Dans un contexte d’évolution rapide et continue des menaces cyber, ce rapport analyse des cyberattaques afin d’aider les organisations à connaitre et identifier les dernières techniques utilisées par les hackers. Sur la base des données recueillies auprès de millions d’équipements intégrant la suite HP Wolf Security, les chercheurs ont fait les constats suivants :
• La recrudescence des kits de malwares : les experts en cybersécurité de HP ont analysé des campagnes importantes de diffusion de malwares, comme VIP Keylogger et 0bj3ctivityStealer, qui reposent sur les mêmes techniques et des « loaders » similaires pour envoyer différents payloads, ce qui suggère l’usage de malwares-as-a-service. Dans ces deux cas, les hackers dissimulaient le même code malveillant dans des images hébergées sur des sites comme archive.org, tout en utilisant le même loader pour déployer le payload final. Ces techniques permettent de contourner les systèmes de détection, comme les proxys web, les fichiers image semblant inoffensifs lorsqu’ils sont téléchargés depuis des sites réputés comme fiables.
• L’usage de l’IA générative pour créer des documents HTML malveillants : les chercheurs ont également identifié une campagne impliquant le cheval de Troie d’accès à distance (RAT) XWorm, déclenchée par une technique de "HTML smuggling". Une fois entré dans le terminal, il permet d’exécuter un code malveillant conçu pour télécharger et exécuter le malware. A l’image d’une campagne AsyncRAT analysée dans le Threat Insight report du deuxième trimestre 2024, le loader présentait des caractéristiques indiquant qu’il aurait pu être créé à l’aide d’une IA générative, (comme des descriptions ligne par ligne de la création de la page HTML…).
• Les tricheurs ne seront plus jamais tranquilles : les attaquants compromettent aussi des outils de triche et les cracks de jeux vidéo hébergés sur GitHub, y ajoutant des fichiers exécutables contenant le malware Lumma Stealer. Cet "infostealer" collecte les mots de passe, portefeuilles de cryptomonnaies et données de navigation des victimes. Les utilisateurs désactivent souvent leurs outils de sécurité pour télécharger et utiliser ces cheats , augmentant ainsi leur vulnérabilité aux infections en l’absence de technologies d’isolation.
Alex Holland, Principal Threat Researcher au sein du HP Security Lab, explique : "Les campagnes analysées sont une preuve supplémentaire de la démocratisation de la cybercriminalité. Comme les “malwares-as-a-service” sont de plus en plus disponibles, abordables et faciles à utiliser, même les novices peuvent mettre en place une chaîne d’infection efficace. Avec l’utilisation de l’IA générative pour concevoir les scripts, cela devient encore plus accessible. Les groupes peuvent ainsi focaliser leurs efforts sur l’élaboration et sur le choix du payload le plus adapté, par exemple en ciblant les joueurs avec des logiciels de triche infectés".
En isolant les menaces qui ont échappé aux outils de détection traditionnels, tout en permettant aux malwares de s’exécuter dans un environnement encadré et sécurisé, HP Wolf Security a une vision précise des dernières techniques utilisées par les hackers. À ce jour, les clients de HP Wolf Security ont cliqué sur plus de 65 milliards de pièces jointes, de pages web et de fichiers téléchargés sans qu’aucune infection n’ait été signalée.
Le rapport, qui examine les données du troisième trimestre 2024, montre que les cybercriminels continuent de diversifier leurs méthodes d’attaque pour contourner les politiques de sécurité et les outils de détection :
• Au moins 11 % des menaces par courrier électronique identifiées par HP Sure Click ont contourné une ou plusieurs passerelles de messagerie.
• Les fichiers exécutables représentent le type de diffusion de logiciels malveillants le plus courant (40 %), suivis par les fichiers archivés (34 %).
• Une augmentation notable des fichiers .lzh a été observée. Ils représentent 11 % des fichiers archives analysés. La plupart de ces fichiers malveillants cible des utilisateurs japonais.
Ian Pratt, Global Head of Security for Personal Systems chez HP, ajoute : "Les cybercriminels améliorent rapidement la variété, le volume et la vitesse de leurs attaques. Si un document Excel malveillant est bloqué, un fichier archive peut être utilisé lors de l’attaque suivante et peut passer entre les mailles du filet. Plutôt que d’essayer de détecter des méthodes d’infection en constante évolution, il s’agit pour les organisations des se concentrer sur la réduction de leur surface d’attaque. Cela implique d’isoler et de contenir les activités à risque, telles que l’ouverture des pièces jointes aux e-mails, le clic sur des liens ou les téléchargements via navigateur, afin de minimiser les risques de brèche."
HP Wolf Security exécute les tâches risquées telles que l’ouverture de pièces jointes ou de fichiers téléchargés et le clic sur des liens dans des micromachines virtuelles (micro-VM) isolées pour protéger les utilisateurs. Il enregistre également des informations détaillées sur les tentatives de piratage. La technologie d’isolation des applications de HP limite les menaces qui pourraient échapper à d’autres outils de sécurité. Elle fournit de surcroît de précieuses informations sur les nouvelles techniques d’intrusion et sur le comportement des cybercriminels.
À propos des données
Ces données ont été recueillies auprès de clients consentants de HP Wolf Security entre juillet et septembre 2024.
