Campagne de Poisoning SEO Déploie le Malware Armorsteal

Résumé

Une campagne d’empoisonnement SEO utilise de faux sites web se faisant passer pour Chocolatey et les Scripts d’Activation de Microsoft pour distribuer Armorsteal, une famille de malwares basée sur Python. Le malware comprend des modules d’accès à distance, de surveillance et de vol d’informations conçus pour exfiltrer des données sensibles, y compris des portefeuilles de cryptomonnaies et des identifiants de navigateurs. L’attaque repose sur l’obfuscation Pyarmor et établit automatiquement la persistance grâce à des tâches planifiées.

Investigation

Le Threat Hunting de Zscaler a découvert la campagne en retraçant les résultats de recherche empoisonnés vers des domaines typosquattés. Les analystes ont observé le déploiement d’un environnement Python 3.11 et identifié des signatures RSA-2048 utilisées pour vérifier les commandes. L’enquête a également documenté les changements dans l’infrastructure C2 à mesure que l’acteur de la menace se déplaçait entre les domaines et les hébergeurs.

Atténuation

Les organisations devraient bloquer les domaines et adresses IP malveillants identifiés dans tous les contrôles de sécurité. Les défenseurs devraient enquêter sur les endpoints pour déceler des tâches planifiées non autorisées et des fichiers suspects stockés dans les répertoires système de Windows. La révision des exclusions de Microsoft Defender et l’éducation des utilisateurs à vérifier les sources de téléchargement de logiciels légitimes peuvent également contribuer à réduire l’exposition à la campagne.

Réponse

Lorsqu’une activité d’Armorsteal est détectée, isolez immédiatement les systèmes infectés et éliminez les tâches planifiées non autorisées telles que SysCheck2 et SysCheckX. Recherchez des fichiers suspects sous C:WindowsSystemHealthUpdate et examinez les journaux PowerShell pour les téléchargements malveillants. Surveillez le trafic HTTPS sortant pour les endpoints C2 connus et inspectez les processus de navigateur lancés avec les ports de débogage à distance activés.

Exécution de simulation

• Narrative de l’attaque & Commandes : Un adversaire a réussi à tromper un utilisateur via un empoisonnement SEO pour exécuter un script malveillant. L’objectif est d’installer le module d’accès à distance Armorsteal. Pour éviter la détection, l’attaquant utilise un script PowerShell nommé install.ps1 qui, lors de son exécution, crée une structure de répertoires trompeuse C:WindowsSystemHealthUpdate pour cacher ses composants, se faisant passer pour une mise à jour légitime de santé du système Windows.

• Script de test de régression :

  # Simulation de modèle d'installation Armorsteal
  # Étape 1 : Créer la structure de répertoires trompeuse
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Étape 2 : Simuler l'exécution de l'installateur malveillant
  # Cette commande est conçue pour déclencher les logiques 'selection_powershell' et 'selection_directory'
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Note : Puisque install.ps1 pourrait ne pas exister localement, nous simulons le déclenchement de la ligne de commande
  # ce que la règle Sigma cherche réellement.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Étape 3 : Créer un fichier factice dans ce répertoire pour déclencher l'exigence 'selection_directory'
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Commandes de nettoyage :

  # Supprimer le répertoire et les fichiers malveillants créés lors de la simulation
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force