Grâce à sa base de données provenant de millions de terminaux utilisant HP Wolf Security, les experts en cybersécurité HP ont pu identifier les principales opérations menées.
L’utilisation des redirections ouvertes pour piéger les utilisateurs
Dans le cadre de la campagne WikiLoader, les cyberattaquants ont exploité des vulnérabilités de redirection ouvertes au sein de sites web afin de contourner la détection. Les utilisateurs étaient dirigés vers des sites dignes de confiance, souvent grâce à des vulnérabilités de redirection ouvertes dans les encarts publicitaires. Ils étaient ensuite redirigés vers des sites malveillants, sur lesquels il était pratiquement impossible pour les utilisateurs de détecter la menace.

Living-off-the-BITS
Plusieurs campagnes ont abusé du service de transfert intelligent en arrière-plan de Windows (BITS), un mécanisme légitime utilisé par les programmeurs et les administrateurs de système pour télécharger ou charger des fichiers sur des serveurs web partagés. Cette technique LotL a permis aux cyberattaquants d’agir en utilisant le BITS pour télécharger les fichiers malveillants.

Fausses factures conduisant à des attaques par contrebande de fichiers HTML
HP a identifié des acteurs cachant des logiciels malveillants dans des fichiers HTML présentés comme des factures de livraison qui, une fois ouverts dans un navigateur web, déclenchent une chaîne d’événements déployant un logiciel malveillant open-source, AsyncRAT. Les cyberattaquants ont accordé peu d’attention à la conception du leurre, ce qui suggère que l’attaque a été créée en investissant peu de temps et de ressources.
Patrick Schläpfer, Principal Threat Researcher sein de l’équipe HP Wolf Security, explique : « cibler les entreprises avec des leurres de factures est très commun, et reste encore très efficace, et donc lucratif. Les employés des services financiers ont l’habitude de recevoir des factures par courrier électronique et sont donc plus enclins à les ouvrir. S’ils les ouvrent, les cyberattaquants peuvent rapidement monnayer leur accès en le vendant à des courtiers cybercriminels ou en déployant des ransomwares. »

En isolant les menaces qui ont échappé aux outils de détection - tout en permettant aux logiciels malveillants de se répandre en toute sécurité - HP Wolf Security a une vision précise des dernières techniques utilisées par les cybercriminels. À ce jour, les clients de HP Wolf Security ont cliqué sur plus de 40 milliards de pièces jointes, de pages web et de fichiers téléchargés sans qu’aucune infraction n’ait été signalée.

Le rapport explique comment les cybercriminels continuent de diversifier leurs méthodes pour contourner les politiques de sécurité et les outils de détection. Le rapport souligne également les points suivants :
• Au moins 12% des menaces par courrier électronique identifiées par HP Sure Click ont contourné un ou plusieurs scanners de passerelle de messagerie.
• Les principaux vecteurs de menace au premier trimestre étaient les pièces jointes de mails (53%), les téléchargements à partir de navigateurs (25%) et d’autres vecteurs d’infection tels que le stockage amovible - comme les clés USB - et les partages de fichiers (22 %).
• Ce trimestre, au moins 65 % des menaces documentées reposaient sur une faille exploitée permettant d’exécuter du code, plutôt que sur des macros.

Ian Pratt, Global Head of Security for Personal Systems HP Inc. ajoute : “les techniques de "Living-off-the-Land" mettent en évidence les risques lorsque la sécurité repose sur de la simple détection. Les cyberattaquants utilisant des outils légaux, il est difficile de repérer les menaces sans générer un grand nombre de faux positifs perturbateurs. L’endiguement des menaces offre une protection même lorsque la détection échoue, en empêchant les logiciels malveillants d’exfiltrer ou de détruire les données ou les informations d’identification des utilisateurs, elle permet de faire face aux cyberattaquants persistants. C’est pourquoi les organisations doivent adopter une approche de défense sécuritaire plus franche afin d’isoler et contenir les activités à haut risque et ainsi réduire leur portée d’attaque".

HP Wolf Security** exécute les tâches à risque dans des machines virtuelles jetables isolées et hardware-enforced, qui s’exécutent sur le terminal, afin de protéger les utilisateurs sans nuire à leur productivité. Il capture également les traces détaillées des tentatives d’infection. La technologie d’isolation des applications de HP atténue les menaces qui échappent aux autres outils de sécurité et fournit des informations uniques sur les techniques d’intrusion et le comportement des acteurs de la menace.

A propos des données
Ces données ont été recueillies auprès de clients consentants de HP Wolf Security entre janvier et mars 2024.