Matanbuchus 3.0 : Analyse Technique

Résumé

Matanbuchus est un téléchargeur malveillant basé sur C++ qui est distribué sous forme de Malware‑as‑a‑Service (MaaS) depuis 2020. La version 3.0, observée en juillet 2025, introduit la sérialisation basée sur Protobuf, le chiffrement ChaCha20, et plusieurs nouvelles techniques anti-analyse. Le malware se compose d’un module téléchargeur qui récupère un module principal de porte dérobée depuis son serveur C2, puis gère la persistance, l’exécution de commandes, et la livraison de charges utiles de suivi. Il a été lié à des incidents de ransomware et à des campagnes distribuant le voleur d’informations Rhadamanthys et NetSupport RAT.

Analyse de Matanbuchus 3.0

L’analyse décrit deux composants, un téléchargeur et un module principal, et passe en revue la chaîne d’infection initiale utilisant QuickAssist, un MSI malveillant hébergé sur gpa-cro.com, et une DLL chargée frauduleusement se faisant passer pour HRUpdate.exe. Le téléchargeur contacte mechiraz.com pour obtenir le module principal, qui s’enregistre alors auprès du C2, crée une tâche planifiée nommée Update Tracker Task, et définit un mutex par hôte. Le trafic C2 s’écoule sur HTTPS en utilisant des messages Protobuf chiffrés sécurisés avec des clés et des nonces ChaCha20.

Atténuation

Les mesures défensives incluent le blocage des domaines malveillants gpa-cro.com et mechiraz.com à la périphérie du réseau, la surveillance de la création de la tâche Update Tracker Task et de la clé de registre HKCU associée, et l’application du whitelisting d’applications pour arrêter l’exécution de packages MSI et de DLL chargées latéralement non fiables. Les équipes de sécurité devraient détecter le trafic typiquement chiffré par ChaCha20 et restreindre l’utilisation des utilitaires Windows tels que msiexec pour les fichiers non signés ou non vérifiés.

Réponse

Lorsqu’une activité de Matanbuchus est détectée, isolez le système impacté, capturez la définition de la tâche planifiée, l’entrée de registre, la valeur du mutex, et toutes les charges utiles récupérées, puis supprimez les binaires et tâches malveillants. Effectuez des analyses médico-légales complètes sur les points de terminaison pour découvrir les charges utiles de deuxième étape et toutes les données exfiltrées, puis réinitialisez les identifiants exposés et remédiez aux comptes Active Directory affectés.

Exécution de la Simulation

Préalable : Le contrôle préalable à l’envol Télémetry & Baseline doit avoir échoué.

Narratif de l’Attaque & Commandes

1. Exécution de l’utilisateur (T1204) – L’attaquant persuade l’utilisateur d’ouvrir QuickAssist.
2. Chargement de DLL (T1574.001) – Pendant que QuickAssist est en cours d’exécution, l’attaquant copie une DLL malveillante (malicious.dll) dans le même répertoire que HRUpdate.exe et lance alors HRUpdate.exe, provoquant le chargement de la DLL malveillante.
3. Création de Tâche Planifiée (T1546.010) – L’attaquant utilise msiexec.exe -z combiné avec une commande shell (powershell -EncodedCommand …) pour créer une tâche planifiée cachée qui exécute la charge utile malveillante.
4. Exécution de Proxy de Binaire Signé (T1218.002 / T1218.007) – La charge utile est lancée via msiexec et éventuellement via WMI (wmic process call create …) pour se mélanger avec les actions admin légitimes.

Script de Test de Régression

# -------------------------------------------------
# Script de Simulation – Activité Matanbuchus (TTPs)
# -------------------------------------------------
# 1. Déployer la DLL malveillante à côté de HRUpdate.exe
$malDllPath = "$env:ProgramFilesHRUpdatemalicious.dll"
Copy-Item -Path ".malicious.dll" -Destination $malDllPath -Force

# 2. Lancer QuickAssist (légitime)
Start-Process -FilePath "C:Program FilesQuickAssistQuickAssist.exe" -WindowStyle Hidden

# 3. Exécuter HRUpdate.exe pour déclencher le chargement de la DLL
Start-Process -FilePath "C:Program FilesHRUpdateHRUpdate.exe" -ArgumentList "/silent" -Wait

# 4. Créer une tâche planifiée en utilisant msiexec.exe -z
$taskName = "SysUpdate"
$taskCmd  = "powershell -NoProfile -WindowStyle Hidden -EncodedCommand " +
            ([Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes('Start-Process notepad.exe')))
$msiCmd = "msiexec.exe -z $taskName /quiet /qn /l*v `"$env:TEMPmsi.log`" /i $taskCmd"
Start-Process -FilePath "C:WindowsSystem32msiexec.exe" -ArgumentList $msiCmd -WindowStyle Hidden

# 5. (Optionnel) Exécuter la même charge utile via WMI pour couvrir T1218.007
$wmiCmd = "cmd /c $taskCmd"
wmic process call create "$wmiCmd"
# -------------------------------------------------
# Fin de la Simulation
# -------------------------------------------------

Commandes de Nettoyage

# Terminez tous les processus QuickAssist ou HRUpdate restants
Get-Process -Name "QuickAssist","HRUpdate" -ErrorAction SilentlyContinue | Stop-Process -Force

# Supprimez la DLL malveillante
Remove-Item -Path "$env:ProgramFilesHRUpdatemalicious.dll" -Force -ErrorAction SilentlyContinue

# Supprimez la tâche planifiée
schtasks /Delete /TN "SysUpdate" /F

# Supprimez le journal temporaire msiexec
Remove-Item -Path "$env:TEMPmsi.log" -Force -ErrorAction SilentlyContinue