Un groupe de cybercriminalit\u00e9 hispanophone nomm\u00e9 \u00c9quipe GXC<\/strong> il a \u00e9t\u00e9 observ\u00e9 en train de regrouper des kits de phishing avec des applications Android malveillantes, faisant passer les offres de malware en tant que service (MaaS) \u00e0 un niveau sup\u00e9rieur.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 singapourienne Group-IB, qui traque l’acteur de la cybercriminalit\u00e9 depuis janvier 2023, a d\u00e9crit la solution de crimeware comme une \u00ab plate-forme sophistiqu\u00e9e de phishing-as-a-service aliment\u00e9e par l’IA \u00bb capable de cibler les utilisateurs de plus de 36 banques espagnoles, organismes gouvernementaux et 30 institutions dans le monde. <\/p>\n Le kit de phishing co\u00fbte entre 150 et 900 dollars par mois, tandis que le pack comprenant le kit de phishing et le malware Android est disponible sur la base d’un abonnement pour environ 500 dollars par mois.<\/p>\n Les cibles de la campagne incluent les utilisateurs d’institutions financi\u00e8res espagnoles, ainsi que les services fiscaux et gouvernementaux, les entreprises de commerce \u00e9lectronique, les banques et les bourses de cryptomonnaies aux \u00c9tats-Unis, au Royaume-Uni, en Slovaquie et au Br\u00e9sil. Jusqu’\u00e0 288 domaines de phishing li\u00e9s \u00e0 cette activit\u00e9 ont \u00e9t\u00e9 identifi\u00e9s \u00e0 ce jour.<\/p>\n La gamme de services offerts comprend \u00e9galement la vente d’identifiants bancaires vol\u00e9s et des syst\u00e8mes de codage personnalis\u00e9 \u00e0 fa\u00e7on pour d’autres groupes de cybercriminels ciblant les entreprises bancaires, financi\u00e8res et de cryptomonnaie.<\/p>\n \u00ab Contrairement aux d\u00e9veloppeurs de phishing classiques, l’\u00e9quipe GXC a combin\u00e9 des kits de phishing avec un malware de vol d’OTP par SMS, faisant pivoter un sc\u00e9nario d’attaque de phishing classique dans une direction l\u00e9g\u00e8rement nouvelle \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Anton Ushakov et Martijn van den Berk. dit<\/a> dans un rapport de jeudi.<\/p>\n Ce qui est remarquable ici, c’est que les auteurs de la menace, au lieu d’utiliser directement une fausse page pour r\u00e9cup\u00e9rer les identifiants, encouragent les victimes \u00e0 t\u00e9l\u00e9charger une application bancaire bas\u00e9e sur Android pour \u00e9viter les attaques de phishing. Ces pages sont diffus\u00e9es via le smishing et d’autres m\u00e9thodes.<\/p>\n Une fois install\u00e9e, l’application demande des autorisations pour \u00eatre configur\u00e9e comme application SMS par d\u00e9faut, permettant ainsi d’intercepter les mots de passe \u00e0 usage unique et autres messages et de les exfiltrer vers un bot Telegram sous leur contr\u00f4le.<\/p>\n \u00ab Dans la derni\u00e8re \u00e9tape, l’application ouvre le site Web d’une v\u00e9ritable banque dans WebView, ce qui permet aux utilisateurs d’interagir avec lui normalement \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Ensuite, chaque fois que l’attaquant d\u00e9clenche l’invite OTP, le malware Android re\u00e7oit et transmet silencieusement des messages SMS avec des codes OTP au chat Telegram contr\u00f4l\u00e9 par l’acteur malveillant. \u00bb<\/p>\n Parmi les autres services annonc\u00e9s par l’acteur malveillant sur une cha\u00eene Telegram d\u00e9di\u00e9e figurent des outils d’appel vocal infus\u00e9s d’IA qui permettent \u00e0 ses clients de g\u00e9n\u00e9rer des appels vocaux vers des cibles potentielles en fonction d’une s\u00e9rie d’invites directement \u00e0 partir du kit de phishing.<\/p>\n Ces appels se font g\u00e9n\u00e9ralement passer pour provenir d\u2019une banque, leur demandant de fournir leurs codes d\u2019authentification \u00e0 deux facteurs (2FA), d\u2019installer des applications malveillantes ou d\u2019effectuer d\u2019autres actions arbitraires.<\/p>\n \u00ab L\u2019utilisation de ce m\u00e9canisme simple mais efficace rend le sc\u00e9nario d\u2019escroquerie encore plus convaincant pour leurs victimes et d\u00e9montre avec quelle rapidit\u00e9 et facilit\u00e9 les outils d\u2019IA sont adopt\u00e9s et mis en \u0153uvre par les criminels dans leurs stratag\u00e8mes, transformant les sc\u00e9narios de fraude traditionnels en de nouvelles tactiques plus sophistiqu\u00e9es \u00bb, ont soulign\u00e9 les chercheurs.<\/p>\n Dans un rapport r\u00e9cent, Mandiant, propri\u00e9t\u00e9 de Google, a r\u00e9v\u00e9l\u00e9 comment le clonage vocal aliment\u00e9 par l’IA a la capacit\u00e9 d’imiter la parole humaine avec une \u00ab pr\u00e9cision surnaturelle \u00bb, permettant ainsi des sch\u00e9mas de phishing (ou vishing) plus authentiques qui facilitent l’acc\u00e8s initial, l’escalade des privil\u00e8ges et le mouvement lat\u00e9ral.<\/p>\n \u00ab Les acteurs de la menace peuvent se faire passer pour des dirigeants, des coll\u00e8gues ou m\u00eame du personnel de support informatique pour inciter les victimes \u00e0 r\u00e9v\u00e9ler des informations confidentielles, \u00e0 accorder un acc\u00e8s \u00e0 distance aux syst\u00e8mes ou \u00e0 transf\u00e9rer des fonds \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces. dit<\/a>.<\/p>\n \u00ab La confiance inh\u00e9rente associ\u00e9e \u00e0 une voix famili\u00e8re peut \u00eatre exploit\u00e9e pour manipuler les victimes et les amener \u00e0 entreprendre des actions qu’elles ne feraient pas normalement, comme cliquer sur des liens malveillants, t\u00e9l\u00e9charger des logiciels malveillants ou divulguer des donn\u00e9es sensibles. \u00bb<\/p>\n Les kits de phishing, qui sont \u00e9galement dot\u00e9s de fonctionnalit\u00e9s d’adversaire du milieu (AiTM), sont devenus de plus en plus populaires car ils abaissent la barri\u00e8re technique \u00e0 l’entr\u00e9e pour mener des campagnes de phishing \u00e0 grande \u00e9chelle.<\/p>\n Le chercheur en s\u00e9curit\u00e9 M. D0X, dans un rapport<\/a> publi\u00e9 le mois dernier, il a d\u00e9clar\u00e9 qu’il est possible pour les mauvais acteurs de profiter des applications Web progressives (PWA) pour concevoir des pages de connexion convaincantes \u00e0 des fins de phishing en manipulant les \u00e9l\u00e9ments de l’interface utilisateur pour afficher une fausse barre d’URL.<\/p>\n De plus, ces kits de phishing AiTM peuvent \u00e9galement \u00eatre utilis\u00e9s pour p\u00e9n\u00e9trer dans des comptes prot\u00e9g\u00e9s par des cl\u00e9s d’acc\u00e8s sur diverses plateformes en ligne au moyen de ce qu’on appelle une attaque de r\u00e9daction de m\u00e9thode d’authentification, qui tire parti du fait que ces services offrent toujours une m\u00e9thode d’authentification moins s\u00e9curis\u00e9e comme m\u00e9canisme de secours m\u00eame lorsque des cl\u00e9s d’acc\u00e8s ont \u00e9t\u00e9 configur\u00e9es.<\/p>\n \u00ab \u00c9tant donn\u00e9 que l’AitM peut manipuler la vue pr\u00e9sent\u00e9e \u00e0 l’utilisateur en modifiant le code HTML, le CSS et les images ou le JavaScript dans la page de connexion, au fur et \u00e0 mesure qu’elle est transmise \u00e0 l’utilisateur final, il peut contr\u00f4ler le flux d’authentification et supprimer toutes les r\u00e9f\u00e9rences \u00e0 l’authentification par cl\u00e9 d’acc\u00e8s \u00bb, explique la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 eSentire dit<\/a>.<\/p>\n Cette r\u00e9v\u00e9lation intervient dans un contexte de recrudescence r\u00e9cente des campagnes de phishing int\u00e9grant des URL d\u00e9j\u00e0 cod\u00e9es \u00e0 l’aide d’outils de s\u00e9curit\u00e9 tels que les passerelles de messagerie s\u00e9curis\u00e9es (SEG) dans le but de masquer les liens de phishing et d’\u00e9chapper \u00e0 l’analyse, selon R\u00e9seaux Barracuda<\/a> et Cofense<\/a>.<\/p>\n Des attaques d’ing\u00e9nierie sociale ont \u00e9galement \u00e9t\u00e9 observ\u00e9es, recourant \u00e0 des m\u00e9thodes inhabituelles dans lesquelles les utilisateurs sont incit\u00e9s \u00e0 visiter des sites Web apparemment l\u00e9gitimes et sont ensuite invit\u00e9s \u00e0 copier, coller et ex\u00e9cuter manuellement du code obscurci dans un terminal PowerShell sous pr\u00e9texte de r\u00e9soudre des probl\u00e8mes d’affichage de contenu dans un navigateur Web.<\/p>\n Les d\u00e9tails de la m\u00e9thode de diffusion du malware ont d\u00e9j\u00e0 \u00e9t\u00e9 document\u00e9s par ReliaQuest et Proofpoint. McAfee Labs suit l’activit\u00e9 sous le nom ClickFix.<\/p>\n \u00ab En int\u00e9grant des scripts cod\u00e9s en Base64 dans des messages d’erreur apparemment l\u00e9gitimes, les attaquants trompent les utilisateurs en les incitant \u00e0 effectuer une s\u00e9rie d’actions qui aboutissent \u00e0 l’ex\u00e9cution de commandes PowerShell malveillantes \u00bb, expliquent les chercheurs Yashvi Shah et Vignesh Dhatchanamoorthy. dit<\/a>.<\/p>\n \u00ab Ces commandes t\u00e9l\u00e9chargent et ex\u00e9cutent g\u00e9n\u00e9ralement des charges utiles, telles que des fichiers HTA, \u00e0 partir de serveurs distants, d\u00e9ployant ensuite des logiciels malveillants tels que Porte sombre<\/a> et Lumma Stealer. “<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Ce-service-de-cybercriminalite-base-sur-lIA-regroupe-des-kits.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n