Le groupe de menaces FLUXROOT exploite les services cloud

Il existe encore une autre cybermenace qui suscite des inquiétudes parmi les experts et les organisations en cybersécurité. Connu sous le nom de FLUXROOT Threat Group, cet acteur basé en Amérique latine et motivé par des raisons financières exploite habilement la puissance du cloud computing pour orchestrer des campagnes sophistiquées de phishing d'identifiants.

Qu’est-ce que FLUXROOT ?

FLUXROOT est un groupe de cybermenaces qui a attiré l'attention pour son utilisation innovante des services cloud pour mener des activités malveillantes. Le groupe cible principalement les utilisateurs de la région latino-américaine (LATAM), en se concentrant sur le gain financier grâce au phishing d'identifiants. En exploitant la flexibilité et l'évolutivité des architectures cloud sans serveur, FLUXROOT a mené ses opérations avec un haut degré de furtivité et d'efficacité.

Comment fonctionne FLUXROOT

Le mode opératoire de FLUXROOT consiste à utiliser les projets sans serveur de Google Cloud pour héberger des pages de phishing conçues pour voler les informations de connexion. Ces pages de phishing imitent souvent des plateformes légitimes, telles que Mercado Pago, un service de paiement en ligne populaire d'Amérique Latine. À l'aide des URL de conteneurs Google Cloud, FLUXROOT peut créer des liens apparemment dignes de confiance, augmentant ainsi la probabilité que les victimes tombent dans le piège de l'arnaque.

L'une des stratégies clés de FLUXROOT consiste à exploiter les avantages des architectures sans serveur, appréciées pour leur rentabilité, leur facilité d'utilisation et leur flexibilité. Malheureusement, ces mêmes fonctionnalités les rendent attrayants pour les cybercriminels, qui les utilisent pour distribuer des logiciels malveillants, héberger des pages de phishing et exécuter des scripts malveillants conçus pour s'exécuter dans un environnement sans serveur.

FLUXROOT est connu pour distribuer le cheval de Troie bancaire Grandoreiro, un malware conçu pour voler les informations financières de ses victimes. En plus de Google Cloud, le groupe est connu pour utiliser d'autres services cloud légitimes, tels que Microsoft Azure et Dropbox, pour diffuser ce malware, compliquant encore davantage les efforts de suivi et d'arrêt de leurs activités.

Services cloud : une arme à double tranchant

L’utilisation croissante des services cloud dans tous les secteurs a, par inadvertance, fourni aux cybercriminels de nouvelles voies d’exploitation. La possibilité de se fondre dans les activités normales du réseau rend plus difficile pour les équipes de sécurité de détecter et d’atténuer ces menaces. Dans un cas, FLUXROOT a tenté de contourner les mesures de sécurité du courrier électronique en utilisant des services de transfert de courrier qui ne rejettent pas les courriers électroniques dont les vérifications SPF (Sender Policy Framework) ont échoué. Cela leur a permis de déclencher des délais d'expiration des requêtes DNS et d'échapper aux processus d'authentification des e-mails.

Google a été proactif face à ces menaces. Le géant de la technologie a atténué les activités de FLUXROOT en fermant les projets cloud malveillants et en mettant à jour ses listes de navigation sécurisée. Ces mesures sont cruciales pour empêcher la propagation des attaques de phishing et de logiciels malveillants, mais le jeu du chat et de la souris entre cybercriminels et défenseurs souligne la nécessité d'une vigilance continue.

Protéger vos systèmes de FLUXROOT

Compte tenu de la sophistication des méthodes de FLUXROOT, les organisations et les individus doivent adopter des pratiques de sécurité robustes pour se protéger. Voici quelques étapes clés pour améliorer votre posture de cybersécurité :

1. Éduquer et former les employés : assurez-vous que les employés connaissent les dernières tactiques de phishing et savent reconnaître les e-mails et les liens suspects. Des séances de formation régulières peuvent réduire considérablement le risque de telles attaques.
2. Implémenter l'authentification multifacteur (MFA) : l'ajout d'une couche de sécurité supplémentaire via MFA peut aider à empêcher les accès non autorisés même si les informations d'identification sont compromises.
3. Mettre régulièrement à jour les logiciels et les systèmes : Il est essentiel de maintenir les logiciels et les systèmes à jour avec les derniers correctifs de sécurité pour éliminer les vulnérabilités que les cybercriminels pourraient exploiter.
4. Surveiller et analyser le trafic réseau : utilisez des outils de sécurité avancés pour surveiller le trafic réseau à la recherche d'activités inhabituelles pouvant indiquer une violation. Les tendances anormales doivent être étudiées rapidement.
5. Utiliser des solutions de sécurité de messagerie : déployez des solutions complètes de sécurité de messagerie qui détectent et bloquent les tentatives de phishing, les logiciels malveillants et autres menaces avant d'atteindre les utilisateurs finaux.
6. Tirez parti des renseignements sur les menaces : apprenez-en davantage sur les dernières menaces et tactiques utilisées par des groupes comme FLUXROOT. Plus vous en savez, moins vous risquez d’être victime de telles menaces.

Dernières pensées

La montée des cybermenaces comme le FLUXROOT Threat Group souligne l’importance d’adopter une approche proactive et à plusieurs niveaux en matière de cybersécurité. En exploitant les services cloud à des fins malveillantes, FLUXROOT illustre la nature évolutive de la cybercriminalité. Les organisations doivent rester vigilantes, mettre continuellement à jour leurs défenses et former leurs employés pour garder une longueur d'avance dans le paysage de la cybersécurité en constante évolution.