Blizzard de Minuit Lié à une Campagne d’Espionnage à Grande Échelle

Résumé

ReversingLabs a identifié une campagne d’espionnage à grande échelle associée au groupe de menaces russe Midnight Blizzard. L’opération utilise un stager PowerShell connu sous le nom de ChocoShell et une porte dérobée basée sur Go appelée CornFlake pour voler les identifiants et maintenir la persistance. L’acteur de la menace aurait utilisé Claude AI pour reconstruire et redéployer des implants logiciels dans le but d’échapper à la détection.

Enquête

Les chercheurs ont élargi deux hachages de logiciels malveillants initiaux à travers une analyse de télémétrie, découvrant un serveur de mise en scène, cinq variantes de stager supplémentaires, des documents leurre et une infrastructure de phishing associée. L’enquête a montré que bien que les hachages de logiciels malveillants changeaient fréquemment en raison des reconstructions assistées par IA, le comportement central et les modèles de communication C2 restaient en grande partie cohérents à travers les échantillons.

Atténuation

Les organisations devraient examiner l’activité de connexion Microsoft Entra ID pour les tentatives d’authentification par code d’appareil suspectes. Bloquer les flux de code d’appareil via l’accès conditionnel est recommandé là où c’est opérationnellement faisable. Les équipes de sécurité devraient également mettre en œuvre un blocage au niveau du réseau pour les adresses IP C2 identifiées et les domaines malveillants ressemblants associés à la campagne.

Réponse

Lorsque des activités malveillantes sont détectées, les intervenants devraient enquêter sur les tentatives de vol de jetons Microsoft 365 et de phishing par code d’appareil. Vérifier la création non autorisée de services et les processus suspects exécutant depuis LocalAppData. Examiner les blocs de scripts PowerShell pour les adresses IP brutes intégrées, les commandes inhabituelles et les étiquettes de stage spécifiques liées à la chaîne d’attaque observée.

Exécution de simulation

• Narratif de l’attaque & Commands: L’adversaire cherche à établir la persistance et à échapper à la détection en se faisant passer pour un composant de service Windows légitime. L’attaquant crée une structure de répertoire AppDataLocalMicrosoftsvchost32 et dépose un binaire malveillant nommé svchost32.exe. En utilisant un nom similaire à celui du légitime svchost.exe, l’attaquant espère se fondre dans le bruit d’un système chargé. Une fois placé, le binaire est exécuté pour simuler l’activité de la porte dérobée basée sur Go.

• Script de test de régression:

  # Script de simulation pour la détection de svchost32.exe de Midnight Blizzard
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Créer la structure de répertoires
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Répertoire créé : $targetDir"
  }
  
  # 2. Créer un fichier factice pour représenter le malware (imitant le nom/fichier/chemin)
  # Dans un scénario réel, ce serait le binaire de la porte dérobée Go réel
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Fichier exécutable factice créé : $executablePath"
  
  # 3. Exécuter le "malware" pour déclencher l'ID d'événement Sysmon 1
  Write-Host "[!] Exécution de la porte dérobée simulée..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Exécution terminée. Vérifiez le SIEM pour la détection."

• Commandes de nettoyage:

  # Script de nettoyage pour supprimer les artefacts simulés
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Répertoire et fichiers de simulation supprimés : $targetDir"
  } else {
      Write-Host "[-] Répertoire non trouvé, rien à nettoyer."
  }