Click Studios, la société de logiciels australienne qui a confirmé une attaque de la chaîne d’approvisionnement affectant son application de gestion des mots de passe Passwordstate, a averti les clients d’une attaque de phishing en cours par un acteur inconnu.
« Nous avons été informés qu’un mauvais acteur a lancé une attaque de phishing avec un petit nombre de clients ayant reçu des e-mails demandant une action urgente », a déclaré la société. mentionné dans un avis mis à jour publié mercredi. « Ces e-mails ne sont pas envoyés par Click Studios. »
La semaine dernière, Click Studios a déclaré que les attaquants avaient utilisé des techniques sophistiquées pour compromettre le mécanisme de mise à jour de Passwordstate, en l’utilisant pour déposer des logiciels malveillants sur les ordinateurs des utilisateurs. Seuls les clients ayant effectué des mises à niveau sur place entre le 20 avril à 20 h 33 UTC et le 22 avril à 0 h 30 UTC seraient concernés.
Alors que Passwordstate sert environ 29 000 clients, la société basée à Adélaïde a soutenu que le nombre total de clients concernés est très faible. Il exhorte également les utilisateurs à s’abstenir de publier la correspondance de l’entreprise sur les réseaux sociaux, indiquant que l’acteur à l’origine de la violation surveille activement ces plates-formes à la recherche d’informations relatives à l’attaque afin de les exploiter à leur avantage pour mener des intrusions connexes.
L’attaque d’origine a été effectuée via un fichier de mise à jour de Passwordstate trojanized contenant une DLL modifiée (« moserware.secretsplitter.dll ») qui, à son tour, a extrait une charge utile de deuxième étape d’un serveur distant afin d’extraire des informations sensibles des systèmes compromis . En guise de contre-mesure, Click Studios a publié un package de correctifs nommé «Moserware.zip» pour aider les clients à supprimer la DLL altérée et a conseillé aux utilisateurs concernés de réinitialiser tous les mots de passe stockés dans le gestionnaire de mots de passe.
L’attaque de phishing nouvellement repérée consiste à créer des e-mails apparemment légitimes qui «répliquent le contenu des e-mails de Click Studios» – sur la base des e-mails partagés par les clients sur les réseaux sociaux – pour pousser une nouvelle variante du malware.
« L’attaque de phishing demande aux clients de télécharger un fichier Moserware.zip de correctif modifié, à partir d’un réseau CDN non contrôlé par Click Studios, qui semble maintenant avoir été supprimé », a déclaré la société. « L’analyse initiale indique que cela a une version nouvellement modifiée du Moserware.SecretSplitter.dll malformé, qui, lors du chargement, tente d’utiliser un autre site pour obtenir le fichier de données utiles. »
Le hack Passwordstate est la dernière attaque de grande envergure de la chaîne d’approvisionnement à être découverte ces derniers mois, soulignant à quel point des groupes de menaces sophistiqués ciblent les logiciels construits par des tiers comme un tremplin pour pénétrer dans les réseaux informatiques sensibles du gouvernement et des entreprises.
