Deep#Door Stealer : Cheval de Troie Python furtif et voleur d’identifiants exploitant le tunneling, la persistance multi-couche et les capacités de surveillance en mémoire

SOC Prime Team

Suivre

Deep#Door Stealer : Cheval de Troie Python furtif et voleur d’identifiants exploitant le tunneling, la persistance multi-couche et les capacités de surveillance en mémoire

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Le rapport examine Deep#Door, une porte dérobée furtive basée sur Python, livrée via un chargeur de lot obscurci qui intègre et reconstruit sa charge utile malveillante à l’exécution. Le malware utilise un service de tunneling TCP public pour le commandement et le contrôle, configure plusieurs mécanismes de persistance, affaiblit les contrôles de sécurité de Windows, et prend en charge une large surveillance et une activité de vol d’identifiants. Il effectue également des vérifications détaillées de l’environnement pour échapper aux bacs à sable et aux analystes, tout en s’appuyant sur le colmatage en mémoire des API pour rester dissimulé pendant l’exécution.

Enquête

Les chercheurs de Securonix ont cartographié toute la chaîne d’infection, du script de lot initial à l’extraction, la reconstruction et l’exécution de la charge utile finale du RAT Python. Leur analyse a identifié un abus de bore.pub pour le tunneling, les ports générés dynamiquement et une séquence d’authentification personnalisée utilisée pour l’accès des opérateurs. Le rapport détaillait également les méthodes d’évasion de défense du malware, les techniques de persistance, les routines de découverte de système et le comportement d’exfiltration de données.

Atténuation

Les défenseurs devraient surveiller de près l’exécution des scripts, activer la journalisation de PowerShell, détecter les modifications non autorisées des paramètres de Microsoft Defender et du pare-feu, et auditer les entrées de démarrage, les clés Run et les emplacements de persistance connexes. La surveillance du réseau devrait également se concentrer sur les connexions sortantes vers bore.pub et une activité de port élevé inhabituelle. Les outils EDR capables de détecter le colmatage des API et la manipulation en mémoire peuvent améliorer davantage la visibilité de cette menace.

Réponse

Si une activité de Deep#Door est détectée, isolez immédiatement le point de terminaison affecté, terminez le processus Python malveillant, supprimez tous les mécanismes de persistance, y compris les scripts de démarrage, les clés Run et les abonnements WMI, et restaurez les paramètres modifiés de Defender et de journalisation. Les équipes de sécurité devraient également effectuer une analyse de la mémoire et une analyse judiciaire pour identifier les implants cachés et évaluer l’exposition au vol d’identifiants, tout en bloquant la communication réseau avec bore.pub.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff %% Nodes Definitions action_user_execution["Action – T1204 User Execution: Victime exécute un fichier batch malveillant install_obf.bat"] class action_user_execution action tool_batch_file["Outil – Nom: install_obf.bat Description: Script batch qui lance le chargeur"] class tool_batch_file tool action_obfuscation["Action – T1027 Fichiers ou Informations Obscurcis: Extrait une charge utile Python encodée en base64/XOR (svc.py) via une regex auto-référente PowerShell"] class action_obfuscation action tool_powershell["Outil – Nom: PowerShell Description: Utilisé pour analyser le fichier batch et décoder la charge utile intégrée"] class tool_powershell tool tool_python["Outil – Nom: Python Description: Exécute la charge utile svc.py décodée"] class tool_python tool action_defense_evasion_disable["Action – T1562.001 Désactiver ou Modifier des Outils / T1562.004 Désactiver ou Modifier le Pare-feu Système / T1562.008 Désactiver ou Modifier les Journaux Cloud: Désactive Windows Defender, la journalisation PowerShell, SmartScreen et la journalisation du pare-feu"] class action_defense_evasion_disable action tool_setmp["Outil – Nom: Set-MpPreference Description: Cmdlet PowerShell pour modifier les paramètres de Defender"] class tool_setmp tool tool_netsh["Outil – Nom: netsh advfirewall Description: Modifie les règles du pare-feu Windows et la journalisation"] class tool_netsh tool action_indicator_removal["Action – T1070.001 Effacer les Journaux d’Événements Windows et T1070.006 Timestomp: Arrête et efface les services EventLog/Sysmon et altère les horodatages des fichiers"] class action_indicator_removal action action_persistence_runkey["Action – T1547.001 Clés de Démarrage/Folder du Registre et T1053 Tâche/Job Planifié: Dépose SystemServices.vbs dans le dossier de démarrage, crée une clé Run et une tâche planifiée en tant que solution de repli"] class action_persistence_runkey action tool_vbs_startup["Outil – Nom: SystemServices.vbs Description: Script VBS placé dans %APPDATA%MicrosoftWindowsStart MenuProgramsStartup"] class tool_vbs_startup tool action_credential_access["Action – T1003 Vidage des Identifiants OS, T1552.004 Clés Privées, T1552.001 Identifiants dans les Fichiers, T1555 Magasins de Mots de Passe, T1555.005 Gestionnaires de Mots de Passe: Récolte des mots de passe navigateurs, Windows Credential Manager, clés SSH, jetons cloud"] class action_credential_access action action_collection["Action – T1056.001 Keylogging, T1113 Capture d’Écran, T1125 Capture Vidéo, T1123 Capture Audio, T1115 Données du Presse-papier: Capture des frappes clavier, captures d’écran, vidéos webcam, audio microphone et presse-papier"] class action_collection action action_discovery["Action – T1082 Découverte d’Informations Système, T1518 Découverte de Logiciels, T1057 Découverte de Processus, T1046 Découverte de Services Réseau, T1018 Découverte de Systèmes à Distance, T1526 Découverte de Services Cloud: Rassemble les données de configuration OS, matériel, logiciel, processus, réseau et cloud"] class action_discovery action action_defense_evasion_reflective["Action – T1620 Chargement de Code Réfléchi et T1497.003 Évasion de Virtualisation/Bac à Sable: Basée sur le Temps: Détecte les débogueurs, les machines virtuelles et les caractéristiques de bac à sable et interrompt l’exécution"] class action_defense_evasion_reflective action action_c2_tunneling["Action – T1572 Tunneling de Protocole: Établit un tunnel crypté via le service public bore.pub, effectue un scan de ports dynamique et une authentification défi-réponse"] class action_c2_tunneling action action_exfiltration["Action – T1041 Exfiltration via Canal C2 et T1048.002 Exfiltration via Protocole Alternatif: Cryptage Asymétrique Non-C2: Envoie les données récoltées via le canal tunnelisé"] class action_exfiltration action action_impact_forkbomb["Action – T1499.002 Saturation de Service Attaque à la Bombe: Exécute une bombe-fork pour consommer les ressources système"] class action_impact_forkbomb action %% Connexions montrant le flux d’attaque action_user_execution –>|exécute| tool_batch_file tool_batch_file –>|contient| action_obfuscation action_obfuscation –>|utilise| tool_powershell tool_powershell –>|décodage et lance| tool_python tool_python –>|effectue| action_defense_evasion_disable action_defense_evasion_disable –>|utilise| tool_setmp action_defense_evasion_disable –>|utilise| tool_netsh action_defense_evasion_disable –>|conduit à| action_indicator_removal action_indicator_removal –>|précède| action_persistence_runkey action_persistence_runkey –>|dépose| tool_vbs_startup action_persistence_runkey –>|active| action_credential_access action_credential_access –>|active| action_collection action_collection –>|alimente| action_discovery action_discovery –>|soutient| action_defense_evasion_reflective action_defense_evasion_reflective –>|établit| action_c2_tunneling action_c2_tunneling –>|transporte| action_exfiltration action_exfiltration –>|déclenche| action_impact_forkbomb "

Deep#Door Stealer : Cheval de Troie Python furtif et voleur d’identifiants exploitant le tunneling, la persistance multi-couche et les capacités de surveillance en mémoire

Résumé

Enquête

Atténuation

Réponse

Flux d’Attaque

Détections

Points de Persistance Possibles [ASEPs – Hive Logiciel/NTUSER] (via registry_event)

Chaînes Powershell Suspectes (via cmdline)

Appelez des Classes/Methodes .NET Suspects de Powershell CommandLine (via process_creation)

Possible Découverte ou Vérification de Connectivité Système à Distance (via cmdline)

Possible Énumération/Manipulation de Compte ou Groupe (via cmdline)

Utilisation Possible de Timeout pour Retarder l’Exécution (via cmdline)

WScript / CScript LOLBAS (via process_creation)

Désactiver la Surveillance en Temps Réel de Windows Defender et Autres Changements de Préférences (via cmdline)

Chaînes Powershell Suspectes (via powershell)

Modifications Suspectes des Préférences de Windows Defender (via powershell)

Binaire ou Scripts Suspects dans l’Emplacement de Démarrage Automatique (via file_event)

IOCs (HashSha256) à détecter : Deep#Door Stealer : Porte dérobée Python furtive et voleur d’identifiants utilisant le tunneling, la persistance multi-couches, et les capacités de surveillance en mémoire

Détecter la Communication C2 via le Service de Tunneling TCP Public [Connexion Réseau Windows]

Commande PowerShell pour l’Extraction de Charge Utile Python Intégrée [Windows Powershell]

Détection du Déploiement de la Porte Dérobée Python Furtive Deep#Door [Création de Processus Windows]

Détection de l’Utilisation du Service de Tunneling TCP Bore.pub pour les Communications C2 [Connexion Réseau Windows]

Surveillance en Temps Réel et Comportement de Windows Defender Désactivée [Windows Powershell]

Exécution de Script Batch Obscurci Deep#Door [Création de Processus Windows]

Commande PowerShell Désactivant les Fonctions de Windows Defender [Windows Powershell]

Détection de l’Exécution de la Porte Dérobée Python Furtive Deep#Door [Création de Processus Windows]

Détection de la Communication C2 Furtive via bore.pub [Connexion Réseau Windows]

Détection du Stealer Deep#Door Utilisant Powershell et Altération de Pare-feu [Windows Powershell]

Exécution de Simulation