Le rançongiciel JanaWare cible la Turquie via Adwind RAT

Résumé

Un groupe de menace utilise une variante personnalisée du rat basé sur Java pour déployer une charge utile de ransomware connue sous le nom de JanaWare. L’activité vise principalement les utilisateurs en Turquie, le malware effectuant des vérifications basées sur la localisation et l’IP avant de poursuivre l’exécution. Les chercheurs ont suivi des échantillons liés depuis 2020, tandis que l’activité récente de commandement et de contrôle indique que la campagne est restée active en 2025.

Enquête

L’équipe Acronis TRU a examiné des fichiers JAR malveillants distribués via des e-mails de phishing qui ont été lancés grâce à Outlook et Chrome. Une fois exécutée, la chaîne d’infection est passée à javaw.exe, qui a chargé la souche personnalisée de Adwind RAT et a ensuite déployé le composant de ransomware JanaWare. L’analyse a également montré l’utilisation de fichiers JAR polymorphiques, d’une infrastructure de commandement et de contrôle basée sur Tor, et d’une demande de rançon rédigée en turc.

Atténuation

Les défenseurs devraient bloquer le domaine malveillant elementsplugin.duckdns.org et tous les ports associés, tout en restreignant l’exécution de fichiers JAR Java non signés dans tout l’environnement. Les équipes de sécurité devraient également surveiller les lignes de commande chrome.exe suspectes liées aux téléchargements depuis Google Drive et renforcer les protections des e-mails contre la livraison par phishing. Les défenses des points de terminaison doivent être ajustées pour identifier le comportement du Adwind RAT ainsi que l’activité suspecte de chiffrement des fichiers liée à l’exécution du ransomware.

Réponse

Si une infection est suspectée, isolez immédiatement les systèmes affectés, terminez javaw.exe et tous les processus malveillants associés, et capturez les éléments de preuve volatiles avant la fermeture ou le nettoyage. Les efforts de récupération devraient donner la priorité à la restauration des fichiers depuis des sauvegardes propres vérifiées. Les équipes de réponse aux incidents devraient également rassembler la télémétrie de commande et contrôle disponible et évaluer si une notification aux autorités law enforcement est appropriée dans les cas impliquant des demandes de rançon ou de l’extorsion.

Exécution de simulation

Prérequis : Le contrôle télémétrie et de référence pré-vol doit avoir réussi.

Rationale : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narratif de l’attaque et commandes :
  Un attaquant ayant obtenu un accès utilisateur à faible privilège souhaite désactiver Windows Defender pour préparer le terrain à un déploiement de ransomware. En utilisant le binaire signé powershell.exe (T1218.001), l’attaquant exécute une ligne unique qui désactive la surveillance en temps réel et désactive la protection basée sur le cloud, affaiblissant ainsi la posture défensive du point de terminaison.

  # Désactiver la surveillance en temps réel et la protection sur le cloud
  Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable

  La ligne de commande contient le mot-clé Set-MpPreference , qui correspond aux critères de sélection de la règle de détection. sélection critères.

• Script de test de régression : Le script PowerShell autonome suivant reproduit l’attaque et garantit que la télémétrie est générée.

  # ==============================
  # Simulation : Désactiver Microsoft Defender
  # ==============================
  try {
      Write-Host "[*] Désactivation de la surveillance en temps réel..."
      Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable
      Write-Host "[+] Defender désactivé."
  } catch {
      Write-Error "Échec de la modification des préférences de Defender : $_"
  }

• Commandes de nettoyage : Rétablir la configuration originale de Defender pour éviter de laisser le point de terminaison exposé.

  # Réactiver la surveillance en temps réel et la protection sur le cloud
  Set-MpPreference -DisableRealtimeMonitoring $false -MAPSReporting Advanced
  Write-Host "[*] Defender restauré à l'état par défaut."