De W-2 à BYOVD : Comment une recherche fiscale mène à la désactivation AV/EDR en mode noyau

Résumé

Une vaste opération de malvertising exploite les publicités Google liées aux recherches de formulaires fiscaux pour distribuer un faux installateur ScreenConnect. Cet installateur déploie un crypteur en plusieurs étapes, qui charge ensuite une utilitaire BYOVD appelée HwAudKiller. L’outil installe un pilote audio Huawei signé et utilise un accès au niveau du noyau pour terminer les processus AV et EDR. Une fois les contrôles de sécurité désactivés, les attaquants récupèrent les identifiants LSASS et collectent les identifiants à travers le réseau avec NetExec. L’activité souligne comment la livraison de logiciels malveillants de commodité peut être associée à un pilote de noyau personnalisé pour obtenir un accès furtif, supprimer les défenses et maintenir la persistance.

Enquête

Les chercheurs de Huntress ont suivi le chemin de redirection depuis anukitax.com to bringetax.com et ont confirmé la livraison d’un faux package MSI de ScreenConnect. Le fichier crypteds.exe déposé utilise une astuce d’allocation de mémoire de 2 Go pour l’évasion et lance un shellcode de manière indirecte via timeSetEvent avant de charger HwAudKiller. Cette charge utile écrit Havoc.sys dans %TEMP% et enregistre un service noyau nommé Havoc pour terminer une liste codée en dur de processus de sécurité. Lors d’une deuxième intrusion, les attaquants ont accédé via un compromis VPN, ont réutilisé le même pilote, étendu la liste des processus à tuer pour inclure les processus FortiEDR, dumpé LSASS en utilisant comsvcs.dll, et se sont déplacés latéralement avec NetExec.

Atténuation

Les organisations devraient bloquer ou autoriser de manière stricte les déploiements légitimes de ScreenConnect et surveiller les noms d’hôte de relais d’instance-* d’essai inconnus. Les équipes de sécurité devraient surveiller les pilotes noyau chargés depuis des chemins temporaires et alerter sur l’ID d’événement Sysmon 6 et l’activité d’installation de services Windows. Des contrôles d’exécution stricts devraient être appliqués aux fichiers écrits dans C:WindowsSystemTempScreenConnect et %TEMP%. Les efforts de sensibilisation des utilisateurs devraient également renforcer le fait que les résultats de recherche d’annonces Google ne doivent pas être des sources de confiance pour les téléchargements liés aux impôts.

Réponse

Si un installateur ScreenConnect malveillant est trouvé, isolez immédiatement le terminal, collectez crypteds.exe et tout pilote Havoc.sys déposé, et arrêtez le service Havoc. Commencez les procédures de réinitialisation des identifiants pour les comptes potentiellement compromis et révoquez les accès exposés. Ensuite, scannez l’environnement plus large pour des connexions de relais ScreenConnect supplémentaires, des exécutions de NetExec et des signes de dumping LSASS. Enfin, documentez et partagez les IOCs découverts avec les canaux internes et externes de renseignement sur les menaces.

Exécution de simulation

Prérequis : La vérification pré-vol Télémetrie & Baseline doit être passée.

Justificatif : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le narratif DOIVENT refléter directement les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection.

• Narration & Commandes de l’attaque :

  1. Accès initial via Malvertising : La victime clique sur une annonce malveillante lors de la recherche de formulaires fiscaux, ce qui déclenche un téléchargement furtif de form_w9.msi.
  2. Installation de logiciel véreux : Le MSI installe silencieusement un outil de support à distance de type ScreenConnect et dépose crypteds.exe and sent.exe dans le %TEMP% répertoire.
  3. Récolte d’identifiants : crypteds.exe est lancé pour vider les secrets LSA.
  4. DLL Side‑Loading via Rundll32 : Pour échapper à la détection statique, l’attaquant charge une DLL malveillante en utilisant rundll32.exe avec la DLL système comsvcs.dll comme point d’entrée, ce qui exécutera la charge utile embarquée.

  Les commandes exactes (simulées sur une machine de test) sont:

  # 1. Déployer le MSI malveillant (simulé)
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. Lancer l'outil de dump d'identifiants
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. Charger la charge utile malveillante via rundll32 en utilisant comsvcs.dll
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• Script de test de régression : Le script ci-dessous automatise les étapes ci-dessus et garantit que la télémetrie générée correspond aux attentes de la règle de détection.

  # Script de test de régression – Simule la campagne de malvertising
  # -----------------------------------------------------------
  # 0. Prérequis : Assurez-vous que Sysmon fonctionne avec la journalisation des lignes de commande activée.
  
  # Variables
  $msiPath   = "$env:TEMPform_w9.msi"
  $dumpTool  = "$env:TEMPcrypteds.exe"
  $payload   = "$env:TEMPsent.exe"
  $dllPath   = "C:windowsSystem32comsvcs.dll"
  
  # Aide : Créer des fichiers fictifs pour imiter les binaires malveillants
  New-Item -Path $msiPath   -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool  -ItemType File -Force | Out-Null
  New-Item -Path $payload   -ItemType File -Force | Out-Null
  
  Write-Host "[*] Installation du MSI malveillant (simulé)..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] Exécution de l'outil de dump d'identifiants..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] Exécution de DLL side-loading via rundll32..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] Simulation complète. Vérifiez la détection via le SIEM."

• Commandes de nettoyage : Retirer les artefacts fictifs et arrêter tous les processus persistants.

  # Script de nettoyage
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Terminer tous les processus rundll32 errants déclenchés par le test
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force