L’illusion du décodage de certificat : Comment Blank Grabber Stealer dissimule son chargeur

Résumé

BlankGrabber est un infostealer basé sur Python qui commence par un chargeur de script batch qui « décode » un étapeur compilé en Rust se faisant passer pour un fichier de certificat. L’étapeur effectue des vérifications de sandbox et de machines virtuelles, décrypte une charge utile intégrée et dépose plusieurs composants malveillants, y compris un client XWorm et un stealer packagé avec PyInstaller. L’exfiltration s’appuie sur des services web publics tels que les APIs des bots Telegram et des points de terminaison de recherche d’IP pour se fondre dans le trafic normal. Le malware altère également les paramètres système, bloque l’accès aux sites de sécurité et tente un contournement UAC pour renforcer la persistance.

Enquête

L’équipe de recherche sur les menaces Splunk a analysé le chargeur initial livré via gofile.io, son utilisation de certutil.exe pour le décodage de la charge utile, et la logique d’anti-analyse de l’étapeur Rust. Ils ont rétroconçu le flux de décryptage AES-GCM/CTR, extrait une archive ZIP intégrée et cartographié l’ensemble des charges utiles résultantes. Les tests comportementaux ont montré une large découverte d’hôte, une capture de webcam, une collecte du presse-papiers et le vol des clés de l’hôte et d’autres artefacts sensibles.

Atténuation

Surveillez les utilisations suspectes de certutil.exe, les commandes PowerShell qui modifient les préférences de Windows Defender et les modifications non autorisées du fichier hosts. Soyez alerté lors de l’exécution de WinRAR/rar.exe depuis des chemins non standard et des recherches DNS vers l’API Telegram ou des services de recherche d’IP connus. Bloquez les noms de fichiers malveillants connus et limitez l’exécution de binaires Python emballés avec PyInstaller non signés à l’aide de politiques de contrôle des applications.

Réponse

Si des indicateurs sont détectés, isolez le point de terminaison, préservez les preuves volatiles et capturez le répertoire %TEMP% pour un examen médico-légal. Supprimez les tâches planifiées ou les entrées Run du registre malveillantes, rétablissez toutes les modifications du fichier hosts, et rétablissez les exclusions de Windows Defender. Effectuez une réinitialisation complète des identifiants pour les identifiants de navigateur potentiellement exposés et les données de portefeuille crypto.

Exécution de Simulation

Prérequis : Le Contrôle Pré-vol de Télémetrie & Baseline doit avoir réussi.

Motivation : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection.

• Narration de l’Attaque & Commandes :
  L’adversaire, ayant compromis le point de terminaison avec le stealer BlankGrabber, émet des requêtes DNS vers trois services distincts utilisés par le malware pour le C2 et la reconnaissance :

  1. Domaine API Telegram – utilisé pour obtenir des commandes via un bot Telegram.

     Resolve-DnsName -Name api.telegram.org -Type A

  2. Service de vérification Publique-IP – obtient l’adresse IP externe de la victime pour l’exfiltration ultérieure.

     Resolve-DnsName -Name api.ipify.org -Type A

  3. Service de partage de fichiers abusé – envoie un petit bloc de données codé via un sous-domaine de pastebin.com.

     Resolve-DnsName -Name maliciouspayload.pastebin.com -Type A

  Chaque appel est effectué en utilisant la fonction native de PowerShell Resolve-DnsName pour s’assurer que les journaux du client DNS sont générés sur l’hôte local. Les trois requêtes mappent directement aux trois blocs de sélection_ de la règle Sigma, garantissant une correspondance.

• Script de Test de Régression :

  # Simulation de C2 DNS BlankGrabber – déclenche la règle de détection
  $domains = @(
      "api.telegram.org",
      "api.ipify.org",
      "maliciouspayload.pastebin.com"
  )
  
  foreach ($d in $domains) {
      Write-Host "Interrogation de $d ..."
      try {
          Resolve-DnsName -Name $d -Type A -ErrorAction Stop | Out-Null
          Write-Host "✅ $d interrogé"
      } catch {
          Write-Warning "❌ Échec de l'interrogation de $d : $_"
      }
      Start-Sleep -Seconds 2   # léger délai pour imiter le trafic réaliste
  }

• Commandes de Nettoyage :

  # Aucun artefact persistant n'est créé par Resolve-DnsName.
  # Effacez le cache DNS pour supprimer les entrées résiduelles.
  ipconfig /flushdns
  Write-Host "Cache DNS vidé."