UNC7017 cible AOMEI Technology dans une attaque sur la chaîne d’approvisionnement logicielle

Résumé

UNC7017 a mené une campagne sophistiquée de chaîne d’approvisionnement logicielle ciblant l’infrastructure de mise à jour de AOMEI Technology. L’acteur menaçant a utilisé de courtes fenêtres de manipulation de configuration pour rediriger les demandes de mise à jour vers des serveurs malveillants, aidant ainsi à échapper aux analyses traditionnelles effectuées à un moment donné. La campagne a livré une chaîne de charges utiles multi-étapes comprenant le téléchargeur CROSSROAD et la porte dérobée SHINYROAD.

Enquête

L’enquête a été menée conjointement par le Mandiant Google Threat Intelligence Group (GTIG) et le ManageEngine Threat Analysis Lab (METAL). Les chercheurs ont détecté la campagne via la télémétrie EDR et ont confirmé que l’adversaire se fondait sur des fenêtres de manipulation éphémères ne durant que cinq à dix minutes. L’analyse a également montré un changement d’infrastructure des fournisseurs de cloud vers des domaines thématiques dédiés et un stockage cloud légitime.

Atténuation

Les fournisseurs devraient appliquer une vérification de signature cryptographique de bout en bout pour tous les exécutables et fichiers de configuration téléchargés. Les organisations devraient mettre en œuvre un ancrage de destination strict pour les clients de mise à jour afin d’empêcher la redirection vers des domaines non autorisés. Restreindre les schémas URI dans les gestionnaires d’application peut également aider à prévenir les attaques de coercition d’identifiants NTLM basées sur WebDAV.

Réponse

Les équipes de sécurité devraient effectuer des recherches rétrospectives sur les terminaux et réseaux couvrant la période d’avril à juillet 2026. Priorisez la surveillance des processus enfants non signés lancés par des exécuteurs de mise à jour légitimes et les signes de redirection réseau non autorisée. Les analystes devraient inspecter les fichiers de configuration des terminaux mis en cache localement au lieu de se fier uniquement aux vérifications en direct des URL hébergées par des fournisseurs.

Exécution de Simulation

• Narrative & Commandes de l’Attaque : Un adversaire a déployé avec succès un téléchargeur CROSSROAD sur un poste de travail via une compromission de la chaîne d’approvisionnement (T1195.002). Pour éviter que plusieurs instances de la porte dérobée n’interfèrent les unes avec les autres ou ne provoquent une instabilité du système, le logiciel malveillant tente de créer un mutex spécifique. L’objectif de l’attaquant est d’établir une porte dérobée persistante (T1547) pour le contrôle et l’exfiltration de données à long terme. La simulation exécutera un script PowerShell imitant ce comportement en créant les chaînes de mutex global et local exactes identifiées dans la règle de détection.

• Script de Test de Régression :

   # Script de simulation de Mutex CROSSROAD/SHINYROAD
    # Ce script simule la création des mutex spécifiques ciblés par la règle de détection.
  
    Write-Host "[*] Lancement de la simulation de Mutex..." -ForegroundColor Cyan
  
    # 1. Simuler le Mutex Global (CROSSROAD)
    try {
        $globalMutexName = "GlobalF9E6E3C0-E11A-4F85-9944-AF4AD6E05883"
        Write-Host "[!] Tentative de création du Mutex Global : $globalMutexName" -ForegroundColor Yellow
        $globalMutex = New-Object System.Threading.Mutex($true, $globalMutexName)
        Write-Host "[+] Mutex Global créé avec succès." -ForegroundColor Green
    } catch {
        Write-Error "[X] Échec de la création du Mutex Global : $($_.Exception.Message)"
    }
  
    # 2. Simuler le Mutex Local (SHINYROAD)
    try {
        $localMutexName = "Local963d3c60-d406-4ad6-aa1e-dc8e45061ccf"
        Write-Host "[!] Tentative de création du Mutex Local : $localMutexName" -ForegroundColor Yellow
        $localMutex = New-Object System.Threading.Mutex($true, $localMutexName)
        Write-Host "[+] Mutex Local créé avec succès." -ForegroundColor Green
    } catch {
        Write-Error "[X] Échec de la création du Mutex Local : $($_.Exception.Message)"
    }
  
    Write-Host "[*] Les mutex sont maintenus pendant 30 secondes pour garantir la capture de télémétrie..." -ForegroundColor Cyan
    Start-Sleep -Seconds 30
  
    # Nettoyage (Libération manuelle est gérée par la sortie du script, mais explicite est mieux)
    if ($globalMutex) { $globalMutex.ReleaseMutex() }
    if ($localMutex) { $localMutex.ReleaseMutex() }
  
    Write-Host "[*] Simulation complète." -ForegroundColor Cyan

• Commandes de Nettoyage :

   # En cas d'interruption du script, exécutez ceci pour libérer les mutexes
    # Remarque : Dans PowerShell, si le processus meurt, l'OS nettoie généralement le mutex.
    # Il s'agit d'une précaution de sécurité pour le coureur de simulation.
    Write-Host "[*] Exécution du nettoyage..."
    # Aucune commande spécifique requise si le processus se termine, mais nous garantissons aucune poignée suspendue.