Campagne Liée à APT36 Utilisant KMS Auto dans une Intrusion Multi-Étapes

Résumé

Une intrusion en plusieurs étapes a été observée, commençant par l’abus de KMS Auto pour livrer une séquence de charges malveillantes. La chaîne d’attaque a progressé de l’exploitation minière de cryptomonnaie via XMRig à un déploiement d’accès à distance utilisant ScreenConnect et MeshAgent, culminant avec une charge scareware se faisant passer pour un ransomware. La phase finale a utilisé des tactiques psychologiques en changeant les fonds d’écran et en affichant de fausses demandes de rançon sans chiffrement effectif des fichiers.

Enquête

K7Labs a analysé une séquence d’événements où une exécution initiale de KMS Auto a conduit à une série d’activités post-compromission avec un intervalle constant de 12 à 24 heures entre les étapes. La télémétrie a suivi le déploiement de XMRig, suivi de l’utilisation malveillante d’outils de gestion à distance légitimes, et enfin d’une charge nommée SecurityHealthServices.exe. L’analyse a confirmé que la charge finale était un scareware conçu pour imiter le comportement des ransomwares à travers la défiguration visuelle et la manipulation des extensions de fichiers.

Atténuation

Les organisations devraient restreindre l’utilisation des utilitaires d’activation de logiciels non autorisés et surveiller l’exécution d’outils à double usage connus comme XMRig ou les logiciels RMM non autorisés. La mise en œuvre d’une liste blanche stricte des applications et la surveillance des extensions de fichiers inhabituelles ou du renommage massif de fichiers peuvent aider à atténuer les impacts. Les utilisateurs doivent être informés d’éviter les dépôts de logiciels non officiels et les sites de torrents pour les téléchargements d’utilitaires.

Réponse

Dès détection, isolez le point d’extrémité affecté pour empêcher d’autres étapes de l’infection en plusieurs étapes. Effectuez une analyse médicolégale complète pour les fichiers cachés dans AppData et les multiples mécanismes de persistance dans les dossiers de démarrage et les clés de registre. Enquêter sur la présence d’outils de gestion à distance non autorisés comme ScreenConnect ou MeshAgent pour identifier l’étendue de l’accès de l’attaquant.

Exécution de simulation

• Narration de l’attaque & Commandes : Un adversaire a obtenu un accès initial et a l’intention de déployer un mineur de cryptomonnaie et des outils d’accès à distance pour maintenir une présence à long terme et monétiser la brèche. L’attaquant exécute d’abord un outil nommé kmsauto_setup.exe à partir d’un répertoire temporaire. Ils tentent ensuite de lancer xmrig.exe pour commencer le détournement de ressources. Pour faciliter le contrôle à distance, ils déposent et exécutent meshagent.exe. Cette séquence crée les motifs spécifiques que la règle de détection est conçue pour détecter.

• Script de test de régression :

  # Simulation d'une exécution multi-étapes de style APT36 pour validation de la règle
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Simuler l'exécution de KMS Auto (Déclenchement de 'kmsauto' dans le chemin de l'image)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulation de l'exécution de KMS Auto..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Simuler l'exécution de XMRig (Déclenchement de 'xmrig' dans la ligne de commande)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulation de l'exécution de XMRig..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Simuler l'exécution de MeshAgent (Déclenchement de 'meshagent' dans la ligne de commande)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulation de l'exécution de MeshAgent..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Simulation complète. Vérifiez SIEM pour les alertes."

• Commandes de nettoyage :

  # Nettoyage des artefacts de simulation
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Nettoyage réussi : $tempDir retiré."
  } else {
      Write-Host "[!] Échec du nettoyage : Répertoire introuvable."
  }