Remcos RAT livré via un bon de commande trompeur

Ruslan Mikhalov Chef de la Recherche sur les Menaces chez SOC Prime

Suivre

Remcos RAT livré via un bon de commande trompeur

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Un email de phishing à thème de commande d’achat livre une archive avec une double extension qui extrait un chargeur VBS malveillant. Ce chargeur lance un processus PowerShell caché, qui récupère un faux fichier PNG contenant une charge utile encodée. La charge utile est ensuite déobfusquée, reconstruite en tant qu’exécutable portable .NET, et chargée directement en mémoire, déployant finalement le cheval de Troie d’accès à distance Remcos. La campagne met en valeur une chaîne d’exécution sans fichier construite autour de techniques d’attaque par email familières.

Investigation

L’analyse a suivi toute la séquence d’infection de l’email de phishing original au déploiement final du RAT Remcos. Les enquêteurs ont identifié des artefacts clés, y compris le nom du script VBS, l’utilisation des variables d’environnement PowerShell, et l’URL utilisée pour télécharger le faux fichier PNG. L’assemblage .NET reconstruit a été chargé en mémoire, tandis que des entrées de registre spécifiques à Remcos et des artefacts de mutex ont aidé à confirmer la charge utile finale. Les chercheurs ont également capturé des indicateurs de réseau pertinents, y compris le domaine de commande et de contrôle lié à la campagne.

Atténuation

Les organisations devraient renforcer le scan des pièces jointes et bloquer les fichiers d’archive utilisant des doubles extensions trompeuses. Les politiques d’exécution PowerShell devraient être appliquées, et l’utilisation de wscript.exe devrait être strictement restreinte lorsque c’est possible. Les défenseurs devraient également surveiller les clés de registre suspectes sous HKCUSOFTWARE et suivre les empreintes digitales TLS JA3 associées à l’activité Remcos. Les passerelles de sécurité email devraient être mises à jour régulièrement pour améliorer la détection des leurres de phishing ciblant les flux de travail de l’approvisionnement et des finances.

Réponse

Si cette activité est détectée, isolez immédiatement le point d’extrémité affecté et terminez les processus PowerShell or wscript.exe suspects. Collectez des dumps mémoire et des artefacts de registre pertinents pour analyse forensic avant le nettoyage. Retirez la charge utile Remcos et les entrées de persistance associées, puis réinitialisez les identifiants qui pourraient avoir été exposés. Une recherche de menace plus large devrait également être conduite à travers l’environnement pour identifier les systèmes montrant des indicateurs similaires.

"graph TB %% Class definitions classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef file fill:#e6e6e6 classDef process fill:#ffeb99 classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef config fill:#dddddd %% Node definitions action_phishing["Action – T1566.001 Spearphishing Attachment La victime reçoit un email avec une archive malveillante nommée Sarens PO_SB-0407026-001_PDF.txz"] class action_phishing action technique_masquerade["Technique – T1036.007 Masquerading: Double File Extension L’archive utilise l’extension .txz mais apparaît comme .pdf pour tromper l’utilisateur"] class technique_masquerade technique action_user_exec["Action – T1204.002 User Execution La victime ouvre l’archive, causant l’extraction d’un script VBS"] class action_user_exec action file_vbs["File – Script VBS Nom: Sarens PO_SB-0407026-001_PDF.vbs"] class file_vbs file process_wscript["Process – wscript.exe Exécute le script VBS"] class process_wscript process process_powershell["Process – PowerShell Se lance avec un bypass de la politique d’exécution pour télécharger la charge utile distante"] class process_powershell process file_payload_image["File – Fausses Image Nom: optimized_MSI.png Contient la charge utile encodée en Base64 de l’exécutable portable .NET"] class file_payload_image file technique_proc_inject_tls["Technique – T1055.005 Process Injection: Thread Local Storage PowerShell injecte du code via TLS"] class technique_proc_inject_tls technique technique_proc_inject_apc["Technique – T1055.004 Process Injection: Asynchronous Procedure Call PowerShell injecte du code via APC"] class technique_proc_inject_apc technique technique_proc_inject_pe["Technique – T1055.002 Process Injection: Portable Executable Injection L’exécutable portable .NET reconstruit est chargé en mémoire avec AppDomain.Load"] class technique_proc_inject_pe technique malware_remcos["Malware – Remcos RAT Etablit un canal TLS chiffré vers le domaine C2"] class malware_remcos malware comm_c2_web["Technique – T1102.003 Web Service: Oneu2011Way Communication Connexion TLS chiffrée vers dentalux202.ydns.eu"] class comm_c2_web technique registry_key["Configuration – Clé de Registre HKCUSOFTWARERmcu2011HQO1B7 créée par le RAT"] class registry_key config mutex["Configuration – Mutex Identificateur de mutex Remcos Rmcu2011HQO1B7"] class mutex config %% Connections action_phishing –>|delivers| technique_masquerade technique_masquerade –>|leads to| action_user_exec action_user_exec –>|extracts| file_vbs file_vbs –>|executed by| process_wscript process_wscript –>|launches| process_powershell process_powershell –>|downloads| file_payload_image file_payload_image –>|provides| technique_proc_inject_tls file_payload_image –>|provides| technique_proc_inject_apc file_payload_image –>|provides| technique_proc_inject_pe technique_proc_inject_tls –>|enables| malware_remcos technique_proc_inject_apc –>|enables| malware_remcos technique_proc_inject_pe –>|enables| malware_remcos malware_remcos –>|communicates via| comm_c2_web malware_remcos –>|creates| registry_key malware_remcos –>|creates| mutex "

Flux d’attaque

powershell.exe -ExecutionPolicy Bypass -NoLogo -WindowStyle Hidden -EncodedCommand <BASE64_PAYLOAD>

Script de Test de Régression

#--------------------------------------------------------------------
# Script de Simulation : Exécution VBS → Bypass de la politique d'exécution PowerShell
#--------------------------------------------------------------------
# 1. Construire une petite charge utile PowerShell (par exemple, écrire un fichier marqueur)
$payload = 'Set-Content -Path "$env:Temppwned.txt" -Value "Compromis"'
$encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))

# 2. Créer le fichier VBS malveillant qui exécute la commande PowerShell
$vbsContent = @"
Set objShell = CreateObject("WScript.Shell")
objShell.Run "powershell.exe -ExecutionPolicy Bypass -NoLogo -WindowStyle Hidden -EncodedCommand $encoded", 0, False
"@

$vbsPath = "$env:Tempmalicious.vbs"
Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 3. Exécuter le script VBS (simule le double-clic de l'utilisateur)
Start-Process -FilePath "wscript.exe" -ArgumentList "`"$vbsPath`"" -WindowStyle Hidden

# Facultatif : attendez quelques secondes pour que la charge utile s'exécute
Start-Sleep -Seconds 5

Write-Host "Simulation complète. Vérifiez $env:Temppwned.txt pour un artefact."
#--------------------------------------------------------------------

Commandes de Nettoyage

# Retirer les artefacts créés durant la simulation
Remove-Item -Path "$env:Tempmalicious.vbs" -ErrorAction SilentlyContinue
Remove-Item -Path "$env:Temppwned.txt" -ErrorAction SilentlyContinue
# Arrêter tout processus PowerShell résiduel démarré par le script (si nécessaire)
Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Stop-Process -Force

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement