L'infrastructure TDS multicouche de TAG-124 et sa vaste base d'utilisateurs

Date limite d'analyse : 7 janvier 2025

REMARQUE : Ce rapport a été mis à jour le 12 mai 2025, après qu’il a été établi que TAG-124 n’est pas lié à 404TDS. Toutes les références à 404TDS en tant qu’alias appartenant à TAG-124 ont été supprimées.

Executive Summary

Insikt Group a identifié une infrastructure multicouche liée à un système de distribution de trafic (TDS) suivi par Recorded Future sous le nom de TAG-124, qui se superpose à des clusters d’activités de menace connus sous les noms de LandUpdate808, KongTuke et Chaya_002. TAG-124 comprend un réseau de sites WordPress compromis, des serveurs de charge utile contrôlés par des acteurs, un serveur central, un serveur de gestion suspecté, un panneau supplémentaire et d’autres composants. Les acteurs de la menace TAG-124 démontrent un haut niveau d’activité, notamment en mettant régulièrement à jour les URL intégrées dans les sites WordPress compromis, en ajoutant des serveurs, en affinant la logique TDS pour échapper à la détection et en adaptant les tactiques d’infection, comme le montre leur récente mise en œuvre de la technique ClickFix.

Insikt Group a identifié de nombreux acteurs malveillants utilisant le TAG-124 dans leurs chaînes d'infection initiales, notamment les opérateurs du ransomware Rhysida, du ransomware Interlock, du TA866/Asylum Ambuscade, de SocGholish, du D3F @CK Loader, du TA582 et d'autres. L'utilisation partagée du TAG-124 renforce notamment le lien entre les ransomwares Rhysida et Interlock, qui sont déjà liés par des similitudes en termes de tactiques, d'outils, de comportements de chiffrement, de thèmes de demande de rançon, de chevauchements de code et de techniques d'exfiltration de données. Insikt Group s'attend à ce que TAG-124 continue ses opérations dans l'écosystème cybercriminel de plus en plus sophistiqué et spécialisé, améliore son efficacité et attire de nouveaux utilisateurs et partenaires.

Key Findings

• Insikt Group a identifié une infrastructure à plusieurs niveaux liée à un TDS suivi sous le nom de TAG-124. Cette infrastructure comprend, entre autres, un réseau de sites WordPress compromis, des serveurs de charges utiles probablement contrôlés par des acteurs, un serveur central, un serveur de gestion présumé et un panneau supplémentaire.
• Le ou les acteurs malveillants associés à TAG-124 semblent très actifs, mettant régulièrement à jour les URL sur les sites WordPress compromis pour échapper à la détection, ajoutant de nouveaux serveurs à leur infrastructure et améliorant la logique conditionnelle liée à TDS ainsi que les tactiques d'infection.
• De nombreux acteurs malveillants sont évalués afin d'intégrer le service du TAG-124 à leurs chaînes d'infection initiales, notamment les opérateurs du ransomware Rhysida, du ransomware Interlock, du TA866/Asylum Ambuscade, de SocGholish, du D3F @CK Loader, du TA582, etc.
• Bien que les ransomwares Rhysida et Interlock soient associés l'un à l'autre en raison de leurs similitudes en termes de tactiques, d'outils, de comportements de chiffrement, de thèmes relatifs aux demandes de rançon, de chevauchements de code et de techniques d'exfiltration de données, l'utilisation partagée du TAG-124 renforce ce lien.

Background

TAG-124, qui se recoupe avecLandUpdate808, KongTuke et Chaya_002, est un TDS utilisé pour distribuer des malwares pour le compte de divers acteurs de la menace, y compris les opérateurs de ransomware Rhysida, le ransomware Interlock, TA866/Asylum Ambuscade, SocGholish, D3F@CK Loader et TA582, entre autres (1, 2, 3). Un TDS fait généralement référence à un système utilisé pour analyser et rediriger le trafic Web en fonction de paramètres tels que la géolocalisation ou le type d’appareil, en redirigeant uniquement des visiteurs spécifiques vers des destinations malveillantes telles que des sites de phishing, des malwares ou des kits d’exploit, tout en évitant la détection et en optimisant les campagnes cybercriminelles.

Plus précisément, TAG-124 fonctionne en injectant du code JavaScript malveillant dans des sites WordPress compromis. Lorsque les visiteurs accèdent à un site web infecté, ils chargent à leur insu des ressources contrôlées par l'attaquant, conçues pour les manipuler afin qu'ils accomplissent des actions aboutissant au téléchargement et à l'exécution de malware. TAG-124 trompe souvent les victimes en présentant le malware comme une mise à jour requise du navigateur Google Chrome.

Dans des variations plus récentes, TAG-124 a été observé en utilisant la technique ClickFix. Cette méthode affiche une boîte de dialogue qui invite les visiteurs à exécuter une commande déjà copiée dans leur presse-papiers. Lorsqu'un visiteur exécute la commande, cela initie un processus en plusieurs étapes qui télécharge et exécute la charge utile du malware.

Threat Analysis

TAG-124

Insikt Group a identifié une infrastructure à plusieurs niveaux associée au TDS TAG-124. Cette infrastructure comprend un réseau de sites WordPress compromis, des serveurs de charge utile probablement contrôlés par des acteurs, un serveur central dont le but exact reste flou au moment de l’analyse, un serveur de gestion suspecté et un panneau de gestion supplémentaire. Si les visiteurs répondent à des critères spécifiques, les sites WordPress compromis affichent de fausses pages de destination pour les mises à jour de Google Chrome, qui finissent par provoquer des infections par des malwares, comme indiqué dans la section Utilisateurs du TAG-124 de ce rapport (voir Figure 1).

Figure 1 : Configuration de haut niveau de l'infrastructure de TAG-124 (Source : Recorded Future)

Sites WordPress compromis

L'infrastructure de TAG-124 consiste en un vaste réseau de sites web WordPress (voir l'annexe A). Ces sites web semblent manquer d'un thème cohérent en matière d'industrie, de sujet ou de géographie, ce qui suggère qu'ils ont probablement été compromis de manière opportuniste par des exploits ou par l'acquisition de données d'identification, telles que celles obtenues via des infostealers.

Sites web WordPress de première étape en livraison initiale

Les sites web compromis lors de la phase de diffusion initiale incluent généralement une balise de script avec un attribut asynchrone à un endroit arbitraire du modèle objet du document (DOM), permettant de charger un fichier JavaScript externe en parallèle à la page pour éviter les retards de rendu (voir Figure 2).

Figure 2: balise Script dans le DOM utilisée pour charger un fichier JavaScript externe (sources : URLScan)

Le nom du fichier JavaScript a changé fréquemment au fil du temps, les noms antérieurs suivant des modèles reconnaissables (tels que metrics.js). et les plus récents semblent être formatés de manière aléatoire (tels que hpms1989.js). Exemples de noms de fichiers :

• 3561.js
• 365h.js
• e365r.js
• hpms1989.js
• metrics.js
• nazvanie.js
• web-analyzer.js
• web-metrics.js
• web.js
• wp-config.js
• wp.js

Il est à noter que les acteurs malveillants semblent mettre à jour régulièrement les URL sur les sites web compromis. Par exemple, le site web associé à www[.]ecowas[.]int a régulièrement changé l'URL utilisée pour récupérer le fichier JavaScript. Ce comportement indique que les acteurs malveillants conservent un accès permanent à ces sites WordPress et modifient fréquemment les URL, y compris le domaine et le nom de fichier JavaScript, afin d'échapper à la détection.

Bien que de nombreux sites web WordPress compromis semblent être associés à des organisations moins connues, Insikt Group a identifié des cas notables, notamment un sous-domaine lié au Centre polonais de test et de certification, www[.]pcbc[.]gov[.]pl, et le domaine de la Communauté économique des États de l'Afrique de l'Ouest (CEDEAO) (www[.]ecowas[.]int). Tous deux ont été compromis et utilisés dans des campagnes TAG-124.

Sites web WordPress de dernière étape en livraison initiale

Si les visiteurs répondent à des critères spécifiques, qui n'ont pas pu être entièrement déterminés, les domaines WordPress compromis présentent généralement de fausses pages de destination de Google Chrome. Ces pages incitent les utilisateurs à cliquer sur un bouton de téléchargement, ce qui déclenche le téléchargement de la charge utile réelle à partir de terminaux désignés sur un ensemble secondaire de sites WordPress compromis, y compris, mais probablement pas limité à :

• /wp-admin/images/wfgth.php
• /wp-includes/pomo/update.php
• /wp-content/upgrade/update.php
• /wp-admin/images/rsggj.php

Pages de destination de fausses mises à jour de Google Chrome

Insikt Group a découvert deux variantes de fausses pages d'atterrissage de mise à jour de Google Chrome associées à TAG-124 (voir figure 3). Selon les données de soumission d'URLScan, la variante 1 est active depuis plus longtemps, sa première soumission ayant été enregistrée le 24 avril 2024.

Figure 3: Fausse variante 1 (à gauche) et 2 (à droite) de la mise à jour de Google Chrome (sources : URLScan, URLScan)

Seules les victimes répondant à un ensemble spécifique de conditions encore inconnues sont redirigées vers la fausse page de mise à jour de Google Chrome, ce qui permet d'observer un nombre limité de domaines (voir tableau 1). Ces domaines peuvent être attribués à TAG-124 sur la base des URL intégrées dans le DOM, des rapports publics ou d'autres indicateurs. Il est à noter que les auteurs de la menace orthographient systématiquement de manière incorrecte le mot « referer » en « refferer » dans le paramètre de requête, une erreur typographique déjà observée dans des rapports précédents.

Tableau 1 : sites web probablement compromis hébergeant de fausses pages de mise à jour de Google Chrome (Source : Recorded Future)

Domaine probablement détenu par un acteur de la menace

Bien que les domaines répertoriés dans le tableau 1 soient probablement compromis, Insikt Group a analysé les URL présentes sur les sites web hébergés sur deux domaines supplémentaires (voir tableau 2). Notre analyse suggère que ces domaines sont très probablement associés à TAG-124.

Tableau 2 : domaines supplémentaires trouvés grâce à une recherche de similarité visuelle (Source : Recorded Future)

Le domaine update-chronne[.]com, hébergé derrière Cloudflare, semble appartenir aux auteurs de la menace, car il usurpe directement l'identité de Google Chrome (voir figure 4). Au moment de l'analyse, le domaine était toujours actif, indexé par Google Search et hébergeait le fichier Release.zip, identifié comme REMCOS RAT.

Figure 4 : page d'atterrissage de la fausse mise à jour de Google Chrome sur update-chronne[.]com (Source : Recorded Future)

Notamment, lorsqu'une victime clique sur le bouton « Mettre à jour Chrome », le site web redirige vers downloading[.]bplnetempresas[.]com, qui affiche l'adresse IP 146.70.41[.]191 combiné à trois ports différents (voir Figure 5). Cette adresse IP a déjà été associée à REMCOS RAT.

Figure 5 : serveur de commande et de contrôle (C2) présumé de REMCOS RAT sur downloading[.]bplnetempresas[.]com (Source : Recorded Future)

De plus, le domaine hébergeait un fichier nommé moc.txt, contenant un script PowerShell conçu pour télécharger et exécuter le contenu de Release.zip (voir Figure 6). L'URL a été redirigé via l'URL raccourci https://wl[.]gl/25dW64.

Figure 6 : Script PowerShell hébergé sur https://update-chronne[.]com/moc.txt au 12 septembre 2024 (Source : URLScan)

Site web fictif suspecté

Update-chronne[.]com et downloading[.]bplnetempresas[.]com hébergeaient un site web apparemment associé à « YSOFEL », qui semble être une organisation brésilienne (voir figure 7). Cependant, aucune information sur cette organisation n'a pu être trouvée en ligne, ce qui indique qu'il s'agit probablement d'une entité fictive.

Figure 7: Site web suspecté d'être une coquille vide, lié à une fausse organisation brésilienne (sources : URLScan)

Insikt Group a identifié plusieurs autres domaines, dont certains sont mentionnés dans la section Sites web WordPress compromis (tels que mktgads[.]com), tandis que d'autres semblent se faire passer pour Google (comme check-googlle[.]com) (voir Tableau 3). Cela suggère que le site web peut fonctionner comme un « site coquille », potentiellement utilisé pour vieillir des domaines ou pour afficher du contenu uniquement lorsque les visiteurs remplissent des critères spécifiques.

Tableau 3 : domaines liés au même « site web fictif » suspecté d'être lié à la fausse organisation brésilienne mentionnée ci-dessus (Source : Recorded Future)

Il reste incertain si tous les domaines du Tableau 3 sont malveillants ou liés à la même activité. Cependant, l'hébergement partagé du même site web, l'usurpation d'identité d'autres marques (comme ChainList) et la vérification partielle des liens vers des infections les rendent, pour le moins, suspects.

Serveurs de distribution TAG-124

TAG-124 utilise des sites WordPress compromis pour divers éléments de ses chaînes d'infection. Les serveurs intégrés dans les DOM de ces sites WordPress de première phase compromis, comme indiqué dans la section Sites web WordPress de première phase de livraison, appartiennent probablement aux acteurs de la menace. Insikt Group a identifié un réseau important de serveurs connectés aux acteurs de la menace TAG-124 et probablement sous leur contrôle (voir Tableau 4).

Tableau 4 : serveurs de diffusion TAG-124 probablement contrôlés par des acteurs de la menace (Source : Recorded Future)

La plupart des domaines ont commencé à se résoudre en novembre 2024, ce qui suggère que TAG-124 a pris de l'ampleur au cours de cette période, la majorité des domaines étant encore actifs au moment de l'analyse. À noter, deux domaines hébergés sur 45[.]61[.]136[.]67, à savoir piedsmontlaw[.]com et pemalite[.]com, renvoyaient déjà vers cette adresse IP en 2022, ce qui indique que le serveur était peut-être déjà sous le contrôle de l'acteur malveillant à cette époque.

Infrastructure de niveau supérieur suspectée

La majorité des serveurs de distribution TAG-124 contrôlés par des acteurs de la menace présumés, tels que répertoriés dans la section Serveurs de distribution TAG-124, ont été observés en train de communiquer avec un serveur via le port TCP 443 (voir Figure 1). Les configurations de ce serveur sont similaires à celles des serveurs de distribution et hébergent un domaine qui ne renvoie qu’une page HTML générique lorsqu’on y accède. Au moment de l’analyse, Insikt Group n’a pas pu déterminer l’objectif exact de ce serveur, mais il soupçonne qu’il joue un rôle central dans l’opération. L’une des hypothèses est qu’il contienne la logique centrale du TDS.

De plus, Insikt Group a identifié un serveur de gestion suspecté d'être lié à TAG-124. Ce serveur a été observé en train de communiquer avec les serveurs de livraison via les ports TCP 80 et 443. Il a également interagi avec un autre panneau lié à TAG-124, appelé « Ads Panel », dont l'objectif comprend la fourniture du dernier serveur de livraison via un point de terminaison spécifié, entre autres (voir Figure 1).

L'infrastructure TDS multicouche de TAG-124 et sa vaste base d'utilisateurs

Lire l'analyse complète

Téléchargez le rapport

Appendix A — Indicators of Compromise

Appendix B — Mitre ATT&CK Techniques