Un cheval de Troie d’accès à distance bien établi s’introduit à nouveau dans les ordinateurs d’entreprise par le biais de fausses procédures devant un tribunal fédéral.
Les chercheurs de ThreatDown signalent qu’une campagne d’hameçonnage utilisant de fausses notifications juridiques et un site web contrefait de tribunal cible plus de 100 000 entreprises avec LodaRAT. Leur rapport du 21 octobre décrit la portée potentielle de la campagne, et non un nombre confirmé d’infections. Le leurre usurpe l’identité du tribunal fédéral du district sud de la Floride.
Une fois exécuté, LodaRAT peut voler les identifiants de navigateur et les cookies de session, enregistrer l’activité de l’utilisateur, capturer l’audio et la vidéo et prendre le contrôle à distance d’une machine Windows infectée.
La campagne montre comment les attaquants peuvent continuer à compromettre des utilisateurs avec des logiciels malveillants bien connus en personnalisant l’ingénierie socialequi l’accompagne, plutôt que de s’appuyer sur un nouvel exploit ou une vulnérabilité inconnue jusque-là.
Un malware, de nombreuses raisons d’en être victime
Les attaquants ont associé une famille de logiciels malveillants bien établie à un leurre juridique personnalisé, conçu pour rendre des téléchargements malveillants légitimes en apparence.
Selon ThreatDown, l’attaque, comme plusieurs autres, commence par un e-mail d’hameçonnage. Celui-ci usurpait l’identité du tribunal fédéral du district sud de la Floride.
Envoyé depuis Resolution@courtadr[.]com avec pour objet un intitulé commençant par « Court-Ordered ADR Notice » et incluant les informations de la cible ainsi que son identifiant ADR, le message imite une correspondance officielle du tribunal, avec notamment une référence d’affaire formatée pour ressembler à l’identifiant d’une affaire civile. La notification mentionne l’entreprise du destinataire dans le cadre d’une prétendue procédure de règlement extrajudiciaire des litiges (ADR) et le redirige vers un site web pour plus de détails.
Plutôt que de s’appuyer sur une formule d’appel générique et une menace vague, les attaquants attribuent à chaque cible un faux identifiant d’affaire, qu’ils utilisent à la fois dans l’objet et dans les liens du message.
La personnalisation se poursuit après le clic. Le site florida[.]courtadr[.]com ressemble à un portail officiel lié à la justice et affiche les informations de l’entreprise exactement comme elles apparaissaient dans l’e-mail d’hameçonnage.
Ils ne se sont pas arrêtés là. Le faux site propose également plusieurs pages liées au tribunal et une fonction de recherche permettant aux visiteurs de rechercher de fausses affaires à l’aide de leur identifiant ADR.
Ces fonctionnalités offrent à la victime davantage qu’un e-mail convaincant ; elles créent tout un environnement dans lequel l’affaire présumée semble exister.
Vient ensuite le téléchargement. Cliquer sur « Download Your Case File » fournit une archive ZIP protégée par mot de passe, nommée d’après la référence ADR du destinataire.
À l’intérieur se trouve une image disque ISO intitulée « Alternative Dispute Resolution A », qui s’ouvre sur trois fichiers : un fichier console .msc, un script batch .bat et un raccourci Windows .lnk. Chacun est présenté sous un nom associé à des procédures judiciaires, mais chacun offre une voie différente vers le même résultat.
Chaque fichier permet de télécharger et d’exécuter LodaRAT par l’intermédiaire de composants Windows légitimes. La méthode .msc nécessite un clic supplémentaire dans la fenêtre de la console.
Impact de la menace
Les chercheurs indiquent que la campagne a ciblé plus de 100 000 entreprises, même si ce chiffre correspond aux entreprises ciblées et non aux infections confirmées par la charge utile.
La charge utile cible Windows. ThreatDown indique que le site d’hameçonnage ne diffuse le contenu prévu qu’aux visiteurs dont le navigateur s’identifie comme Microsoft Edge ; ce filtrage est indépendant des capacités du malware.
Une fois installé, le cheval de Troie peut voler les identifiants de navigateur et les cookies de session, enregistrer les frappes au clavier, capturer des captures d’écran, enregistrer de l’audio, accéder aux webcams et exécuter des commandes à distance. Il peut également assurer sa persistance, tenter d’affaiblir Windows Defender et créer des voies d’accès supplémentaires aux systèmes compromis.
Mesures possibles pour les défenseurs et les entreprises
Le tribunal du district sud de la Floride est au courant de la campagne et a averti le public par le biais de son avis officiel sur l’hameçonnage et les e-mails judiciaires frauduleux. Toute personne recevant une notification inattendue, qu’elle soit juridique ou non, doit la vérifier à l’aide de coordonnées obtenues indépendamment, plutôt qu’en utilisant les liens ou numéros de téléphone figurant dans le message.
Pour les entreprises, le problème concret est qu’une notification juridique personnalisée peut parvenir à des employés qui ne sont pas en mesure d’évaluer les fichiers joints. Les organisations devraient mettre en place une procédure claire pour transférer toute correspondance judiciaire inattendue aux équipes juridiques et de sécurité, en procédant à la vérification au moyen de coordonnées du tribunal obtenues indépendamment. Les employés ne devraient pas avoir à télécharger un prétendu dossier d’affaire pour déterminer si une notification est authentique.
Les équipes de sécurité devraient également examiner la façon dont leurs contrôles de messagerie et de terminaux traitent les archives protégées par mot de passe, les images disque, les scripts et les raccourcis reçus de sources externes. Lorsque ces types de fichiers répondent à un besoin professionnel légitime, les équipes devraient vérifier que les contrôles d’inspection et d’exécution couvrent l’intégralité de la chaîne de téléchargement. Un nom de fichier familier ou un site web convaincant ne doit pas être considéré comme la preuve qu’un fichier est sûr.
Les indicateurs du rapport de ThreatDown fournissent un point de départ pour vérifier les journaux disponibles de messagerie, DNS, proxy et terminaux. Les équipes doivent examiner les correspondances dans leur contexte et analyser l’activité des processus associés, plutôt que de considérer l’absence d’un indicateur connu comme la preuve qu’un appareil est sain. La surveillance comportementale peut aider à repérer les activités suspectes lorsque les attaquants changent de domaine ou renomment des fichiers.
Si un employé a déjà ouvert un fichier suspect, la réponse doit aller au-delà de la simple suppression du téléchargement. Les équipes de sécurité doivent vérifier la persistance et les accès non autorisés sur l’appareil, rechercher un éventuel vol d’identifiants ou de sessions et suivre leurs procédures de réponse aux incidents pour le confinement et la reprise. La sensibilisation doit encourager un signalement rapide afin que les employés remontent une éventuelle erreur pendant que les intervenants peuvent encore en limiter les conséquences.
En savoir plus : les fausses notifications juridiques constituent une voie vers l’accès non autorisé ; découvrez comment une autre campagne d’hameçonnage utilise des documents liés à l’entreprise pour installer des outils de gestion à distance et ce que les défenseurs peuvent surveiller.