Un acteur mena\u00e7ant bas\u00e9 en Afrique du Sud, connu sous le nom d’Automated Libra, a \u00e9t\u00e9 observ\u00e9 en train d’utiliser des techniques de contournement CAPTCHA pour cr\u00e9er des comptes GitHub de mani\u00e8re programmatique dans le cadre d’une campagne de freejacking baptis\u00e9e PURPLEURCHIN.<\/p>\n
Le groupe “cible principalement les plates-formes cloud offrant des essais \u00e0 dur\u00e9e limit\u00e9e de ressources cloud afin d’effectuer leurs op\u00e9rations de crypto-minage”, William Gamazo et Nathaniel Quist, chercheurs de l’unit\u00e9 42 de Palo Alto Networks. m’a dit<\/a>.<\/p>\n PURPLEURCHIN a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en octobre 2022 lorsque Sysdig a r\u00e9v\u00e9l\u00e9 que l’adversaire avait cr\u00e9\u00e9 jusqu’\u00e0 30 comptes GitHub, 2 000 comptes Heroku et 900 comptes Buddy pour faire \u00e9voluer ses op\u00e9rations.<\/p>\n Selon Unit 42, le groupe d’acteurs de la menace cloud a cr\u00e9\u00e9 trois \u00e0 cinq comptes GitHub chaque minute au plus fort de son activit\u00e9 en novembre 2022, cr\u00e9ant au total plus de 130 000 faux comptes sur Heroku, Togglebox et GitHub.<\/p>\n On estime que plus de 22 000 comptes GitHub ont \u00e9t\u00e9 cr\u00e9\u00e9s entre septembre et novembre 2022, trois en septembre, 1 652 en octobre et 20 725 en novembre. Un total de 100 723 comptes Heroku uniques ont \u00e9galement \u00e9t\u00e9 identifi\u00e9s.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9galement qualifi\u00e9 l’abus des ressources cloud de tactique “play and run” con\u00e7ue pour \u00e9viter de payer la facture du fournisseur de la plate-forme en utilisant des cartes de cr\u00e9dit falsifi\u00e9es ou vol\u00e9es pour cr\u00e9er des comptes premium.<\/p>\n Son analyse de 250 Go de donn\u00e9es place le premier signe de la campagne de cryptographie il y a au moins pr\u00e8s de 3,5 ans en ao\u00fbt 2019, identifiant l’utilisation de plus de 40 portefeuilles et de sept crypto-monnaies diff\u00e9rentes.<\/p>\n L’id\u00e9e centrale qui sous-tend PURPLEURCHIN est l’exploitation des ressources informatiques allou\u00e9es aux comptes gratuits et premium sur les services cloud afin de r\u00e9colter des profits mon\u00e9taires \u00e0 grande \u00e9chelle avant de perdre l’acc\u00e8s pour non-paiement des cotisations.<\/p>\n En plus d’automatiser le processus de cr\u00e9ation de compte en tirant parti d’outils l\u00e9gitimes tels que xdotool<\/a> et ImageMagick<\/a>il a \u00e9galement \u00e9t\u00e9 constat\u00e9 que l’acteur mena\u00e7ant profitait de la faiblesse de la v\u00e9rification CAPTCHA sur GitHub pour poursuivre ses objectifs illicites.<\/p>\n Ceci est accompli en utilisant ImageMagick’s commande de conversion<\/a> pour transformer les images CAPTCHA en leurs compl\u00e9ments RVB, puis en utilisant le identifier la commande<\/a> pour extraire l’asym\u00e9trie Circuit Rouge<\/a> et s\u00e9lection de la plus petite valeur.<\/p>\n Une fois la cr\u00e9ation du compte r\u00e9ussie, Automated Libra proc\u00e8de \u00e0 la cr\u00e9ation d’un r\u00e9f\u00e9rentiel GitHub et d\u00e9ploie des workflows<\/a> qui permettent de lancer des scripts Bash externes et des conteneurs pour initier les fonctions de crypto mining.<\/p>\n Les r\u00e9sultats illustrent comment la campagne de freejacking peut \u00eatre militaris\u00e9e pour maximiser les retours en augmentant le nombre de comptes pouvant \u00eatre cr\u00e9\u00e9s par minute sur ces plateformes.<\/p>\n “Il est important de noter qu’Automated Libra con\u00e7oit son infrastructure pour tirer le meilleur parti des outils CD\/CI”, ont conclu les chercheurs.<\/p>\n “Cela devient plus facile \u00e0 r\u00e9aliser au fil du temps, car les VSP traditionnels diversifient leurs portefeuilles de services pour inclure des services li\u00e9s au cloud. La disponibilit\u00e9 de ces services li\u00e9s au cloud facilite la t\u00e2che des acteurs de la menace, car ils n’ont pas \u00e0 maintenir l’infrastructure pour d\u00e9ployer leurs applications.”<\/p>\n <\/p>\n![\"Campagne](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEi6Uq9y0IMrPZAsY0owUOWekC1Qa2BHbEaj0VmvUP87M_7Nm2sGcdZ2x-lbsqp7gcYr7yKzufg3bviFwijjOHIVgVirpUYQKktMZTLE9iDTMZnMpnTY36KkZZy1xCd4XyJ2lbKAsYMZpd-sP2XsgwNCwTRb1IC1Y3lR44RcqdN0OLJXqSuv7bOQSV4I\/s728-rj-e3650\/captcha.png\" "\\"Campagne")
<\/div>\n![\"Campagne](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673034744_124_Hackers-utilisant-des-tactiques-de-contournement-CAPTCHA-dans-une-campagne.png\" "\\"Campagne")
<\/div>\n