Campagne d’attaque basée sur le driver PoisonX cible les organisations japonaises

Résumé

Une campagne observée en avril 2026 a utilisé des courriels de spear-phishing avec des fichiers LNK malveillants ou des téléchargements exécutables hébergés sur Google Cloud Storage. La charge utile fournie a installé un pilote de noyau appelé PoisonX avec un RAT modulaire nommé 10FXRAT, permettant aux attaquants d’obtenir des privilèges au niveau du noyau, de désactiver les outils de sécurité et de dissimuler les activités malveillantes. Des variantes ultérieures ont également adopté des tactiques BYOVD grâce à des pilotes signés légitimes tels que EneIo64.sys and procexp.sys. Cette activité a été observée ciblant des organisations au Japon et en Chine.

Enquête

Le rapport décrit toute la chaîne d’exécution, en commençant par un téléchargeur basé sur LNK qui invoque curl.exe, puis en passant aux composants PXDropper qui déploient le pilote PoisonX et les modules 10FXRAT. Il décrit également les routines IOCTL basées sur le pilote utilisées pour mettre fin aux processus liés à la sécurité et masquer le trafic réseau. Les chercheurs ont documenté les vérifications anti-analyse, les modifications de registre, la création de services et les méthodes de persistance, et ont listé les adresses IP de commande et de contrôle codées en dur associées à l’opération.

Atténuation

Les défenseurs doivent surveiller l’activité inattendue d’installation de pilotes, en particulier les pilotes qui ne sont pas signés ou signés de manière suspecte, et la création de services avec des noms de fichiers de type HID aléatoires. La détection doit également couvrir les modifications du registre qui ajoutent des exclusions de Microsoft Defender ou désactivent les services Defender. Le trafic sortant vers les plages IP de commande et de contrôle identifiées doit être bloqué, et la surveillance du réseau doit chercher la valeur magique 0x58463031 dans les charges TCP.

Réponse

En cas de détection de cette activité, isolez immédiatement le point final affecté, déchargez le pilote PoisonX si possible, et terminez tous les processus 10FXRAT. Restaurez les paramètres de registre modifiés, réactivez les protections de Microsoft Defender, et remplacez les fichiers modifiés par des versions propres de sources fiables. Une enquête judiciaire complète doit ensuite être réalisée pour identifier les mécanismes de persistance et examiner le trafic vers les serveurs de commande et de contrôle connus.

Exécution de la simulation

Prérequis : La vérification préliminaire de la télémétrie et de la ligne de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narratif de l’attaque et commandes :
  L’attaquant injecte d’abord une charge utile shellcode personnalisée dans usoclient64.exe pour obtenir un pied dans le processus de confiance (T1574.009). Avec le processus détourné, ils exécutent un one-liner PowerShell qui ajoute le dossier de la charge utile malveillante à la liste des exclusions de Windows Defender (T1564.012). Enfin, ils désactivent les services de sécurité principaux en utilisant une chaîne cmd.exe qui arrête Windows Defender, le Centre de sécurité Windows, et tout antivirus tiers (T1547.001 persistance via l’interruption du service).

  1. Hollowing / Injection de processus – simuler en lançant usoclient64.exe avec un script PowerShell qui dort (représente le code injecté).
  2. Ajouter une exclusion Defender – commande PowerShell correspondant exactement à la chaîne de la règle.
  3. Arrêter les services de sécurité – cmd.exe one-liner qui arrête les services.

• Script de test de régression :

  # -------------------------------------------------------------------------
  #  Script de simulation – déclenche la règle Sigma pour un comportement similaire à 10FXRAT
  # -------------------------------------------------------------------------
  
  # 1. Simuler l'injection usoclient64.exe (espace réservé à l'implantation du processus)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Lancement de usoclient64.exe (injection simulée)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. Commande PowerShell qui ajoute un chemin d'exclusion Defender (correspond à la règle)
  Write-Host "[*] Ajout du chemin d'exclusion de Windows Defender..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Désactiver les services de sécurité via cmd (correspond à la règle)
  Write-Host "[*] Arrêt des services de sécurité..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Simulation terminée. Vérifiez les alertes dans le SIEM."

• Commandes de nettoyage :

  # -------------------------------------------------------------------------
  #  Nettoyage – restaure la posture de sécurité normale
  # -------------------------------------------------------------------------
  
  # Supprimer l'exclusion Defender
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Redémarrer les services arrêtés
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Quitter éventuellement l'instance usoclient64.exe injectée
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Nettoyage terminé."