- Opération de collecte d'identifiants menée depuis longtemps par MCTO3022 et ciblant des organisations en usurpant l'identité du service des ressources humaines
- Les campagnes s'appuient sur les exigences de conformité du règlement intérieur et les demandes d'autorisation de paie
- Les dernières évolutions de la campagne incluent une attaque par usurpation d'identité via Adobe PDF Sign, qui déploie les outils PDQConnect RMM au lieu de recourir aux méthodes traditionnelles de collecte d'identifiants
- Ces opérations mettent en œuvre des techniques sophistiquées d'ingénierie sociale, associant de fausses offres d'emploi à des appâts liés à la conformité dans de nombreux secteurs d'activité
Threat intelligence
Une campagne axée sur les ressources humaines passe des certifications aux outils de gestion des ressources humaines (RMM)
Points clés
Présentation de la campagne
L'équipe Mimecast Threat Research continue de surveiller la campagne de collecte d'identifiants menée par MCTO3022, qui cible systématiquement des organisations en se faisant passer pour le service des ressources humaines. Cette opération de longue haleine associe les stratagèmes traditionnels visant à faire respecter le règlement intérieur à des mécanismes sophistiqués d'autorisation des paies, ce qui témoigne d'une grande maturité opérationnelle et d'une grande capacité d'adaptation tactique sur des périodes de campagne prolongées. Les opérations axées sur les ressources humaines portent généralement sur la mise à jour du règlement intérieur et les exigences de conformité, en s'appuyant sur les politiques de l'entreprise qui imposent aux salariés de prendre connaissance des communications des RH.
Ces campagnes tirent parti du caractère routinier des procédures de conformité en matière de ressources humaines, en faisant passer des communications malveillantes pour des opérations professionnelles courantes que les salariés sont censés effectuer sans délai. Le MCTO3022 fait preuve de capacités de contournement grâce à une utilisation abusive stratégique de services légitimes, notamment des domaines SharePoint pour l'hébergement initial d'URL et les plateformes de sondages Mailchimp pour la collecte d'identifiants. Cette approche axée sur l'infrastructure permet à l'acteur malveillant de tirer parti de la confiance et de la fiabilité associées aux plateformes professionnelles bien établies, tout en conservant une flexibilité opérationnelle grâce à un renouvellement rapide des noms de domaine et à un changement fréquent de services.
La portée de cette opération va au-delà de la collecte traditionnelle d'identifiants et inclut des activités de reconnaissance axées sur le recrutement, dans le cadre desquelles de faux postes de représentants régionaux sont proposés afin de recueillir des informations détaillées sur les candidats. Cette approche à double objectif laisse supposer l'existence de capacités sophistiquées de collecte de renseignements, conçues pour faciliter à la fois le vol immédiat d'identifiants et des activités de reconnaissance organisationnelle à plus long terme.
Dernière évolution de la campagne : déploiement de PDQConnect RMM
Les activités récentes de cette campagne montrent que le groupe MCTO3022 a évolué au-delà de la collecte traditionnelle d'identifiants pour déployer des outils de surveillance et de gestion à distance (RMM), notamment PDQConnect, par le biais de ses leurres bien rodés consistant en des autorisations de paie au format Adobe PDF Sign. Ce changement de stratégie témoigne d'une escalade significative des capacités de l'acteur malveillant, qui passe du vol d'identifiants à la mise en place d'un accès à distance persistant.
