La technique dite de « pastejacking » est de retour sur le devant de la scène cybercriminelle. Elle permet aux pirates informatiques de déployer un malware sophistiqué, « nommé Darkgate », de façon très sournoise. Décryptage de cette menace en pleine expansion.
Les équipes de cybersécurité de Vade ont récemment mis en lumière une technique d'attaque particulièrement pernicieuse, baptisée « pastejacking ». Utilisée pour déployer un malware qualifié comme avancé nommé Darkgate, elle piège les utilisateurs en les poussant à coller dans leur terminal des commandes malveillantes. Rencontré à Monaco, lors des Assises de la cybersécurité ce mois-ci, Romain Basset, directeur des services clients chez Vade, spécialiste de la sécurité des e-mails, nous en dit plus sur cette nouvelle menace et la façon dont elle se propage.
Le pastejacking, c'est quoi ?
La technique du Pastejacking consiste à tromper les utilisateurs pour qu'ils collent dans leur terminal, comprenez l'ordinateur, des instructions malveillantes, en leur faisant croire que cela résoudra un problème technique. « L'idée, c'est de flouer la personne en lui faisant coller, depuis son appareil, des commandes malveillantes, mais avec un emballage complètement différent », explique Romain Basset.
Souvent, les hackers usurpent l'identité d'un fournisseur ou d'un prestataire de services pour rendre l'attaque plus crédible. Ils envoient ainsi un e-mail à la victime, message qui contient une pièce jointe censée résoudre un problème, comme une facture impayée ou un document manquant. « Typiquement, une facture sera en pièce jointe, c'est un fichier HTML. Et quand on regarde à l'intérieur du fichier HTML, ça imite l'interface graphique, le look de OneDrive, l'interface de partage de fichiers de Microsoft, relativement correctement », détaille le spécialiste.
Une fois que la victime clique sur le lien ou ouvre le fichier, elle peut être confrontée à un message d'erreur qui prétend qu'il y a un problème de DNS ou de réseau. Elle est alors invitée à ouvrir une invite de commandes ou le PowerShell de Windows, pour taper une série d'instructions et ainsi y coller un bout de commande malveillant.
Ce code, caché dans le presse-papier, va alors télécharger et dézipper un fichier zip contenant le malware Darkgate, avant de l'exécuter. Une fois l'infection réalisée, le hacker peut potentiellement vendre ou partager l'accès à la machine compromise à d'autres groupes cybercriminels pour mener des activités malveillantes.
Darkgate, un malware sophistiqué et évolutif
Darkgate est une famille de logiciels malveillants sophistiqués, connus pour utiliser des techniques d'évasion avancées qui permettent d'éviter la détection par les solutions antivirus classiques. « Le malware est principalement de type loader, c'est-à-dire qu'il va aider à charger d'autres fonctions, d'autres programmes dedans, par exemple exécuter des instructions dans la mémoire, faire du keylogger (de l'enregistreur de frappe). Il sait faire plein de choses, malheureusement », nous décrit Romain Basset.
Pour exécuter ses différentes fonctionnalités, le malware utilise notamment un langage de script appelé AutoIt. Une fois installé, Darkgate peut être utilisé par les pirates pour mener diverses activités malveillantes, comme le vol d'informations ou l'accès à distance à la machine infectée.
Autre élément intéressant, les hackers derrière ces attaques font preuve d'une grande adaptabilité. « C'est le côté non itératif des campagnes. La campagne a un format, les hackers exploitent à fond ce format, c'est-à-dire à la fois les contenus visuels, les services, les marques qu'ils vont usurper, la victimologie, donc les pays qui vont cibler, et les moyens techniques derrière », détaille Romain Basset.
Et l'expert de Vade de poursuivre : « À partir du moment où ils se rendent compte que ce format, que cette campagne ne fonctionne plus, ils passent à quelque chose de complètement différent ».
12 octobre 2024 à 11h08
Des volumes importants et une géolocalisation fine
Selon les observations de Vade, ces attaques par pastejacking ont touché entre 400 000 et 500 000 e-mails malveillants. « Ce n'était vraiment pas des e-mails identiques, les pirates utilisent différents services, dont ils usurpent l'identité. Il y a une personnalisation par pays, clairement, aussi des variations autour des véhicules. C'est-à-dire qu'un coup, le cybercriminel utilise une page HTML avec un script en Javascript, un autre, il utilise une macro dans un fichier Word, ou un script dans un PDF », nous dit notre expert.
Mais la finalité reste la même, puisqu'on se retrouve alors pris au piège, toujours en train d'installer Darkgate en utilisant le fameux AutoIT. Les hackers font preuve de techniques d'évasion sophistiquées, comme le géoblocage IP, pour se prémunir contre la détection.
Dans le cadre d'une attaque qui imitait le France Connect finlandais, les hackers « autorisaient uniquement les IP localisées en Finlande à accéder à leur contenu. La plupart des éditeurs qui ne sont pas en Finlande et n'ont pas d'infrastructures sur place, vont essayer d'accéder au contenu mais ne vont pas y arriver. Donc ils ne vont pas pouvoir déterminer qu'il s'agit d'un contenu malveillant ». Voilà qui est assez redoutable.
Une menace à prendre au sérieux
Face à cette menace en constante évolution, Romain Basset appelle les entreprises à rester vigilantes. « On veut sensibiliser les entreprises par rapport à ces attaques, toujours et encore. »
Avec des techniques de plus en plus sophistiquées et des volumes importants, le pastejacking est une menace à ne pas sous-estimer. Les équipes de sécurité et les utilisateurs doivent donc redoubler de vigilance pour protéger leurs infrastructures et leurs données.
