KimJongRAT Continue d’Évoluer en Exploitant des Sites de Confiance

Résumé

Une récente campagne KimJongRAT a été observée utilisant GitHub Releases et Google Drive comme plateformes de confiance pour héberger et diffuser des logiciels malveillants. Cette variante mise à jour mélange les fonctionnalités d’InfoStealer et de RAT tout en s’appuyant sur des techniques de Living Off Trusted Sites (LOTS) pour réduire les chances de détection. Elle a également évolué pour récupérer dynamiquement les adresses de commande et contrôle depuis Google Drive, réduisant ainsi le besoin de recompiler à répétition.

Enquête

L’enquête a examiné une campagne de mai 2026 dans laquelle les victimes ont été redirigées via des liens raccourcis vers des archives ZIP hébergées sur GitHub contenant des fichiers LNK malveillants. Les chercheurs ont cartographié la chaîne d’exécution, y compris l’exploitation de mshta.exe, VBScript et PowerShell pour lancer des charges utiles en plusieurs étapes. L’analyse a également révélé une nouvelle capacité impliquant le déploiement de MeshAgent pour un accès à distance à long terme.

Atténuation

Les organisations doivent appliquer des contrôles stricts sur l’exécution des fichiers LNK et mshta.exe lorsqu’ils proviennent de sources non fiables. Surveiller le comportement suspect de PowerShell, y compris les commandes encodées en Base64 et les téléchargements à partir de services cloud tels que Google Drive et GitHub, est essentiel. Restreindre les outils de gestion à distance non autorisés comme MeshAgent peut limiter davantage l’impact de la compromission.

Réponse

Si cette activité est détectée, isolez immédiatement les hôtes touchés pour éviter le mouvement latéral et l’exfiltration de données. Effectuez une analyse de la mémoire pour identifier les DLL malveillantes ou les composants PowerShell actifs. Examinez les journaux d’accès à Google Drive et GitHub pour toute activité inhabituelle liée à l’infrastructure identifiée, et mettez à jour les détections des points de terminaison avec les indicateurs de compromission extraits.

Exécution de simulation

Prérequis : Le contrôle préalable à l’exécution des télémétries et des lignes de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront des erreurs de diagnostic.

• Narration et commandes d’attaque : L’adversaire a réussi à prendre pied et tente d’exécuter la charge utile KimJongRAT. Pour échapper aux détections basées sur des signatures simples, le malware est conçu pour exécuter un script PowerShell dans une fenêtre cachée, contournant la politique d’exécution, et passant un nom de fichier journal spécifique comme paramètre pour gérer sa configuration chiffrée. L’objectif est d’établir un cheval de Troie d’accès à distance (RAT) persistant et furtif sur la machine de la victime. Nous exécuterons le modèle de commande exact identifié dans la règle de détection pour valider la logique « selection_execute ».

• Script de test de régression :

  # Simulation du schéma d'exécution de KimJongRAT
  # Cela crée un script fictif pour satisfaire l'exigence '-File'
  "Write-Output 'Simulation de la charge utile KimJongRAT'" | Out-File -FilePath "1.ps1" -Encoding ascii
  
  # Exécution de la commande qui déclenche la règle de détection
  # Remarque : Ceci est exécuté de manière à imiter exactement les arguments de la ligne de commande.
  Start-Process powershell.exe -ArgumentList "-ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -File 1.ps1 -FileName 1.log" -WindowStyle Hidden

• Commandes de nettoyage :

  # Supprimer les fichiers factices créés pendant la simulation
  Remove-Item -Path "1.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "1.log" -ErrorAction SilentlyContinue