Dragon Boss Laisse Plus de 25 000 Endpoints Exposés

Résumé

Une application potentiellement indésirable signée par Dragon Boss Solutions a abusé d’un processus de mise à jour légitime pour télécharger et exécuter discrètement des charges utiles MSI et PowerShell qui désactivaient les protections antivirus et établissaient une persistance via des abonnements d’événements WMI et des tâches planifiées. Comme le programme de mise à jour communiquait avec des domaines non enregistrés pouvant être revendiqués par n’importe qui, le logiciel a effectivement créé une opportunité de chaîne d’approvisionnement pour la livraison de code arbitraire. Les chercheurs ont observé plus de 25 000 points d’accès se connectant à cette infrastructure, y compris des systèmes dans plusieurs secteurs de grande valeur.

Enquête

Huntress a découvert des artefacts de persistance basés sur WMI et une augmentation de la création de tâches planifiées, puis a remonté l’activité jusqu’à un exécutable signé nommé RaceCarTwo.exe qui a lancé un installateur MSI. L’installateur a extrait un script PowerShell appelé ClockRemoval.ps1, qui a terminé les processus antivirus, bloqué l’accès aux domaines de mise à jour AV, ajouté des exclusions de Microsoft Defender, et s’est réinstallé de manière répétée pour maintenir son emprise. Les enquêteurs ont également constaté que des domaines non enregistrés, notamment chromsterabrowser.com, étaient utilisés comme source principale de mise à jour, ce qui signifie que toute partie externe pourrait enregistrer ces domaines et livrer leurs propres charges utiles.

Atténuation

Pour arrêter les abus supplémentaires, l’équipe de recherche a enregistré les domaines exposés et les a détournés, coupant efficacement le chemin de mise à jour malveillant. Ils ont également documenté les abonnements d’événements WMI liés, les tâches planifiées et les changements de registre pour permettre aux défenseurs d’identifier et de supprimer les composants affectés. Les organisations devraient bloquer les domaines connus et surveiller les noms spécifiques de tâches et l’activité des consommateurs WMI associés à cette campagne afin de réduire le risque de compromis continu.

Réponse

Les équipes de sécurité devraient détecter la création de tâches planifiées telles que ClockSetupWmiAtBoot, DisableClockServicesFirst, DisableClockAtStartup, RemoveClockAtLogon, et RemoveClockPeriodic. Des alertes devraient également être déclenchées sur les abonnements d’événements WMI contenant MbRemoval or MbSetup. Les défenseurs devraient surveiller les exécutables signés par Dragon Boss Solutions, chercher la présence de ClockRemoval.ps1 dans les répertoires WMILoad, examiner les fichiers hôtes pour les entrées qui bloquent les domaines des fournisseurs antivirus, et enquêter sur les exclusions inattendues de Windows Defender à travers les systèmes touchés.

Exécution de la simulation

Prérequis : Les vérifications préalables de télémétrie et de base doivent avoir été validées.

Rationnel : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et visent à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’attaque & Commandes :
  Un adversaire a obtenu le légitime RaceCarTwo.exe signé par Dragon Boss Solutions LLC. Ils exploitent le statut de confiance du binaire pour contourner le whitelisting des applications. Premièrement, ils déploient un MSI malveillant (Setup.msi) qui déploie un service privilégié et installe une tâche planifiée pour réaliser T1546.016. Ensuite, ils exécutent un script PowerShell (ClockRemoval.ps1) qui désactive ou désinstalle le produit AV de l’endpoint, reflétant T1059.001. Les deux actions sont effectuées depuis le même processus, garantissant que la règle de détection voit les motifs de ligne de commande exacts.

  1. Déployer le MSI malveillant :

     Start-Process -FilePath "C:Program FilesDragonBossRaceCarTwo.exe" `
                   -ArgumentList "Setup.msi" `
                   -Wait

  2. Exécuter le script PowerShell de désactivation de l’AV :

     Start-Process -FilePath "C:Program FilesDragonBossRaceCarTwo.exe" `
                   -ArgumentList "ClockRemoval.ps1" `
                   -Wait

• Script de test de régression :
  Le script ci-dessous automatise les deux étapes en une seule exécution, reproduisant exactement la télémétrie que la règle Sigma attend.

  # -------------------------------------------------
  # Simulation de la chaîne d'exécution malveillante de DragonBoss
  # -------------------------------------------------
  $binaryPath = "C:Program FilesDragonBossRaceCarTwo.exe"
  
  # 1. Installer le MSI malveillant
  Write-Host "[*] Déploiement du MSI malveillant (Setup.msi)…"
  Start-Process -FilePath $binaryPath -ArgumentList "Setup.msi" -Wait
  
  # 2. Exécuter le script PowerShell de désactivation AV
  Write-Host "[*] Exécution de ClockRemoval.ps1 via le même binaire…"
  Start-Process -FilePath $binaryPath -ArgumentList "ClockRemoval.ps1" -Wait
  
  Write-Host "[+] Simulation terminée. Vérifiez les alertes dans le SIEM."

• Commandes de nettoyage :
  Supprimer tous les artefacts créés pendant la simulation pour restaurer l’hôte à son état précédent au test.

  # -------------------------------------------------
  # Nettoyage pour la simulation de DragonBoss
  # -------------------------------------------------
  # Supprimer le produit MSI installé (remplacer ProductCode par le GUID réel)
  $productCode = "{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"
  try {
      Write-Host "[*] Désinstallation du MSI malveillant..."
      msiexec /x $productCode /quiet /norestart
  } catch { Write-Warning "Échec de la désinstallation du MSI ou produit non présent." }
  
  # Supprimer le script PowerShell s'il a été écrit sur le disque par le MSI
  $scriptPath = "$env:ProgramDataClockRemoval.ps1"
  if (Test-Path $scriptPath) {
      Write-Host "[*] Suppression de ClockRemoval.ps1..."
      Remove-Item $scriptPath -Force
  }
  
  Write-Host "[+] Nettoyage terminé."