E-mails de Fausse Commande Utilisés dans des Attaques de Phishing par Logiciel Malveillant

Résumé

Les acteurs malveillants distribuent des e-mails de phishing avec des pièces jointes DOCX malveillantes déguisées en bons de commande. Les documents abusent de l’élément altChunk pour charger un fichier RTF malveillant, qui exploite une vulnérabilité de l’Éditeur d’équations pour exécuter du VBScript. La charge utile finale est SnakeKeylogger, un voleur d’informations conçu pour voler les identifiants, enregistrer les frappes et collecter d’autres informations sensibles.

Enquête

Le Centre d’Intelligence en Sécurité d’AhnLab (ASEC) a analysé la chaîne d’infection débutant par la pièce jointe DOCX malveillante. Les chercheurs ont identifié une séquence d’exécution en plusieurs étapes impliquant un fichier RTF, du VBScript, PowerShell, et un chargeur basé sur Python. La chaîne déploie finalement SnakeKeylogger, qui s’appuie sur des techniques spécifiques de décryptage pour exécuter son shellcode intégré.

Atténuation

Les utilisateurs doivent vérifier les domaines des expéditeurs d’e-mails et rester prudents lorsqu’ils reçoivent des pièces jointes ou des liens inattendus. Les organisations doivent configurer le filtrage des e-mails pour détecter les fichiers .docx suspects contenant des éléments altChunk et surveiller l’exécution non autorisée de pythonw.exe ou cscript.exe. Microsoft Office et autres logiciels doivent également être maintenus à jour contre les vulnérabilités connues.

Réponse

Lorsque des activités malveillantes sont détectées, isolez les systèmes affectés pour arrêter toute nouvelle exfiltration de données. Effectuez une analyse forensique pour déterminer l’ampleur de la compromission et identifiez la persistance via les clés de registre Run. Réinitialisez les identifiants des comptes accédés depuis l’hôte infecté, notamment ceux des navigateurs, e-mails et services financiers.

Exécution de Simulation

• Narrative de l’attaque & Commandes : Un adversaire envoie un e-mail de spear-phishing contenant un faux « Bon de commande » au format DOCX. Lorsque la victime ouvre le document, un macro ou un exploit déclenche l’extraction d’une charge utile malveillante nommée 832734.Vbs dans un répertoire temporaire. L’attaquant exécute ensuite ce script via wscript.exe. Cette action vise à établir un pied initial et commencer la collecte d’identifiants à l’aide du voleur d’informations SnakeKeylogger. La règle de détection est censée attraper l’exécution car le nom de fichier 832734.Vbs est présent dans la ligne de commande de création du processus.

• Script de test de régression :

  # Script de simulation pour reproduire l'exécution basée sur le nom de fichier de SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Créez un fichier VBS fictif pour simuler la charge utile
  "WScript.Echo 'Simulating SnakeKeylogger Payload'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Exécutez le fichier via wscript.exe pour déclencher la règle de détection
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Simulation complète. Vérifiez les journaux de sécurité pour la création de processus impliquant 832734.Vbs"

• Commandes de nettoyage :

  # Nettoyage : Supprimez le fichier malveillant simulé
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Nettoyage réussi : $maliciousFile supprimé."
  }