Porte dérobée de Lindnor et outils destructeurs de sécurité utilisés dans une attaque par ransomware aux États-Unis

Résumé

Une attaque par ransomware contre une organisation américaine impliquait le ransomware Anubis et une nouvelle porte dérobée personnalisée identifiée sous le nom de Backdoor.Lindnor. Les attaquants ont utilisé plusieurs outils Voluntaires d’Apporter Votre Propre Pilote Vulnérable (BYOVD) et des exécutables désactivant la sécurité pour obtenir un accès au niveau du noyau. L’intrusion a finalement été perturbée avant que l’étape de chiffrement du ransomware ne puisse commencer.

Enquête

L’enquête a commencé après la détection de la porte dérobée Lindnor sur deux systèmes Microsoft SQL Server. Les analystes ont découvert que les attaquants avaient déguisé le logiciel malveillant en composants liés à Chrome et VMware tout en déployant plusieurs outils conçus pour terminer les services de sécurité. Un logiciel d’accès à distance légitime tel qu’AnyDesk, configuré pour fonctionner en mode sans échec, a également été observé.

Atténuation

Les organisations devraient configurer des contrôles de sécurité pour bloquer le chargement non autorisé de pilotes et réduire l’exposition aux techniques BYOVD. Des contrôles stricts d’exécution pour les pilotes non signés ou connus comme vulnérables sont essentiels. Les équipes de sécurité devraient également surveiller les outils d’accès à distance non autorisés et les modifications suspectes du registre associées à la persistance ou l’exécution en mode sans échec.

Réponse

Lorsqu’une activité malveillante est détectée, isolez les systèmes SQL Server affectés et auditez les exécutables et pilotes récemment installés. Effectuez une chasse complète pour la porte dérobée Lindnor et les fichiers connexes tels que healthcontroller64.exe or svchelper.exe. Examinez les clés du registre pour les modifications liées à AnyDesk et enquêtez sur la création de comptes d’utilisateurs locaux non autorisés.

Exécution de la simulation

• Narratif de l’attaque & Commandes : L’adversaire a obtenu un accès initial et entend établir un canal d’accès distant persistant qui survit à un redémarrage en mode sans échec. Pour échapper à la détection par le suivi standard du dossier de démarrage, l’attaquant cible les configurations du registre Windows Safe Boot. Ils utilisent reg.exe pour injecter une nouvelle valeur dans la clé du registre SafeBootNetwork , la nommant spécifiquement « AnyDesk » et la définissant sur « Service ». Cela garantit que lorsqu’un technicien ou l’attaquant déclenche le mode sans échec, AnyDesk démarre automatiquement, fournissant une porte dérobée pendant que la suite de sécurité principale est inactive.

• Script de test de régression :

  # Script de simulation pour imiter la persistance en mode sans échec d'AnyDesk via reg.exe
  # Cette commande correspond aux chaînes spécifiques de la logique de détection.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Exécution de la commande de simulation : $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Succès : La télémétrie devrait avoir été générée."
  } else {
      Write-Host "[-] Échec : Commande échouée. Assurez-vous que le script est exécuté en tant qu'administrateur."
  }

• Commandes de nettoyage :

  # Script de nettoyage pour supprimer la clé de registre simulée
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Nettoyage : Suppression de $registryPath"
  reg delete "$registryPath" /f