Warden Stealer : La Montée Rapide d’un Infostealer avec un Appétit pour les Données des Agents AI

Résumé

Warden Stealer est un logiciel malveillant émergent de type infostealer basé sur Rust et disponible en tant que service (malware-as-a-service), ciblant les systèmes Windows. Il se distingue par la collecte de fichiers de configuration et de données locales à partir d’assistants IA et d’outils de codage agentiques. Le logiciel malveillant inclut également un chargeur intégré et un coupeur de cryptomonnaie pour étendre ses capacités de vol d’identification et de monétisation.

Enquête

Des chercheurs ont identifié Warden Stealer en corrélant les résultats techniques avec des publicités sur des forums clandestins et des interviews d’acteurs de la menace. L’attribution a lié le malware CallbackBeaver à Warden Stealer grâce à son implémentation distinctive en Rust, sa fonctionnalité de métamorphose de code, et ses configurations spécifiques de coupeur de cryptomonnaie. L’enquête a également documenté sa technique de contournement de l’encryption liée à l’application (ABE) et ses méthodes avancées d’injection de chargeur.

Atténuation

Les organisations doivent surveiller les injections de processus suspects dans des processus légitimes tels que explorer.exe et l’utilisation non autorisée de certutil.exe. Les contrôles de sécurité des points de terminaison doivent également détecter les modèles d’accès mémoire anormaux associés à une éventuelle activité de contournement ABE. Sécuriser les fichiers de configuration des agents IA et faire tourner les jetons d’accès exposés ou de grande valeur peut également réduire le risque de vol d’identifiants.

Réponse

Lorsque l’activité de Warden Stealer est détectée, isolez le point de terminaison Windows affecté pour éviter toute exfiltration de données ou déplacement latéral supplémentaire. Effectuez une analyse forensique de la mémoire pour identifier les charges injectées et inspectez %TEMP% pour des binaires non autorisés. Faites tourner les identifiants stockés par le navigateur, les cookies de session, et particulièrement les jetons d’accès et de rafraîchissement des agents IA qui pourraient avoir été exposés.

Exécution de Simulation

• Narration de l’Attaque & Commandes : Un adversaire a exécuté avec succès une charge utile de Warden Stealer. Pour éviter la détection via des signatures basées sur des fichiers, le logiciel malveillant utilise l’injection de processus pour se cacher dans un processus légitime. Une fois établi, le malware tente de se connecter à son serveur de commande et de contrôle (C2) pour exfiltrer les identifiants volés. Pour valider cette règle de détection, nous allons simuler un processus initiant une connexion au domaine malveillant connu skibidistealer.team via le port 443. Cette action est destinée à déclencher le Nom d'hôte de destination correspondance dans la logique de détection.

• Script de test de régression :

  # Script de Simulation C2 Warden Stealer
  # Ce script simule un processus se connectant à un domaine Warden Stealer blacklisté.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] Démarrage de la simulation de communication C2 vers $C2_Domain sur le port $Port..." -ForegroundColor Cyan
  
  try {
      # Nous utilisons une requête web standard pour imiter le comportement d'un processus 
      # communicant via HTTPS vers le domaine malveillant.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] Connexion réussie (Attendue pour la simulation)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Could not create SSL/TLS secure channel" -or $_.Exception.Message -match "Unable to connect") {
          Write-Host "[+] Tentative de connexion et bloquée/échouée comme prévu (Domaine probablement inexistant)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] Une erreur est survenue : $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] Simulation terminée." -ForegroundColor Cyan

• Commandes de Nettoyage :

  # Aucun changement persistant n'est effectué par ce script de simulation.
  # Assurez-vous que toutes les connexions réseau temporaires sont fermées.
  Write-Host "[+] Nettoyage des artefacts de simulation..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue