Une opération internationale frappe SocGholish, malware d’accès initial lié à Evil Corp, en nettoyant 14 971 sites WordPress compromis.
Operation Endgame a visé en ce mois de juin l’une des chaînes d’infection les plus utiles aux cybercriminels : SocGholish, aussi appelé FakeUpdates. Les autorités des Pays-Bas, du Canada, des États-Unis et d’Allemagne, soutenues par Europol et Eurojust, ont assaini 14 971 sites WordPress compromis et neutralisé plus de 100 serveurs.
Ce malware détourne des sites légitimes pour piéger les visiteurs avec de fausses mises à jour logicielles. L’enjeu dépasse le simple nettoyage technique : couper un accès initial exploitable pour installer d’autres malwares, lancer des rançongiciels ou viser des infrastructures critiques.
Une chaîne d’infection banale, mais stratégique
L’affaire commence souvent par un site ordinaire. Un restaurant, un garage automobile, un service local. Rien, en apparence, ne signale au visiteur qu’une page WordPress légitime a été modifiée par des attaquants. Pourtant, derrière cette façade familière, SocGholish diffuse un piège simple : une fausse alerte de mise à jour, souvent présentée comme nécessaire pour un navigateur internet.
Lorsque l’utilisateur télécharge puis exécute ce faux correctif, l’attaque change de nature. Le logiciel malveillant établit une connexion vers les opérateurs criminels. Ceux-ci obtiennent alors un premier accès au système ciblé. Dans le langage opérationnel cyber, cet accès initial est précieux, car il peut ouvrir la voie à des intrusions plus lourdes : déploiement de rançongiciels, vol de données, mouvements latéraux dans un réseau d’entreprise ou préparation d’attaques contre des services essentiels.
SocGholish, également connu sous le nom FakeUpdates, n’est pas une nouveauté. La menace est active depuis 2017. Son efficacité tient à sa capacité à exploiter la confiance accordée aux sites connus et aux réflexes de sécurité mal maîtrisés des internautes. Une fenêtre de mise à jour urgente paraît crédible lorsqu’elle surgit sur une page visitée au quotidien. C’est précisément cette banalité qui donne au dispositif sa valeur criminelle.
TA569, l’opérateur associé à SocGholish, est décrit comme un pionnier de cette méthode. Les autorités estiment que TA569 peut être considéré comme le « parrain » d’un type de menace fondé sur la compromission de sites web et l’usage de systèmes de distribution de trafic pour orienter les visiteurs vers des malwares. Selon eux, une technique autrefois réservée à quelques acteurs malveillants est devenue un procédé fréquent dans de nombreux groupes cybercriminels.
Cette mécanique a inspiré des imitateurs, dont ClearFake, ZPHP et ErrTraffic. Le principe reste le même : détourner la navigation légitime, filtrer les visiteurs, afficher un leurre crédible, puis pousser l’utilisateur à exécuter un fichier. La frontière entre simple visite et compromission peut alors tenir à un clic.
WordPress occupe une place centrale dans cette opération. Selon WordPress, plus de 43 % des sites du web mondial reposent sur cette plateforme. Cette domination crée une surface d’attaque considérable. Les autorités indiquent que les identifiants de connexion de 1,4 million de sites ont fuité. Le Service de veille et d’investigation de ZATAZ permet à ces clients d’être alertés dans ce type de cas. Ces accès compromis constituent un réservoir exploitable pour infecter des pages, injecter du code malveillant et rediriger les visiteurs vers la chaîne SocGholish.
Durant l’action coordonnée, 14 971 sites infectés ont été assainis. Les policiers néerlandais ont supprimé des portes dérobées et des éléments malveillants présents sur ces installations WordPress. Les propriétaires concernés ont été informés. Il leur a été demandé de changer leurs mots de passe, d’activer l’authentification multifacteur, de supprimer les comptes WordPress inconnus et de maintenir leurs sites à jour.
L’impact potentiel dépasse les petits sites de proximité. Les plateformes compromises incluaient aussi des services capables d’attirer des millions de visiteurs quotidiens, notamment dans les médias, le commerce, la santé et l’éducation. Dans ce contexte, chaque page piégée peut devenir un capteur de victimes à grande échelle.
Maikel Rollman, de la National High Tech Crime Unit, résume l’objectif : « Avec ces actions, nous privons les cybercriminels de l’accès à des systèmes informatiques infectés. » Il souligne aussi l’enjeu collectif : éviter de nouveaux dommages pour les citoyens, les entreprises et les organisations, tout en réduisant le risque d’attaques contre des infrastructures critiques et des processus essentiels.
Operation Endgame cible l’accès initial
Cette action s’inscrit dans Operation Endgame, lancée en 2024. Elle est présentée comme la plus vaste opération internationale jamais menée contre les rançongiciels et la cybercriminalité mondiale. Son principe est clair : ne pas attendre l’attaque finale, mais frapper les outils intermédiaires qui rendent les intrusions possibles. Injecteurs, chargeurs, botnets et malwares d’accès initial forment l’arrière-boutique technique des campagnes criminelles.
Bilan, cette semaine, les Pays-Bas, par la NHTCU, le Canada, avec la GRC, les États-Unis, via le FBI, et l’Allemagne, avec le BKA, ont coordonné leur action avec Europol et Eurojust. Le résultat annoncé est double : 106 serveurs et domaines mis hors ligne, puis 14 971 sites web nettoyés. Les domaines liés au botnet ont été repris ou désactivés, tandis que des serveurs ont été coupés.
Le lien avec Evil Corp donne à l’opération une dimension renseignement. Ce groupe cybercriminel russe a déjà été associé aux malwares Zeus et Dridex, ainsi qu’à des opérations de rançongiciel et de blanchiment à grande échelle. SocGholish joue ici un rôle d’infrastructure d’entrée. Il ne constitue pas seulement une infection isolée, mais une porte ouverte vers d’autres acteurs criminels.
Cette porte d’entrée a servi à des familles majeures de rançongiciels, dont LockBit et RansomHub. Le danger vient de cette spécialisation : SocGholish ne cherche pas toujours à mener l’attaque finale, mais à préparer le terrain pour ceux qui chiffrent, extorquent ou exfiltrent. Dans une chaîne criminelle industrialisée, l’accès initial devient une marchandise.
Les autorités décrivent donc une bataille contre un écosystème, pas contre un seul outil. Un site compromis devient un relais. Un visiteur piégé devient un point d’accès. Un poste infecté peut devenir le début d’une attaque plus vaste. C’est cette mécanique que l’opération cherche à briser, en coupant simultanément les serveurs, les domaines, les accès et les persistances laissées sur les sites.
Le coup porté à SocGholish montre que la lutte cyber se joue désormais très tôt dans la chaîne d’attaque, avant la cyber attaque visible. Maintenant, combien de temps va-t-il falloir aux pirates pour tout remettre en place ?
Damien bancal | Zataz.com
