Indian Users Targeted in Tax Phishing Campaign Delivering Blackmoon Malware

Campagne de Phishing Fiscale Ciblant les Utilisateurs Indiens avec le Malware Blackmoon

Une campagne de cybersécurité active cible les utilisateurs indiens, les incitant à télécharger une charge utile malveillante via des courriels de phishing se faisant passer pour le Département des impôts indien. L’objectif est de déployer une variante du cheval de Troie bancaire Blackmoon et un outil de gestion de la sécurité d’entreprise légitime appelé SyncFuture TSM. Cette combinaison permet aux attaquants d’établir une persistance résiliente sur les machines compromises pour une surveillance continue et l’exfiltration de données.

Points Clés :

• Ciblage Géographique : Principalement les utilisateurs indiens.
• Méthode d’Attaque : Emails de phishing déguisés en communications du Département des impôts.
• Charge Utile : Le malware Blackmoon et l’outil SyncFuture TSM.
• Objectif : Espionnage cybernétique, surveillance, exfiltration de données.
• Techniques Utilisées : Sideloading de DLL, contournement de l’UAC, usurpation de processus, évasion des antivirus, réutilisation d’outils légitimes.

Vulnérabilités et Exploits :

• Bien que l’article ne mentionne pas de CVE spécifiques pour les vulnérabilités exploitées dans ce scénario, les techniques décrites impliquent l’exploitation de :
  • Vulnérabilités liées à la confiance des utilisateurs : Incitation à télécharger des pièces jointes malveillantes via des emails de phishing convaincants.
  • Techniques de contournement des contrôles de sécurité : Escalade des privilèges via une technique basée sur COM pour contourner l’UAC, et modification du PEB pour masquer le processus.
  • Évasion des antivirus : Utilisation de simulations de souris pour ajouter des fichiers malveillants aux listes d’exclusion d’Avast Antivirus.
  • Sideloading de DLL : Exploitation de la confiance dans les fichiers exécutables légitimes pour charger des bibliothèques de liens dynamiques malveillantes.

Recommandations :

• Sensibilisation à la sécurité : Former les utilisateurs à reconnaître et signaler les tentatives de phishing, en particulier celles liées à des communications fiscales ou financières.
• Vérification des sources : Toujours vérifier l’authenticité des emails et des expéditeurs avant de cliquer sur des liens ou de télécharger des pièces jointes.
• Solutions de sécurité à jour : Maintenir les logiciels antivirus et les systèmes d’exploitation à jour pour bénéficier des derniers correctifs de sécurité.
• Gestion des privilèges : Appliquer le principe du moindre privilège pour limiter les permissions des utilisateurs et des applications.
• Surveillance des activités suspectes : Mettre en place des systèmes de surveillance pour détecter les comportements anormaux sur le réseau et les terminaux.
• Analyse des outils : Examiner attentivement les outils tiers et les logiciels légitimes déployés dans l’environnement, car ils peuvent être réutilisés à des fins malveillantes.

Source