Chaîne de Chargement de Type SilverFox Utilise des Coquilles Panasonic, Alibaba OSS, et Sauron

Résumé

Cette menace se concentre sur une chaîne de chargement multi-étapes hautement sophistiquée déguisée en logiciel légitime de Panasonic. Le malware utilise Alibaba OSS pour livrer des charges utiles et s’appuie sur des transporteurs cryptés basés sur des images utilisant un format distinctif de bande finale EOF à cinq octets. Sa dernière étape déploie le cheval de Troie Sauron, qui maintient sa persistance par la création de services et des modifications ciblées du registre.

Enquête

Les analystes ont mené des analyses statiques et dynamiques et ont découvert une séquence d’opérations de chargement secondaire impliquant des exécutables estampillés comme logiciels de Tencent et Philips. L’enquête a révélé une routine de décryptage en couches utilisant un XOR incrémentiel et RC4, ainsi que la création de tâches planifiées via des mécanismes RPC. La criminalistique de la mémoire et la télémetrie de bac à sable ont aidé à reconstituer le parcours complet de l’exécution, depuis l’enveloppe thématisée Panasonic jusqu’au cheval de Troie final Sauron.

Atténuation

Les organisations devraient surveiller la planification de tâches non autorisées à base de RPC et la création suspecte de tâches planifiées via NdrClientCall3. Une liste blanche d’applications rigoureuse peut aider à bloquer l’exécution de DLL chargées de manière non approuvée. Les défenseurs devraient également surveiller les suppressions inattendues de copies d’ombre de volume et les modifications suspectes du registre sous HKCUSOFTWARE.

Réponse

Si cette activité est détectée, isolez immédiatement les systèmes affectés pour stopper tout mouvement latéral ultérieur ou toute communication de commandement et de contrôle. Effectuez une analyse forensique de la mémoire pour identifier les modules injectés et déterminer l’étape actuelle de la chaîne de chargement. Les journaux réseau doivent également être examinés pour le trafic vers l’infrastructure Alibaba OSS et les adresses IP de commandement et de contrôle connues identifiées lors du triage.

Exécution de Simulation

Prérequis : Le Check de Pré-vol de Télémétrie & Baseline doit avoir été validé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non pertinents mèneront à un diagnostic erroné.

• Narration de l’Attaque & Commandes : L’adversaire cherche à télécharger une charge utile de deuxième étape en utilisant un service légitime de stockage cloud pour se fondre dans le trafic normal. L’attaquant utilise une commande PowerShell pour simuler un chargeur qui effectue une requête à une URL SilverFox Alibaba OSS connue : https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe. Cette action est conçue pour contourner les filtres de domaines simples en tirant parti de la réputation de aliyuncs.com tout en utilisant le chemin malveillant spécifique défini dans la règle de détection.

• Script de Test de Régression :

  # Simulation de l'Indicateur Réseau du Chargeur SilverFox
  # Ce script tente de se connecter à l'URL spécifique surveillée par la règle Sigma.
  
  $targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
  Write-Host "[!] Simulation de connexion réseau SilverFox à : $targetUrl"
  
  try {
      # Utilisation d'Invoke-WebRequest pour générer une télémétrie proxy HTTP standard
      $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
      Write-Host "[+] Requête complétée. Code d'état : $($response.StatusCode)"
  }
  catch {
      # Nous attendons une erreur 404 ou de connexion si l'URL n'héberge pas réellement de fichier,
      # mais le journal proxy enregistrera quand même la tentative.
      Write-Host "[-] Tentative de requête. Vérifiez les journaux proxy pour la tentative de connexion."
  }

• Commandes de Nettoyage :

  # Aucune modification persistante effectuée par cette simulation; aucun nettoyage requis.
  Write-Host "[*] Nettoyage de simulation terminé."