Le Mineur Pas Si Silencieux : Compilation de Cryptomineurs Basée sur le Point de Terminaison

Résumé

Un acteur de menace a exploité une vulnérabilité de Samsung MagicINFO pour obtenir un accès initial à un point final géré. Plutôt que de déployer un binaire pré-construit, l’attaquant a compilé un cryptomineur Monero personnalisé directement sur l’hôte compromis en utilisant plusieurs compilateurs C et utilitaires .NET. Cette approche a permis une optimisation spécifique à l’environnement mais a également produit une télémétrie EDR très visible en raison de l’augmentation soudaine de l’activité de compilation.

Enquête

Les chercheurs de Huntress ont identifié l’intrusion grâce à une télémétrie EDR inhabituelle associée à une installation de Samsung MagicINFO. L’enquête a retracé l’activité jusqu’à un service Apache Tomcat (tomcat9.exe) exécutant des commandes pour télécharger AnyDesk via certutil et PowerShell. Les analystes ont également observé l’attaquant créer un compte d’administrateur local, désactiver Windows Defender et exécuter plusieurs compilateurs pour construire le cryptomineur.

Atténuation

Les organisations doivent rapidement patcher toutes les déploiements Samsung MagicINFO exposés à Internet pour corriger les vulnérabilités connues. Les défenseurs devraient surveiller les tentatives répétées de téléchargement d’outils d’accès à distance (RMM) et les exécutions de compilateurs inattendues sur les points finaux. Limiter l’exposition à Internet des logiciels de gestion de signalisation numérique peut également réduire la surface d’attaque.

Réponse

Lorsqu’une activité de compilation suspecte ou des téléchargements RMM non autorisés sont détectés, isolez immédiatement le point final affecté pour prévenir toute exécution supplémentaire de charges utiles. Menez une enquête médico-légale complète pour déterminer le vecteur d’accès initial, y compris les services Web vulnérables. Passez en revue les comptes utilisateurs locaux pour déceler des ajouts non autorisés et vérifiez l’intégrité des contrôles de sécurité tels que Microsoft Defender.

Exécution de simulation

• Narratif de l’attaque et commandes : L’adversaire a obtenu un accès initial et cherche à s’assurer une persistance à long terme et à éviter la détection. L’attaquant commence par créer un utilisateur local nommé oldadministrator et l’ajoute au groupe Administrateurs locaux. Pour empêcher Windows Defender de signaler leurs téléchargements d’outils ultérieurs, l’attaquant invoque SystemSettingsAdminFlows.exe avec l’argument disable cette séquence spécifique est conçue pour imiter un schéma connu utilisé par certaines familles de logiciels malveillants de cryptominage pour affaiblir les défenses de l’hôte.

• Script de test de régression :

  # Script de simulation : Déclencher la détection 'oldadministrator' et la désactivation de Defender
  # Note : Ce script doit être exécuté avec des privilèges administratifs
  
  Write-Host "[+] Démarrage de la simulation..." -ForegroundColor Cyan
  
  # 1. Créer le nom d'utilisateur spécifique requis par la règle de détection
  Write-Host "[+] Création du compte : oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Simuler la désactivation de Defender via SystemSettingsAdminFlows.exe
  # Nous utilisons le modèle de ligne de commande spécifique recherché par la règle
  Write-Host "[+] Exécution de SystemSettingsAdminFlows.exe avec l'argument 'disable'" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulation terminée. Vérifiez les alertes dans le SIEM." -ForegroundColor Green

• Commandes de nettoyage :

  # Script de nettoyage : Supprimer les artefacts simulés
  Write-Host "[+] Nettoyage des artefacts de simulation..." -ForegroundColor Cyan
  
  # Supprimer l'utilisateur créé
  net user oldadministrator /delete
  
  # Remarque : Nous ne réactivons pas Defender via un script pour éviter de modifier l'état du système
  # sauf si spécifiquement requis pour la stabilité de l'environnement de test.