Secrets de la Stéganographie : Logiciel malveillant caché en pleine vue

Exécution de Simulation

Prérequis: Le contrôle préalable de la télémétrie et des bases de référence doit avoir été passé.

Raisonnement: Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narration et Commandes d’Attaque:

  1. Préparation – Charge Utile Stéganographique:
     L’attaquant intègre un DLL Remcos RAT compilé à l’intérieur d’un JPEG bénin en utilisant un outil personnalisé (StegoEmbed.exe). Le fichier résultant (malicious.jpg) transporte la charge utile malveillante dans ses données de pixel.

  2. Livraison – Exécution du Chargeur DotNET:
     L’attaquant exécute un chargeur basé sur .NET (dotnet.exe) qui se réfère à l’image stego et inclut l’argument Loader. Le chargeur lit l’image, extrait le DLL intégré, et le charge directement en mémoire (exécution en mémoire) sans écrire sur le disque, réalisant ainsi une élévation de privilège via une faille (T1068).

  3. Résultat – Balise RAT:
     Une fois en mémoire, le Remcos RAT établit une connexion réseau au serveur C2.

  La télémétrie critique générée est un événement de création de processus où :

  • Image (Nom du Processus) contient DotNET (dotnet.exe).
  • Ligne de Commande contient le mot littéral Loader.

  Cela satisfait la règle Sigma selection_dotnet_loader.

• Script de Test de Régression:

  # ---------------------------------------------------------
  # Script de Simulation – Chargeur DotNET avec Stéganographie (T1027.003)
  # ---------------------------------------------------------
  # 1. Créer une image stego factice (espace réservé – pas besoin d'intégration réelle)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Exécuter le chargeur .NET avec le drapeau requis
  #    Utiliser le dotnet.exe légitime pour imiter le nom d'image “DotNET”.
  #    L'argument “Loader” déclenche la règle Sigma.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Lancement du chargeur dotnet avec l'argument: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Attendre une courte période pour s'assurer que le processus est capturé par Sysmon
  Start-Sleep -Seconds 5
  
  # 4. OPTIONNEL : Simuler une balise RAT (trafic réseau) – pas requis pour le test de la règle
  # ---------------------------------------------------------
  Write-Host "[*] Simulation terminée. Vérifiez l'alerte dans le SIEM."

• Commandes de Nettoyage:

  # ---------------------------------------------------------
  # Nettoyage – supprimer l'image stego temporaire et arrêter les processus de chargeur restant
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Supprimer l'image temporaire
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Supprimé $stegoPath"
  }
  
  # Arrêter les processus dotnet démarrés par ce script (identifiés par l'argument "Loader")
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Processus ID $($_.Id) terminée"
      }
  # ---------------------------------------------------------