Alerte de Menace : Intensification de l’Exploitation de Bomgar RMM par les Attaquants

SOC Prime Team

Suivre

Alerte de Menace : Intensification de l’Exploitation de Bomgar RMM par les Attaquants

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Huntress a signalé une augmentation des attaques exploitant des instances compromises de surveillance et de gestion à distance Bomgar suite à la divulgation publique du CVE-2026-1731. Les acteurs de la menace ont utilisé la faille pour exécuter du code à distance, créer des comptes à privilèges élevés, et déployer des logiciels d’accès à distance supplémentaires et des ransomwares. Dans plusieurs cas, l’activité a conduit au déploiement du ransomware LockBit, ainsi que d’outils tels qu’AnyDesk et Atera. La campagne a touché à la fois les clients directs de Bomgar et les organisations en aval qu’ils soutiennent.

Investigation

Le SOC de Huntress a suivi plusieurs incidents entre février et avril 2026 et a identifié une activité malveillante liée à bomgar-scc.exe, avec des attaquants utilisant des sessions RMM détournées pour lancer des outils tels que NetScan, HRSword, et des pilotes personnalisés. Les intrus ont créé de nouveaux comptes d’administrateur local et de domaine, installé des agents RMM secondaires, et exécuté la charge utile du ransomware LockBit LB3.exe. Les enquêteurs ont également trouvé des signes d’utilisation avérée du constructeur LockBit 3.0 et de techniques de type apportez votre propre pilote vulnérable dans les environnements affectés.

Atténuation

Les organisations doivent appliquer les correctifs officiels de BeyondTrust Remote Support qui corrigent le CVE-2026-1731 et mettre à jour les systèmes affectés vers la version 25.3.2 ou ultérieure. Les équipes de sécurité doivent également surveiller la création inattendue de comptes à privilèges, l’exécution d’outils RMM non autorisés, des tâches planifiées suspectes, et des installations inhabituelles de pilotes. Des contrôles d’accès stricts et une supervision accrue des plateformes RMM sont essentiels pour réduire le risque de compromissions similaires.

Réponse

Si cette activité est détectée, isolez immédiatement les systèmes impactés, révoquez les identifiants Bomgar compromis, et retirez les outils de gestion à distance non autorisés de l’environnement. Les intervenants en cas d’incident devraient ensuite effectuer une analyse forensic pour identifier les charges utiles de ransomware, les mécanismes de persistance, et tout mouvement latéral. Les efforts de récupération devraient s’appuyer sur des sauvegardes saines, tandis que les clients en aval devraient être avisés rapidement pour que la remédiation et le renforcement coordonnés puissent commencer.

graph TB classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef driver fill:#ffddaa classDef account fill:#ccccff classDef system fill:#dddddd initial_access[« Accès initial – T1210 Exploitation des services distants Vulnérabilité non authentifiée CVE-2026-1731 dans Bomgar (BeyondTrust Remote Support) permettant l’exécution de code. »]:::action tool_bomgar[« Outil – Nom : Bomgar Remote Support Vulnérabilité : CVE-2026-1731 »]:::tool execution_proxy[« Exécution – T1218 Exécution proxy via binaire système Binaire signé HRSword.exe utilisé comme proxy pour lancer la charge malveillante LB3.exe. »]:::action execution_script[« Exécution – T1216 Exécution proxy via script système »]:::action tool_hrsword[« Outil – Nom : HRSword.exe Signé : Oui (subversion de la signature de code) »]:::tool malware_lb3[« Malware – Nom : LB3.exe (variante LockBit) Objectif : chiffrement par ransomware »]:::malware subvert_trust[« Sous-technique – T1553.002 Signature de code Signatures valides exploitées pour contourner les contrôles de confiance. »]:::action masquerade[« Sous-technique – T1036.001 Usurpation avec signature de code invalide Le binaire semble légitime malgré une intention malveillante. »]:::action trusted_proxy[« Sous-technique – T1127 Exécution proxy via utilitaires développeur de confiance Les pilotes agissent comme proxy pour le code malveillant. »]:::action device_discovery[« Sous-technique – T1652 Découverte des pilotes de périphériques Identifier les pilotes chargés dans le système. »]:::action persistence_local_account[« Persistance – T1136.001 Création de compte : Local Compte local \ »Adminpwd123.1\ » créé. »]:::action persistence_domain_account[« Persistance – T1136.002 Création de compte : Domaine Compte de domaine \ »123123qwEqwE\ » créé. »]:::action valid_account_local[« Comptes valides – T1078.003 Comptes locaux »]:::account valid_account_domain[« Comptes valides – T1078.002 Comptes de domaine »]:::account account_manipulation[« Élévation de privilèges – T1098.007 Groupes locaux ou de domaine supplémentaires Les comptes sont ajoutés aux groupes Administrators et Domain Admins. »]:::action defense_impair[« Évasion de défense – T1562 Altération des défenses Des pilotes malveillants sont installés pour arrêter les solutions EDR. »]:::action driver_poisonx[« Pilote – Nom : PoisonX.sys Fonction : Désactive la surveillance de sécurité. »]:::driver driver_hrwfpdrv[« Pilote – Nom : hrwfpdrv.sys Fonction : Désactive la surveillance de sécurité. »]:::driver lateral_ssh[« Mouvement latéral – T1021.004 Services distants : SSH Shell Bomgar compromis (SYSTEM) utilisé pour exécuter des commandes sur d’autres hôtes. »]:::action remote_services[« Mouvement latéral – T1021 Services distants »]:::action tool_anydesk[« Outil – Nom : AnyDesk »]:::tool tool_atera[« Outil – Nom : Atera Installation : msiexec C:\\PerfLogs\\setup.msi, tâche planifiée AteraAgentServiceWatchdog »]:::tool tool_screenconnect[« Outil – Nom : ScreenConnect Client Chemin : C:\\Program Files (x86)\\ScreenConnect Client »]:::tool discovery_groups[« Découverte – T1069.002 Découverte des groupes de permissions : groupes de domaine Énumération des groupes de domaine et de leurs membres. »]:::action discovery_network[« Découverte – T1590 Collecte d’informations réseau de la victime NetScan et nltest.exe utilisés pour l’énumération du réseau. »]:::action impact_encryption[« Impact – T1486 Données chiffrées pour impact LockBit chiffre les fichiers sur les points d’extrémité compromis. »]:::action impact_financial[« Impact – T1657 Vol financier Note de rançon avec adresse onionmail fournie pour le paiement. »]:::action initial_access –>|exploits| tool_bomgar tool_bomgar –>|provides access to| execution_proxy execution_proxy –>|uses| tool_hrsword tool_hrsword –>|launches| malware_lb3 malware_lb3 –>|performs| impact_encryption execution_proxy –>|subverts trust via| subvert_trust execution_proxy –>|masquerades as| masquerade execution_proxy –>|leverages| trusted_proxy subvert_trust –>|enables creation of| persistence_local_account subvert_trust –>|enables creation of| persistence_domain_account persistence_local_account –>|creates| valid_account_local persistence_domain_account –>|creates| valid_account_domain valid_account_local –>|added to| account_manipulation valid_account_domain –>|added to| account_manipulation account_manipulation –>|grants| lateral_ssh defense_impair –>|installs| driver_poisonx defense_impair –>|installs| driver_hrwfpdrv driver_poisonx –>|disables| tool_anydesk driver_hrwfpdrv –>|disables| tool_atera lateral_ssh –>|uses| remote_services remote_services –>|deploys| tool_anydesk remote_services –>|deploys| tool_atera remote_services –>|deploys| tool_screenconnect discovery_groups –>|feeds information to| lateral_ssh discovery_network –>|feeds information to| lateral_ssh impact_encryption –>|leads to| impact_financial

Flux du Attaque

Narration d’Attaque & Commandes :
1. Pied-à-terre initial : L’attaquant utilise une session Bomgar compromise pour ouvrir une invite de commande à distance sur la machine cible.
2. Préparation des identifiants : L’attaquant connaît le fragment de mot de passe admin de domaine de la victime Adminpwd123.1 et un jeton de service volé 123123qwEqwE.
3. Escalade de privilèges : Pour se fondre avec l’activité légitime, l’attaquant invoque le binaire natif net.exe , intégrant les deux fragments dans la ligne de commande (les fragments ne sont pas requis pour l net opération mais satisferont la correspondance de chaîne de la règle).
4. Ajout de groupe : L’attaquant ajoute un nouvel utilisateur créé eviladmin à la fois au groupe Administrateurs locaux et au groupe Admins de Domaine.
La ligne de commande exacte exécutée sur l’hôte compromis est :
```
cmd /c "net localgroup administrators eviladmin /add && echo 123123qwEqwE && echo Adminpwd123.1"
```
Une commande similaire est exécutée pour le groupe de domaine :
```
cmd /c "net group "Domain Admins" eviladmin /add && echo 123123qwEqwE && echo Adminpwd123.1"
```

Script de Test de Régression :

#=========================================================================
# Test d'ajout de groupe exploitation‑Bomgar – déclenche la règle Sigma a1672291‑...
#=========================================================================
$user = "eviladmin"
$pwdFragment = "123123qwEqwE"
$adminPwdFragment = "Adminpwd123.1"

# Ajouter aux Administrateurs Locaux (net.exe)
$localCmd = "net localgroup administrators $user /add && echo $pwdFragment && echo $adminPwdFragment"
Write-Host "Exécution de l'ajout admin local..."
cmd.exe /c $localCmd

# Ajouter aux Admins de Domaine (net.exe) – suppose que la machine est jointe au domaine
$domainCmd = "net group `"Domain Admins`" $user /add && echo $pwdFragment && echo $adminPwdFragment"
Write-Host "Exécution de l'ajout admin de domaine..."
cmd.exe /c $domainCmd

Commandes de Nettoyage :

# Supprimer l'utilisateur de test des groupes privilégiés
$user = "eviladmin"

# Nettoyage des Administrateurs Locaux
cmd.exe /c "net localgroup administrators $user /delete"

# Nettoyage des Admins de Domaine (nécessite des droits de domaine)
cmd.exe /c "net group `"Domain Admins`" $user /delete"

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement