if ( !emtpy($headline_subheadline ) ) : ?>
Une organisation gouvernementale fournissant une infrastructure cloud aux entreprises indiennes distribue par inadvertance des logiciels malveillants.
endif; ?>
Un site Web lié au Software Technology Parks of India (STPI) de l’Inde propose une page de vérification Cloudflare falsifiée qui copie silencieusement une chaîne malveillante dans le presse-papiers des visiteurs et les invite à l’exécuter via le terminal Windows, selon une technique cohérente avec les attaques émergentes de type TerminalFix.
STPI, une organisation du gouvernement indien qui soutient les services informatiques et l’écosystème de startups du pays, exploite des plates-formes utilisées par les entreprises technologiques, les développeurs et les parties prenantes du secteur public.
L’activité a été observée sur le sous-domaine ananta.stpi(.)in par le chercheur en cybersécurité et membre de l’équipe rouge Vibhum Dubey, qui a signalé le problème au STPI et au CERT-In, l’équipe indienne d’intervention en cas d’urgence informatique.
Faux flux de vérification utilisé pour déclencher l’exécution
La page imite une invite standard de Cloudflare « Vérifiez que vous êtes humain », mais comprend une étape supplémentaire demandant aux utilisateurs d’ouvrir le terminal Windows, de coller une commande et d’appuyer sur Entrée, et de précharger une chaîne dans le presse-papiers sans action explicite de l’utilisateur, a déclaré Dubey.
Le contenu copié est une URL qui, une fois collée dans le terminal, serait interprétée par le shell du système pour lancer une requête vers une infrastructure externe contrôlée par l’attaquant. Dubey n’a pas exécuté l’ordre.
La destination associée à l’URL a été signalée comme malveillante par plusieurs fournisseurs de sécurité, 17 moteurs la détectant comme malveillante sur VirusTotal au moment de l’analyse.
La méthode déplace l’exécution du navigateur vers le point de terminaison, en s’appuyant sur l’interaction de l’utilisateur plutôt que sur la livraison directe de la charge utile.
« Ce qui ressort, c’est qu’il ne s’agissait pas d’un e-mail douteux ou d’un faux site Web, mais d’un portail gouvernemental », a déclaré Dubey. « Vous allez sur ananta.stpi(.)en espérant accéder aux services STPI, et vous voyez ce qui ressemble à une vérification de vérification Cloudflare normale. La plupart des utilisateurs suivraient les étapes sans réfléchir. C’est ce qui le rend efficace : vous n’êtes pas redirigé vers un endroit suspect, vous êtes déjà sur un site en qui vous avez confiance. »
On dirait TerminalFix
La technique observée dans ce cas est cohérente avec un modèle d’attaque que Microsoft appelle TerminalFix, une variante de ClickFix. Ces attaques utilisent des pages de vérification usurpées pour inciter les utilisateurs à copier et exécuter des commandes localement, déplaçant ainsi le point de compromission hors des contrôles de sécurité Web traditionnels.
« La technique suit le même playbook : fausse page de vérification, injection dans le presse-papiers et instructions à exécuter via le terminal », a déclaré Dubey. « Microsoft a signalé des tendances similaires dans ses rapports TerminalFix. »
Bien qu’aucune attribution directe à une campagne spécifique n’ait été établie, le chevauchement des comportements, y compris la manipulation du presse-papiers, les invites d’exécution basées sur le terminal et la livraison par étapes, correspond aux flux de travail d’attaque documentés, a déclaré Dubey.
Livraison échelonnée
L’inspection des sources du site montre un script externe chargé depuis cdn(.)quickdelivr(.)com, un domaine vieux de moins d’une semaine et ressemblant vaguement au réseau de diffusion de contenu légitime jsDelivr. Le titulaire du nom de domaine a fourni une adresse en Russie, comme pour au moins trois autres domaines récemment enregistrés hébergés sur le même serveur à une adresse IP située à Hong Kong, selon les données fournies par domaintools.com.
« L’attaquant semble stocker la configuration de commande et de contrôle sur une infrastructure externe d’une manière qui rend les retraits plus difficiles », a-t-il déclaré. « Le script lui-même est fortement obscurci et s’exécute via une machine virtuelle à l’intérieur du navigateur, ce qui rend son analyse difficile. Chaque visiteur se voit également attribuer un identifiant unique, suggérant un certain niveau de suivi de session. «
Le script interagit avec les composants du navigateur, notamment le modèle objet du document et les interfaces de requête réseau, permettant l’injection dynamique de contenu et la communication avec l’infrastructure externe, a-t-il ajouté.
Problèmes de configuration externe et de persistance
La fausse page de vérification, qui avait brièvement disparu, a depuis réapparu, selon le chercheur. La présence continue du script externe indique que le mécanisme sous-jacent permettant le comportement peut toujours être actif.
Dubey a également souligné une faiblesse potentielle dans la configuration WordPress du site, où le point de terminaison de connexion révèle un nom d’utilisateur administrateur valide via des messages d’erreur différentiels. Il a noté que confirmer si cela était utilisé comme point d’entrée nécessiterait une analyse côté serveur.
« Ce qui est préoccupant ici, c’est qu’il apparaît sur un site lié au gouvernement », a-t-il déclaré. « Le public comprend des sociétés informatiques, des startups et des responsables. Si un utilisateur exécute la commande sur un système de travail, cela pourrait exposer ses informations d’identification ou accéder aux environnements internes. «
CERT-In a accusé réception du rapport adressé au chercheur et a déclaré qu’il était « en train de prendre les mesures appropriées auprès de l’autorité concernée ».
