Dans le cadre d’Operation Endgame, les forces de l’ordre de quatre pays ont démantelé, cette semaine, une infrastructure criminelle liée au groupe russe Evil Corp : 14 971 sites WordPress infectés par le malware SocGholish ont été assainis et 106 serveurs et domaines mis hors ligne.
Tribune Infoblox – Lancée en 2024, Operation Endgame regroupe les autorités de neuf pays (Pays-Bas, Allemagne, Danemark, États-Unis, Australie, France, Belgique, Royaume-Uni et Canada) et cible les stades précoces de la chaîne d’intrusion : injecteurs, chargeurs, botnets et malwares facilitant l’accès initial.
SocGholish, également connu sous le nom FakeUpdates, exploite des sites WordPress compromis pour diffuser de fausses invitations à mettre à jour un navigateur. Les visiteurs qui exécutent le fichier téléchargé ouvrent un accès à distance aux attaquants, qui peuvent ensuite déployer des rançongiciels ou procéder à l’exfiltration de données. Actif depuis 2017, le dispositif est opéré par le groupe TA569, également désigné sous les appellations Mustard Tempest, Gold Prelude ou UNC1543. TA569 fonctionne comme un courtier en accès initial : il compromet des postes rattachés à des réseaux d’entreprise, puis revend cet accès à d’autres acteurs criminels. La chaîne d’attaque se déroule en quatre étapes : acquisition de trafic, filtrage, leurre de mise à jour et exécution d’un implant sur l’appareil ciblé.
La plateforme WordPress alimente, selon ses propres chiffres, plus de 43 % des sites du web mondial ; les identifiants de connexion de 1,4 million de sites ont été compromis, constituant un vivier d’infection. L’opération a mobilisé les Pays-Bas (NHTCU), le Canada (GRC), les États-Unis (FBI) et l’Allemagne (BKA), avec l’appui d’Europol et d’Eurojust. Les autorités ont procédé à la notification des propriétaires de sites infectés via plusieurs partenaires spécialisés : HaveIBeenPwned, DIVD, Spamhaus, CheckjeHack, NoMoreLeaks, The Shadowserver Foundation et le NCSC néerlandais.
La société de cybersécurité Infoblox, parten
L’analyse d’Infoblox révèle par ailleurs une saisonnalité caractéristique : les requêtes vers les domaines SocGholish s’intensifient en début de semaine de travail et chutent quasi à zéro le week-end, reflet direct des habitudes de navigation des employés depuis les réseaux d’entreprise. Quasiment aucun secteur n’est absent des observations : gouvernement, éducation, banque, santé et services non-IT figurent parmi les plus exposés.
« SocGholish ne constitue pas une menace de niche. Ses activités atteignent en profondeur les environnements du secteur public et du secteur commercial, ouvrant la voie à d’autres cybercriminels pour accéder aux réseaux », déclare le Dr Renée Burton, vice-présidente d’Infoblox Threat Intel. « Nous sommes fiers d’être partenaires d’Operation Endgame ; TA569 et ses affiliés ont vraisemblablement vécu une très mauvaise semaine. Cela étant, nous continuerons à suivre l’évolution de cet environnement : si d’anciens partenariats réapparaissent, et quelles nouvelles infrastructures ou chaînes de diffusion pourraient se mettre en place en réponse. »
