Des pirates informatiques iraniens déchaînent un nouveau malware « Tickler » dans des attaques ciblées contre des infrastructures critiques aux États-Unis et aux Émirats arabes unis

Le groupe de hackers Peach Sandstorm, soutenu par l'État iranien, a été observé en train de déployer un nouveau malware sophistiqué appelé « Tickler ». Ce groupe, également traqué sous divers noms tels que APT33, Elfin, Holmium, Magnallium et Refined Kitten, a intensifié ses opérations de cyberespionnage, ciblant des infrastructures critiques aux États-Unis et aux Émirats arabes unis (EAU).

La menace évolutive de Peach Sandstorm

Connu pour ses cyberattaques incessantes, Peach Sandstorm est une véritable épine dans le pied de la sécurité mondiale, en particulier dans les secteurs vitaux pour la défense nationale et la stabilité économique. Fin 2023, Microsoft a identifié une recrudescence des activités de ce groupe, ciblant spécifiquement les employés de l'industrie de la défense américaine. Cette escalade marque un changement important, car le groupe exploite la nouvelle porte dérobée Tickler dans ses opérations.

La fonctionnalité de Tickler : une porte dérobée à plusieurs étapes

Tickler n'est pas un malware ordinaire : c'est une porte dérobée personnalisée à plusieurs étapes conçue pour être polyvalente. Une fois qu'il s'infiltre dans un système, Tickler permet aux attaquants de télécharger des charges utiles malveillantes supplémentaires, étendant ainsi leur contrôle sur le réseau compromis. Les capacités de ce malware sont étendues : il peut collecter des informations système, exécuter des commandes arbitraires, supprimer des fichiers et gérer les transferts de fichiers entre le système de la victime et le serveur de commande et de contrôle (C&C) de l'attaquant.

Cibles dans la ligne de mire : satellites, communications et plus encore

Les principales cibles de la dernière campagne de Peach Sandstorm sont des organisations qui sont des piliers des infrastructures modernes : les systèmes de communication par satellite, les agences gouvernementales et les sociétés pétrolières et gazières aux États-Unis et aux Émirats arabes unis. Ces secteurs sont non seulement essentiels au fonctionnement quotidien de ces pays, mais revêtent également une importance stratégique immense, ce qui en fait des cibles de choix pour la collecte de renseignements et les perturbations potentielles.

Tactiques d'ingénierie sociale et de diffusion de mots de passe

En plus de déployer le malware Tickler, Peach Sandstorm a continué à exploiter les techniques d’ingénierie sociale via des plateformes comme LinkedIn. En ciblant les professionnels des secteurs sensibles, ils cherchent à obtenir l’accès à des informations privilégiées. De plus, le groupe a été observé en train de mener des attaques par pulvérisation de mots de passe, une méthode par laquelle les attaquants utilisent des mots de passe communs à de nombreux comptes pour obtenir un accès non autorisé. Ces attaques ont notamment visé des organisations des secteurs de la défense, de l’espace, de l’éducation et du gouvernement aux États-Unis et en Australie.

Exploiter l'infrastructure Azure pour le commandement et le contrôle

Dans un revirement sophistiqué, Peach Sandstorm a utilisé l'infrastructure Azure, en particulier des abonnements frauduleux contrôlés par les attaquants, pour ses opérations de commande et de contrôle. Cette tactique leur fournit non seulement une infrastructure fiable, mais rend également plus difficile le suivi et l'arrêt de leurs activités, car elles sont cachées dans des services cloud légitimes.

Un contexte plus large des cybermenaces

La publication du rapport de Microsoft sur les activités de Peach Sandstorm a coïncidé avec d’autres révélations importantes en matière de cybersécurité. Le même jour, Mandiant, filiale de Google Cloud, a publié un rapport sur une opération de contre-espionnage iranienne, et le gouvernement américain a émis un avis mettant en évidence la collaboration entre des acteurs parrainés par l’État iranien et des groupes de ransomware. Cette synchronisation des rapports souligne la nature plus vaste et coordonnée des cybermenaces émanant de l’Iran.

Protéger les infrastructures critiques : la voie à suivre

Alors que Peach Sandstorm et d’autres acteurs de la menace parrainés par des États continuent de faire évoluer leurs tactiques, il est essentiel pour les organisations, en particulier celles des secteurs critiques, de renforcer leurs mesures de cybersécurité. Cela comprend la mise en œuvre de politiques de mots de passe robustes, l’amélioration de la surveillance des services basés sur le cloud et la sensibilisation des employés aux risques de l’ingénierie sociale.

La bataille contre les cybermenaces est loin d’être terminée, et avec des outils sophistiqués comme Tickler en jeu, la vigilance et les stratégies de défense proactives sont plus importantes que jamais.