RESTER DE STOCKER Un Autre Jour : La Dernière Addition à l’Appareil de Collecte de Renseignements de Turla

Résumé

Le Groupe d’Intelligence des Menaces de Google a identifié STOCKSTAY, une porte dérobée multi-composants .NET utilisée par le groupe de menaces lié à la Russie Turla. Le malware est conçu avec une architecture modulaire incluant un tunnel, un orchestrateur, et un composant de la porte dérobée, communiquant tous via des WebSockets sécurisés. Il est destiné à soutenir des opérations d’espionnage informatique à long terme contre des cibles gouvernementales et militaires.

Investigation

GTIG a effectué une analyse approfondie de l’écosystème STOCKSTAY et a retracé son développement jusqu’en décembre 2022. Les chercheurs ont cartographié ses composants modulaires, examiné son utilisation de clés environnementales pour décrypter les données de configuration, et documenté son changement d’identité de l’utilitaire boursier à d’autres applications bénignes. L’enquête a également révélé l’utilisation de K1MORPHER pour l’obscurcissement de chaîne et des liens avec l’outil KAZUAR connu de Turla.

Atténuation

Les organisations doivent déployer une surveillance stricte pour détecter des comportements suspects d’applications .NET et un trafic WebSocket inhabituel vers des domaines inconnus. Il est également crucial de se défendre contre un accès initial par des fichiers RDP malveillants et de renforcer les protections des courriels contre le phishing. En outre, corriger des vulnérabilités comme CVE-2025-8088 dans WinRAR peut aider à bloquer le déploiement basé sur l’exploitation.

Réponse

Si une activité de STOCKSTAY est détectée, isolez immédiatement les hôtes affectés pour stopper la communication de commande et de contrôle et le mouvement latéral. Menez une enquête forensic détaillée pour déterminer l’ampleur complète de la compromission, en mettant un accent particulier sur les changements de registre non autorisés et les tâches planifiées nouvellement créées. Les journaux réseau doivent également être examinés pour des sessions WebSocket de longue durée, et les systèmes doivent être vérifiés pour la présence de fichiers de composants STOCKSTAY.

Exécution de la simulation

Prérequis : Le Contrôle préalable de télémétrie et de baseline doit avoir été approuvé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un diagnostic erroné.

• Narratif de l’attaque & Commandes : L’adversaire vise à établir une persistance en utilisant un outil se faisant passer pour un composant de mise à jour Microsoft légitime. Pour éviter la détection, l’attaquant a renommé sa porte dérobée STOCKSTAY en MicrosoftUpdateOneDrive.exe et l’a placé dans un répertoire temporaire. L’objectif est d’exécuter ce processus pour initier une connexion de shell inversé ou de commande et contrôle (C2), en s’appuyant sur le nom « légitime » pour contourner la surveillance de base des processus.

• Script de test de régression :

  # Script de simulation : Exécution de masquage STOCKSTAY
  $MaliciousName = "MicrosoftUpdateOneDrive.exe"
  $TargetDir = "$env:TEMPStockstaySim"
  
  # 1. Créer un répertoire et un fichier "malveillant" simulés
  if (!(Test-Path $TargetDir)) { New-Item -Path $TargetDir -ItemType Directory -Force }
  $FakeBinary = Join-Path $TargetDir $MaliciousName
  
  # 2. Créer un exécutable fictif (en utilisant cmd.exe renommé à des fins de simulation)
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination $FakeBinary -Force
  
  Write-Host "[+] Simulation : Créé $FakeBinary" -ForegroundColor Cyan
  
  # 3. Exécuter le processus "malveillant"
  Write-Host "[+] Simulation : Exécution de $MaliciousName..." -ForegroundColor Yellow
  Start-Process -FilePath $FakeBinary -ArgumentList "/c echo STOCKSTAY_SIMULATION_ACTIVE" -WindowStyle Hidden
  
  Write-Host "[+] Simulation : Déclenchement de l'exécution du processus." -ForegroundColor Green

• Commandes de nettoyage :

  # Script de nettoyage
  $TargetDir = "$env:TEMPStockstaySim"
  if (Test-Path $TargetDir) {
      Remove-Item -Path $TargetDir -Recurse -Force
      Write-Host "[+] Nettoyage : Répertoire de simulation $TargetDir supprimé" -ForegroundColor Green
  } else {
      Write-Host "[-] Nettoyage : Répertoire de simulation non trouvé." -ForegroundColor Red
  }