Campagne de Malware APT-Q-27 Focalisée sur le Support Client Web3

Résumé

Un acteur de menace motivé par des raisons financières, suivi sous le nom de APT-Q-27 (alias GoldenEyeDog), mène une campagne de logiciels malveillants en plusieurs étapes qui commence par des interactions de chat d’assistance clientèle Web3. L’appât initial est un fichier .pif déguisé en capture d’écran, qui déploie un chargeur .NET personnalisé. Ce chargeur tire des étapes supplémentaires de AWS S3, crée un répertoire de mise en scène caché, et utilise le chargement de DLL en associant une DLL malveillante à un exécutable légitime de la plateforme YY. La phase finale installe une porte dérobée qui communique sur un port TCP non standard, permettant un accès à distance furtif au-delà des bases de trafic web typiques.

Enquête

ZeroShadow a analysé plusieurs variantes de chargeurs, y compris Feedback.exe et photo2025060268jpg.exe, et a récupéré une URL C2 encodée en double-Base64 intégrée dans la chaîne. L’ingénierie inverse a révélé la logique de décryptage du chargeur et le flux de travail de chargement utilisé pour amorcer l’exécution. Les analystes ont également documenté un marqueur de chemin de mise en scène cohérent contenant « @27 », ainsi qu’un mécanisme de persistance via une valeur HKCU Run nommée SystemUpdats. La porte dérobée a été observée utilisant un ensemble codé en dur de 37 adresses IP C2, communiquant sur TCP 15628, tout en mélangeant l’activité en référant à des URL de mise à jour Microsoft comme indicateurs de réseau leurres.

Atténuation

Activer la visibilité complète des extensions de fichiers et bloquer l’exécution de fichiers .pif sur tous les terminaux. Surveiller les créations de répertoires cachés dans les emplacements de cache de style Windows Update et générer des alertes sur la valeur de clé Run SystemUpdats. Renforcer UAC en empêchant les attaquants de remettre à zéro simultanément les trois clés de politique pertinentes, et restreindre la connectivité sortante au TCP 15628 aux points de sortie. Appliquer la validation de la signature du code et examiner scrupuleusement les binaires signés lancés à partir de répertoires non systèmes pour réduire le risque de chargement de DLL.

Réponse

Si des détections se déclenchent, isoler le terminal et conserver à la fois la mémoire et les artefacts disque pour le triage. Chercher le répertoire de mise en scène contenant « @27 », l’entrée de clé de Run SystemUpdats, et toutes les DLL suspectes associées à l’exécutable légitime YY. Bloquer les IPs/noms de domaine C2 identifiés et déployer des politiques de contrôle des applications qui empêchent l’exécution d’applications non signées ou non fiables à partir de chemins de profils utilisateur. Étendre la portée à travers la flotte pour les mêmes modèles de persistance et de réseau afin d’identifier des hôtes supplémentaires affectés.

Exécution de Simulation

Prérequis : Le contrôle préalable de télémétrie et de base doit être réussi.

Rationale: Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et la narration doivent refléter directement les TTP identifiées et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narration et Commandes de l’Attaque :
  Un adversaire avec les droits d’administrateur local cherche à désactiver l’UAC pour faciliter le chemin pour des outils d’escalade de privilèges supplémentaires. En utilisant l’utilitaire natif reg.exe (un binaire vivant sur la terre), l’attaquant définit les trois valeurs de politique UAC critiques sur 0 en succession rapide (moins de 30 secondes) pour éviter les détections par des processus d’audit manuels.

  # Étape 1 – Désactiver UAC “EnableLUA”
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v EnableLUA /t REG_DWORD /d 0 /f
  
  # Étape 2 – Désactiver l'invite de consentement pour les administrateurs
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
  
  # Étape 3 – Désactiver le bureau sécurisé pour les prompts UAC
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

  Ces trois commandes génèrent trois Événements du Registre logs (EventID 4657 dans le canal Sécurité et les événements correspondants Microsoft-Windows-Registry/Operational ) contenant les chemins de ObjectifCible et les Détails valeurs que la règle Sigma associe.

• Script de Test de Régression : Le script PowerShell suivant effectue les trois écritures avec une pause de 5 secondes entre chacune pour rester confortablement dans la fenêtre de 30 secondes, tout en fournissant également un flux d’exécution déterministe.

  # Test de Régression – Désactiver UAC via registre
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  # Stocker les valeurs originales pour un nettoyage ultérieur
  $originalEnableLUA = (Get-ItemProperty -Path $regPath -Name EnableLUA -ErrorAction SilentlyContinue).EnableLUA
  $originalConsent   = (Get-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -ErrorAction SilentlyContinue).ConsentPromptBehaviorAdmin
  $originalPrompt    = (Get-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -ErrorAction SilentlyContinue).PromptOnSecureDesktop
  
  # Désactiver UAC
  Set-ItemProperty -Path $regPath -Name EnableLUA -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value 0
  
  Write-Host "UAC désactivé – les journaux de vérification devraient maintenant être ingérés."

• Commandes de Nettoyage : Rétablir les paramètres UAC d’origine pour ramener le système à son état avant test.

  # Nettoyage – Restaurer les paramètres UAC d'origine
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA }
  if ($null -ne $originalConsent)   { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent }
  if ($null -ne $originalPrompt)    { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt }
  
  Write-Host "Paramètres UAC restaurés aux valeurs d'origine."