Des Mains Sont sur Votre Clavier Puis sur Tout Votre Réseau. Gracieuseté de ClickFix, Potemkin, RMMProject et EtherRAT

Résumé

Une campagne de social engineering appelée ClickFix a été utilisée pour déployer le chargeur Potemkin, qui a ensuite livré à la fois le RAT RMMProject et EtherRAT. L’intrusion comprenait une activité directe sur le clavier, un mouvement latéral à travers WMIExec et SMBExec, et des tentatives pour affaiblir ou désactiver Microsoft Defender. Au total, les attaquants se sont propagés à plus de 11 systèmes à l’intérieur de l’environnement de la victime.

Enquête

L’enquête a retracé la compromission jusqu’à un endpoint non géré où un utilisateur a exécuté une commande malveillante. Les analystes ont identifié un chargeur personnalisé appelé Potemkin qui utilise un algorithme déterministe de génération de domaines, ainsi qu’un RAT activé par Lua nommé RMMProject qui pourrait contourner le chiffrement lié à l’application Chrome. Les chercheurs ont également documenté EtherRAT, qui récupère l’infrastructure de commandement et de contrôle via la blockchain Ethereum, ainsi que l’utilisation de tunnels Chisel lors de l’intrusion.

Atténuation

L’une des défenses les plus efficaces consiste à désactiver la boîte de dialogue Exécuter de Windows via la stratégie de groupe pour réduire les chances d’exécution de ClickFix. Les organisations devraient également activer la Protection contre la falsification de Microsoft Defender et surveiller les changements non autorisés dans le registre affectant les paramètres de sécurité ou les tentatives de désactiver le WinDefend service. Une couverture large et cohérente des endpoints reste essentielle pour empêcher les attaquants de prendre pied initialement.

Réponse

Si cette activité est détectée, les intervenants doivent isoler les systèmes affectés immédiatement pour stopper toute mouvement latéral supplémentaire. La remédiation devrait inclure la terminaison des processus malveillants Node.js, la suppression des mécanismes de persistance identifiés tels que les clés Run et les tâches planifiées, et le nettoyage des chemins d’exclusion non autorisés de Microsoft Defender. Un balayage complet de l’environnement est nécessaire car les méthodes de persistance peuvent différer d’un hôte à l’autre.

Exécution de Simulation

Prérequis : La vérification pré-vol de télémétrie et de base doit avoir été réussie.

Raisonnement : Cette section détaille l’exécution précise de la technique adverse (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit doivent refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou sans rapport conduiront à un mauvais diagnostic.

• Narratif d’Attaque et Commandes : L’adversaire cherche à établir un canal C2 en utilisant la méthode de signature d’EtherRAT. Pour échapper à l’analyse statique de leur configuration de malware, ils utilisent curl pour effectuer une requête HTTP POST vers un point final Ethereum RPC public (https://eth.drpc.org). Cette requête est conçue pour récupérer la véritable IP/domain C2 de la blockchain. Pour satisfaire la logique spécifique de la règle de détection actuelle, la commande est structurée pour inclure le domaine malveillant connu anus-staylard.xyz dans les arguments de ligne de commande, simulant la livraison de charge utile ou la phase de configuration.

• Script de test de régression :

  # Simulation de résolution C2 EtherRAT via Ethereum RPC
  # Ce script mime les modèles de ligne de commande spécifiques requis pour déclencher la règle Sigma.
  
  $maliciousDomain = "anus-staylard.xyz"
  $rpcEndpoint = "https://eth.drpc.org"
  $maliciousIpString = "77.110.122.58:23205/lQhEQui9a4lZ.exe"
  
  # Construction de la commande pour correspondre à la logique (sélection1 OU sélection2) ET sélection3
  # Modèle : curl -s -X POST https://eth.drpc.org ... anus-staylard.xyz
  
  $cmd = "curl.exe -s -X POST $rpcEndpoint -d 'data=query' --user-agent '$maliciousDomain' --referer '$maliciousIpString'"
  
  Write-Host "[+] Exécution de la commande simulée EtherRAT : $cmd"
  Start-Process "cmd.exe" -ArgumentList "/c $cmd" -NoNewWindow

• Commandes de Nettoyage :

  # Aucun fichier permanent n'est créé par cette simulation ; 
  # seule l'exécution de processus éphémères a lieu.
  Write-Host "[+] Simulation terminée. Aucun nettoyage requis."