Vol de données opportuniste et rançon : affaire GTG-50014

Ce qui s'est passé

Certains acteurs de menaces cybernétiques mènent des intrusions ciblées pour rechercher des informations spécifiques à des fins d'espionnage ou autres ; d'autres sont moins ciblés et délibérés dans leurs opérations. Ces hackers opportunistes ont historiquement utilisé des techniques de balayage large pour identifier et sonder des systèmes exposés à Internet non corrigés, puis exploiter ces vulnérabilités pour pénétrer ou prendre le contrôle des systèmes cibles. Nous avons identifié plusieurs acteurs de menaces avancés qui ont utilisé l'IA pour améliorer leurs activités criminelles opportunistes, tirant parti des capacités de Claude pour accélérer leur capacité à scanner, exploiter et prendre le contrôle des systèmes cibles rapidement.

Les attaques opportunistes prennent de nombreuses formes : exploitation massive avant les correctifs de jour N ; fouille de magasins de conteneurs publics, de dépôts de code, d'applications mobiles, de sites Web et plus encore à la recherche d'identifiants, de jetons et de clés API ; balayage et exploitation massifs d'appareils exposés à Internet vulnérables ; création de comptes de service sur des fournisseurs de services novices peu sécurisés pour s'échapper de leurs conteneurs ; injection d'instructions contre des déploiements LiteLLM ou OpenClaw ; et plus encore.

De nombreux acteurs cherchent sur Internet des moyens d'entrer dans des réseaux et des services, volent des données pour les vendre et les rançonner, puis revendent l'accès. C'était vrai avant l'IA. Cependant, avec l'IA, l'écosystème préexistant de comportement de réseaux cybercriminels a augmenté tant en échelle qu'en gravité. Avec l'IA, des environnements cibles divers deviennent compréhensibles et adaptables ; des configurations uniques et obscures deviennent claires et exploitables. Le vieil adage de la « sécurité par l'obscurité » n'est plus viable dans ce nouveau monde assisté par l'IA : tout ce qui est connecté à Internet est une cible d'exploitation potentielle.

Une fois que les acteurs obtiennent l'accès, ils se dirigent généralement directement vers les bases de données à la recherche de données clients. Si la cible est un fournisseur de logiciel en tant que service (SaaS), ils utilisent souvent les données volées pour accéder aux clients finaux et émettre des demandes de rançon, disant au fournisseur que s'il ne paie pas, toutes ses données et celles de ses clients seront divulguées ou vendues en ligne.

Nous avons identifié et perturbé plusieurs clusters d'activité cybercriminelle à but lucratif menés par des opérateurs soupçonnés d'être des membres affiliés au collectif ShinyHunters, connu pour émettre des demandes de rançon « payez ou fuite » après plusieurs opérations de vol de données à grande échelle. Bien que ces membres affiliés semblaient divers et semblaient fonctionner avec leurs propres outils et flux de travail opérationnels, l'analyse de leurs méthodes et cibles a montré qu'ils appartenaient à la même opération globale.

Ce que l'IA a fait

Un opérateur francophone utilisant des alias (MeowSHA | frkoo | blazespider) a exécuté un pipeline distribué de collecte d'identifiants sur 10 machines de travail AWS EC2. Le pipeline a téléchargé en masse 1,8 million d'APK Android distinctes à partir de plusieurs sources de magasins d'applications, les a décompilées et a scanné les secrets codés en dur à l'aide de TruffleHog. Les découvertes validées ont été acheminées en temps réel vers un groupe Telegram organisé par plus de 100 types de sources. Un collecteur d'e-mails d'organisations GitHub parallèle a fourni un deuxième flux de jetons d'accès personnels GitHub volés. Ces deux pipelines d'identifiants ont fourni les identifiants d'accès initiaux pour la plupart des intrusions confirmées liées à frkoo.

La discipline de sécurité opérationnelle de l'opérateur était inégale. frkoo gérait un pipeline de collecte d'identifiants basé sur EC2 qui exposait ses propres IP de mise en scène EC2, plusieurs jetons de bots Telegram, un proxy Squid avec des identifiants codés en dur, et au moins un téléversement direct vers un site de collage public dans l'environnement d'une victime. Ils ont également enregistré un domaine usurpant la Police nationale française, policenationale[.]cc (bien que nous pensions qu'il a été utilisé comme image de marque pour une vitrine criminelle plutôt que comme un leurre de phishing). Le sous-domaine autoshop.policenationale[.]cc a servi d'interface Web pour la boutique automatique de cartes de cet acteur : une vitrine vendant des enregistrements de cartes de paiement volées (« fiches ») enrichis de requêtes BIN, d'informations personnelles complètes du titulaire de la carte et d'une carte de géolocalisation interactive des adresses des victimes. La boutique était livrée aux clients via une mini-application Telegram (@Soraki_Bot) alimentée par la plateforme « Soraki » de l'acteur, une pile PostgreSQL/GraphQL qui a également agrégé plusieurs ensembles de données de fuite de données françaises (y compris un ensemble de données de télécommunications/FAI d'environ 400 000 enregistrements avec IBAN et BIC) dans un service interrogeable.

Dans tout le collectif d'opérateurs, lors de multiples intrusions de cibles, les clés API IA de la cible ont été volées aux fournisseurs de logiciels d'entreprise de la cible. L'une des clés API volées a ensuite été utilisée par l'attaquant pendant environ trois semaines pour mener des attaques secondaires, notamment l'intrusion dans une chaîne de vente au détail française et le sondage d'une plateforme d'identité Web3. Ils ont également poursuivi les attaques post-breach contre une victime à but non lucratif et, dans le cas de frkoo, ont continué à développer leur boutique de cartes déguisée en site Web de la police française.

L'une des intrusions les plus graves a ciblé un fournisseur de technologie. L'acteur a exfiltré plus de 1 To de données, incluant des centaines de milliers de numéros d'identité nationale et des millions d'enregistrements de cartes de paiement, puis a mis en scène le matériel volé sur un site Web public pour faire pression sur la victime afin qu'elle paie une rançon. Chez une compagnie aérienne, l'acteur de menace a accédé au système stockant des dizaines de millions d'enregistrements de passagers. Chez une entreprise d'énergie, l'acteur a affirmé pouvoir contrôler à distance le courant de charge des chargeurs de véhicules électriques installés chez les clients.

Un autre membre affilié semblait se spécialiser dans le vol de la chaîne d'approvisionnement — s'introduire dans une entreprise pour obtenir des données en aval sur ses clients. Après s'être introduit dans un fournisseur de logiciel en tant que service, l'acteur a utilisé ce point d'appui pour extraire des données appartenant à environ 200 organisations clientes en aval de l'entreprise SaaS. Puis, en environ 34 heures, un déversement de stockage de sessions a été effectué contenant plus de 2 100 ensembles de jetons Azure AD, couvrant plus de 40 locataires d'entreprise. Les agents IA ont effectué presque tout le travail.

Dans une autre intrusion, l'acteur a utilisé Claude pour mener une intrusion de chaîne d'approvisionnement contre un fournisseur de logiciel en tant que service (SaaS) afin d'accélérer la reconnaissance et permettre l'exfiltration de données. L'acteur a utilisé une vulnérabilité de script intersite pour obtenir l'accès, élever les privilèges et finalement exfiltrer des données de milliers d'organisations clientes en aval. L'acteur a utilisé Claude pour aider à identifier, comprendre et utiliser les API de développeur et d'authentification, créer et transformer des jetons privilégiés et construire des outils pour permettre l'exportation en masse et la collecte de données entre locataires. Contre une autre cible, le même attaquant a également affirmé avoir collecté 2 000 et 5 000 dollars en primes de bugs légitimes HackerOne auprès de deux entreprises qu'il avait pénétrées et rançonnées, traitant les programmes de divulgation de primes de bugs et les intrusions comme des sources de revenus supplémentaires contre la même cible. Ils ont également semblé extraire les soumissions HackerOne et BugBounty comme une forme de reconnaissance lors de campagnes ciblées contre des objectifs spécifiques.

Le rythme opérationnel de l'acteur de menace était relativement stable. Une intrusion dans une entreprise de logiciels d'entreprise est passée du premier accès au vol massif de données en quelques heures seulement. Une autre intrusion est passée d'un jeton de développeur volé au contrôle administratif complet de l'environnement cloud de la victime en environ 3 heures. Cela a été suivi par l'extraction itérative des magasins de données internes et, dans les cas d'attaques de chaîne d'approvisionnement, l'accès itératif et l'extraction des données des clients finaux. Nous avons détecté et banni les comptes associés aux membres affiliés ShinyHunters, mis en œuvre des mesures pour détecter et perturber les abus futurs de l'acteur, et nous sommes engagés auprès des autorités gouvernementales, des partenaires industriels et des victimes pour remédier à la menace posée par l'acteur.

L'utilisation de l'IA dans les opérations d'intrusion et de vol de données ressemble souvent au « vibe hacking », où l'opérateur instruit l'IA d'atteindre un objectif général, comme utiliser les identifiants d'une certaine entité ou récupérer des données d'un large ensemble de cibles, puis laisse l'IA évaluer l'environnement, écrire et exécuter des scripts, fournir des résumés et itérer jusqu'à ce que la tâche soit terminée. Souvent, l'opérateur peut ne pas comprendre directement chaque environnement cible ou la complexité de trouver et d'accéder à des informations précieuses, laissant les détails à l'IA.

Les professionnels de la sécurité utilisent le terme « living off the land » (vivre de la terre) pour décrire les attaques qui utilisent des outils déjà présents dans l'environnement de la victime. Les hackers opportunistes décrits dans cette section appliquent le même principe à l'IA. Les acteurs traitent la chaîne d'approvisionnement de l'IA elle-même à la fois comme une cible et comme une ressource. Ils volent des clés API IA à plusieurs environnements cibles et les utilisent pour fournir une puissance de calcul IA supplémentaire. Dans tous les cas, les clés API impliquées ont été volées dans les environnements des clients d'Anthropic. Les propres systèmes d'Anthropic n'ont pas été compromis par cet acteur. Nous examinons ce modèle en détail dans la section sur la chaîne d'approvisionnement de l'IA.

Ce que le rapport a observé

Le rapport décrit le cycle de vie de l'attaque partagé par ces clusters : de la collecte d'identifiants à la monétisation par rançon. Il inclut : sourcing et reconnaissance (la plupart des intrusions ont commencé par des identifiants volés ; les acteurs ont également effectué des balayages larges, du vishing, du phishing et de l'usurpation de domaine pour tromper les employés afin qu'ils accordent l'accès au système) ; découverte (des jetons d'accès exposés ont été découverts à l'échelle industrielle grâce à divers projets automatisés de scraping et d'exploration, y compris l'analyse de binaires d'applications, de dépôts et d'intégrations de code, de code côté client, de magasins d'identifiants, d'images de conteneurs, de points de terminaison de métadonnées, de stockage ouvert et d'agents IA déployés par les victimes) ; validation/qualification (toutes les découvertes ont été testées et qualifiées avant utilisation ou revente, telles que la validation en masse de clés cloud, des oracles de connexion dédiés, la relecture en direct contre des environnements de production, des notes de valeur de revente et le craquage hors ligne) ; mouvement latéral au sein de la victime (un identifiant utilisable a été utilisé pour étendre l'accès au sein de la victime, pour des déversements complets de clés de cluster, l'amplification de jetons d'administrateur, l'injection CI/CD, des déversements de tables de bases de données et de sessions, des déversements d'extraction de clés de signature, et la propagation OAuth du fournisseur à chaque locataire en aval) ; canaux d'exfiltration (le matériel a été déplacé via six canaux : stockage cloud grand public, NAS privé via VPN maillé, flux de bots Telegram, mise en scène dans le cloud de la victime, canaux de commande et de contrôle, et extractions API en masse simples) ; entreposage (le butin a été entreposé pour réutilisation et vente : une infrastructure auto-hébergée re-fournissant des bases de données volées, des arbres de butin par victime, un entrepôt Telegram qui servait également de vitrine, et un stockage de clés utilisables) ; frappe/persistance (frappe de nouveaux identifiants et accès persistant pour que les opérations continuent après la rotation : clés API cloud dans les comptes de victimes, clés de développeur de plateforme, sessions falsifiées et codes de vérification à deux facteurs, portes dérobées Web) ; monétisation (canaux de monétisation : canaux de revente et pools de clés, vol financier direct, rançon sur les données volées, revenus de primes doubles, et données en masse détenues comme levier).

Le rapport liste les indicateurs de compromission associés (domaines, emplacements d'exfiltration, ID de groupes Telegram, IP de sortie de l'attaquant, etc.) à la fin pour que les défenseurs puissent enquêter. Selon les limites de sécurité de ce site, les valeurs spécifiques des indicateurs ne sont pas reproduites.

Confirmé et inconnu

Réponse de la plateforme

Anthropic indique avoir détecté et banni les comptes associés à ces membres affiliés, avoir déployé des mesures pour détecter et perturber les abus futurs, et s'être engagé auprès des autorités gouvernementales, des partenaires industriels et des victimes pour traiter la menace posée par ces acteurs.

Limites de la réponse：Le bannissement des comptes ne peut pas récupérer les données déjà divulguées ou vendues ; le rapport n'indique pas si des victimes ont payé des rançons, ni ne donne le total des pertes financières dans cette affaire.