ChainShell : MuddyWater & MaaS Russe

Résumé

MuddyWater, un acteur d’espionnage lié à l’Iran, exploite la plateforme malware-as-a-service TAG-150 russe pour livrer CastleRAT et un nouvel agent C2 Node.js, activé par la blockchain, suivi sous le nom de ChainShell contre les cibles israéliennes et autres cibles de haute valeur. L’activité est soutenue par un serveur Web C2 exposé et mal configuré, un script de déploiement PowerShell (reset.ps1), et des charges utiles PE dissimulées via la stéganographie. Plusieurs versions de CastleRAT (y compris la Build 120 et la Build 13) contiennent des identifiants codés en dur partagés qui pointent vers la même lignée MaaS. L’infrastructure backend semble être structurée en campagnes, utilisant des domaines partagés (par exemple, serialmenot.com) et des identifiants JWT par opération pour séparer l’accès et le suivi à travers les déploiements.

Enquête

JUMPSEC a examiné l’hôte C2 exposé, récupéré 15 échantillons de malware, et lié la logique de déploiement du reset.ps1 à la livraison à la fois de ChainShell et de plusieurs versions de CastleRAT. Les enquêteurs ont également corrélé les certificats de signature de code (Amy Cherne et Donald Gay) observés dans les outils connus de MuddyWater avec l’installateur TAG-150 MSI, formant une piste d’attribution à haute confiance. Des chevauchements supplémentaires ont été observés sur des échantillons dans les marqueurs de build codés en dur, les conventions de nommage récurrentes des tâches planifiées, et les ID de campagne JWT intégrés dans les outils et les artefacts côté serveur.

Atténuation

Surveiller pour le reset.ps1, les tâches planifiées associées, et les artefacts de mutex ou de chemin de fichier uniques liés à CastleRAT et ChainShell. Bloquer l’infrastructure TAG-150 connue, y compris serialmenot.com, ttrdomennew.com, et sharecodepro.com, et examiner l’installation pilotée par PowerShell de composants Node.js. Appliquer des contrôles stricts de signature de code et valider les certificats suspects par rapport aux matériaux de signature connus liés à MuddyWater.

Réponse

Si des indicateurs sont trouvés, isoler les points de terminaison impactés, capturer des images complètes de disque et de mémoire, et rechercher les restes de CastleRAT et ChainShell supplémentaires. Révoquer ou méfier des certificats de signature de code compromis, réinitialiser les identifiants affectés, et coordonner les rapports avec les CERT nationaux concernés. Examiner la télémétrie du réseau pour les motifs d’accès RPC Ethereum et l’utilisation de JWT liés au workflow de commande et de contrôle de serialmenot.com.

Exécution de simulation

Prérequis : Le test de pré‑vol télémétrie & baseline doit avoir réussi.

• Narratif et commandes de l’attaque :

  1. Étape 1 – Préparez un simple serveur C2 (exécuter sur la machine de l’attaquant ou une VM contrôlée). Le serveur écoute sur le port 9999 et fait écho aux données reçues.

  2. Étape 2 – Sur l’hôte Windows cible, lancez une porte dérobée PowerShell qui ouvre une connexion TCP au serveur C2 sur le port 9999. La charge utile utilise les classes .NET natives pour éviter de créer un exécutable séparé, imitant une approche « vivre en dehors de la terre ».

  3. Étape 3 – Saut proxy optionnel : Le script PowerShell contacte d’abord un proxy HTTP local (à l’écoute sur 127.0.0.1:8080) qui transfère le trafic TCP au serveur C2 distant, démontrant que le port de destination reste inchangé.

  Ces étapes produisent des événements de pare-feu avec DestinationPort = 9999, satisfaisant la règle Sigma.

• Script de test de régression :

  # -------------------------------------------------
  # Simulation C2 à la manière de CastleRAT – PowerShell
  # -------------------------------------------------
  # 1. Définir l'adresse du serveur C2 (remplacer par votre IP de test)
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. OPTIONNEL : Définir le proxy local (si vous souhaitez tester le saut de proxy)
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. Fonction pour ouvrir un flux TCP (direct ou via proxy)
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # Tunnel CONNECT HTTP simple
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # Ignorer la réponse du proxy
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] Tunnel proxy établi"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] Connexion TCP directe établie"
          return $client.GetStream()
      }
  }
  
  # 4. Ouvrir la connexion
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. Envoyer un simple signal
  $beacon = "Signal CastleRAT $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] Signal envoyé"
  
  # 6. Garder le canal ouvert pendant une courte période (simuler la persistance)
  Start-Sleep -Seconds 15
  
  # 7. Nettoyage
  $stream.Close()
  Write-Host "[+] Connexion fermée"

• Commandes de nettoyage :

  # Assurez-vous que toutes les connexions TCP persistantes sont fermées
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # Supprimer tout proxy temporaire si il a été démarré localement
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

Observations supplémentaires & recommandations de renforcement

1. Enrichir la détection basée sur le port : Combiner la vérification du port avec les IPs/domaines C2 malveillants connus, l’empreinte TLS, ou des heuristiques de volume de trafic anormal.
2. Liste blanche des services légitimes : Créer une liste d’exception pour les applications qui utilisent légitimement les ports 9999 ou 8888 (par exemple, certains outils de base de données ou de gestion).
3. Baselines comportementales : Déployer des modèles statistiques pour signaler les connexions sortantes basse fréquence vers des ports à haut risque provenant de points de terminaison non-serveurs.
4. Contexte des processus : Corréler les événements de pare-feu avec le processus d’origine (ImageFileName, CommandLine). Signaler les connexions faites par des processus inattendus (par exemple, powershell.exe, cmd.exe).

En appliquant ces atténuations, la résilience de la règle peut être augmentée de la valeur actuelle 2 à une plage de 4-5 , réduisant considérablement les faux positifs tout en conservant la détection du trafic C2 de CastleRAT authentique.