À l’intérieur du Banana RAT de SHADOW-WATER-063 : Du serveur de compilation à la fraude bancaire

Exécution de Simulation

Prérequis : La Vérification Préalable de Télémetrie & de Base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (communication C2) conçue pour déclencher la règle de détection. Les commandes et le récit reflètent directement les TTPs identifiés et visent à générer la télémétrie exacte attendue par la logique de détection.

• Narratif & Commandes d’Attaque :
  L’acteur malveillant a déployé le Banana RAT sur le point de terminaison de la victime. Pour maintenir la persistance et recevoir des commandes, le RAT initie une communication sortante vers son infrastructure C2 codée en dur :

  1. Balise HTTP (IP 24.199.90.58:80) : Ouvre une socket TCP brute et envoie une requête minimale HTTP GET.
  2. Balise HTTPS (IP 162.141.111.227:443) : Utilise Invoke-WebRequest avec TLS au serveur C2.
  3. Balise Basée sur le Domaine : Effectue une recherche DNS pour c.windowsk-cdn.com, que le C2 surveille pour le volume de requêtes.

  Ces trois actions sont exécutées de manière séquentielle pour maximiser les chances de taper au moins une sélection dans la règle Sigma.

• Script de Test de Régression :

  # -------------------------------------------------
  # Simulation de Communication C2 Banana RAT (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. Balise HTTP vers 24.199.90.58:80
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Connection: Close")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "Échec de la balise HTTP : $_" }
  
  # 2. Balise HTTPS vers 162.141.111.227:443
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "Échec de la balise HTTPS : $_" }
  
  # 3. Requête DNS pour domaine malveillant
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "Échec de la requête DNS : $_" }
  
  # Fin de la simulation

• Commandes de Nettoyage :

  # -------------------------------------------------
  # Nettoyage - supprimer les sockets en attente ou les fichiers temporaires
  # -------------------------------------------------
  # Aucun artéfact persistant n'est créé par la simulation.
  # Assurez-vous qu'aucune connexion réseau résiduelle ne reste :
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # Vider le cache DNS pour éviter d'affecter les tests suivants
  Clear-DnsClientCache