes d’attaque les plus difficiles à reconnaître et à suivre.
