Un faux téléchargement de Slack offre aux attaquants un accès caché à votre machine

SOC Prime Team

Suivre

Un faux téléchargement de Slack offre aux attaquants un accès caché à votre machine

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Un installateur malveillant déguisé en Slack est distribué via des domaines typosquattés pour tromper les utilisateurs non avertis. Une fois exécuté, il installe une application Slack légitime en parallèle d’un chargeur furtif qui se connecte à un serveur de commande et de contrôle, récupère une charge utile HVNC chiffrée et l’injecte dans explorer.exe. Le malware crée ensuite une session de bureau invisible qui permet aux attaquants de naviguer, interagir et effectuer des actions sur la machine compromise sans que la victime ne s’en aperçoive. Cette approche est particulièrement dangereuse dans les environnements où la marque Slack est largement reconnue par les particuliers et les utilisateurs d’entreprise.

Enquête

Les chercheurs ont décortiqué l’installateur et découvert deux fichiers temporaires : slack.tmp, contenant un paquet de mise à jour Squirrel légitime, et svc.tmp, qui servait de chargeur malveillant. L’analyse a montré que le chargeur établissait une persistance via une clé de registre Run, résolvait dynamiquement les API Windows à l’exécution, téléchargeait une DLL chiffrée qu’il sauvegardait comme wmiprvse_*.tmp, et utilisait l’injection basée sur des sections pour la charger dans explorer.exe. Les enquêteurs ont également observé une communication sortante avec un serveur de commande et de contrôle sur le port TCP 8081. Une logique anti-analyse additionnelle était présente, incluant la détection de débogueur et les vérifications de timing pour les environnements de bac à sable.

Atténuation

Les utilisateurs devraient télécharger Slack uniquement depuis le site officiel slack.com ou des liens sauvegardés de confiance et vérifier les signatures numériques avant d’exécuter tout installateur. Les organisations devraient activer une protection en temps réel capable de bloquer les domaines malveillants connus et les exécutables suspects. Les défenseurs devraient également surveiller le trafic sortant inattendu sur le port 8081, les entrées de registre Run inhabituelles, et les processus fils anormaux associés à des applications de confiance. Les détections basées sur le comportement peuvent aider à identifier les sessions de bureau cachées et l’activité liée à HVNC avant que les attaquants ne gagnent un accès interactif complet.

Réponse

Si cette activité est détectée, isolez immédiatement le terminal affecté du réseau, terminez le chargeur malveillant et tous les processus liés à HVNC, et supprimez le mécanisme de persistance de la clé de registre Run. Un scan complet des malwares devrait être effectué, et tous les domaines et adresses IP malveillants associés devraient être bloqués dans tout l’environnement. Les identifiants utilisés sur la machine compromise doivent être réinitialisés depuis un appareil sain, et l’équipe de sécurité doit collecter des artefacts forensiques pour soutenir une enquête et une délimitation plus poussées.

graph TB classDef technique fill:#ffcc99 classDef artifact fill:#c2f0c2 classDef process fill:#f9d5e5 classDef tool fill:#d9d9d9 classDef malware fill:#ffd699 site_typosquat[« Artefact – Site typosquatté URL: slacks.pro ou debtclean-ua.sbs »] class site_typosquat artifact download_exe[« Artefact – slacku20114u201149u201181.exe Exécutable malveillant distribué depuis le site usurpé »] class download_exe artifact run_registry[« Artefact – Clé Run du registre HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\com.squirrel.slack.slack »] class run_registry artifact hvnc_dll[« Artefact – DLL HVNC chiffrée dans une section PE personnalisée »] class hvnc_dll artifact c2_server[« Artefact – Serveur de commande et contrôle Port 8081 via WinHTTP »] class c2_server artifact explorer_proc[« Processus – explorer.exe (shell Windows) »] class explorer_proc process loader[« Malware – Chargeur responsable du déchiffrement, C2 et injection »] class loader malware mavinject[« Outil – Mavinject (exécution proxy de binaires système) »] class mavinject tool initial_access[« Technique – T1204.001 Exécution utilisateur : lien malveillant Description: La victime clique sur un lien menant à un site malveillant avec téléchargement automatique »] class initial_access technique execution_file[« Technique – T1204.002 Exécution utilisateur : fichier malveillant Description: La victime exécute le fichier téléchargé »] class execution_file technique persistence_active_setup[« Technique – T1547.014 Exécution automatique : Active Setup Description: Une entrée Run est créée dans le registre pour la persistance »] class persistence_active_setup technique obfuscation[« Technique – T1027 Fichiers ou informations obfusqués Description: Chiffrement du payload, padding et résolution d’API à l’exécution »] class obfuscation technique embedded_payload[« Sous-technique – T1027.009 Payload intégré »] class embedded_payload technique binary_padding[« Sous-technique – T1027.001 Remplissage binaire »] class binary_padding technique compile_after_delivery[« Sous-technique – T1027.004 Compilation après livraison »] class compile_after_delivery technique stripped_payload[« Sous-technique – T1027.008 Payload épuré »] class stripped_payload technique c2_communication[« Technique – T1071.001 Protocoles web (WinHTTP) Description: Communication avec le C2 via TCP 8081 »] class c2_communication technique reflective_loading[« Technique – T1620 Chargement réflexif de code Description: DLL HVNC chargée et déchiffrée en mémoire »] class reflective_loading technique process_injection[« Technique – T1055.002 Injection PE Description: Injection dans explorer.exe »] class process_injection technique system_binary_proxy[« Technique – T1218.013 Exécution proxy de binaires système : Mavinject Description: Utilisation de Mavinject pour injecter une DLL »] class system_binary_proxy technique site_typosquat –>|héberge une page malveillante| initial_access initial_access –>|déclenche téléchargement| download_exe download_exe –>|exécuté par la victime| execution_file execution_file –>|persistance via| persistence_active_setup persistence_active_setup –>|crée| run_registry run_registry –>|charge| loader loader –>|applique| obfuscation obfuscation –>|utilise| embedded_payload obfuscation –>|utilise| binary_padding obfuscation –>|utilise| compile_after_delivery obfuscation –>|utilise| stripped_payload loader –>|contacte| c2_server c2_server –>|active| c2_communication loader –>|déchiffre et charge| hvnc_dll hvnc_dll –>|chargé via| reflective_loading reflective_loading –>|injecte dans| explorer_proc explorer_proc –>|cible de| process_injection process_injection –>|utilise| mavinject mavinject –>|exécute| system_binary_proxy

Flux du Attaque

Narrative et commandes de l’attaque :
1. Accès initial – L’attaquant délivre un installateur truffé nommé slack-4-49-81.exe via un courriel d’hameçonnage.
2. Exécution – La victime exécute le fichier ; il extrait un chargeur caché svc.tmp to %TEMP%.
3. Création de bureau caché (T1564.003) – svc.tmp invoque CreateProcess avec SW_HIDE, déclenchant une session de bureau cachée qui héberge un outil d’accès à distance.
4. Persistance (T1547.013 & T1546.016) – Le chargeur enregistre un serveur COM qui est automatiquement démarré via un raccourci placé dans le dossier de démarrage, garantissant l’exécution au redémarrage.
5. Installation potentielle de rootkit (T1014) – Si élevé, svc.tmp dépose un pilote rootkit dans %SystemRoot%System32driversmaldrv.sys.

Script de test de régression : Le script reproduit les étapes 2 à 4 avec des binaires inoffensifs (copies de notepad.exe) tout en conservant exactement les noms de fichiers que la règle surveille.

# -------------------------------------------------
# Test de régression – Simulation d'installateur Slack factice
# -------------------------------------------------
# 1. Préparez les binaires fictifs (utilisez un notepad.exe bénin)
$temp = $env:TEMP
$installer = Join-Path $temp "slack-4-49-81.exe"
$loader    = Join-Path $temp "svc.tmp"

Copy-Item -Path "$env:SystemRootSystem32notepad.exe" -Destination $installer -Force
Copy-Item -Path "$env:SystemRootSystem32notepad.exe" -Destination $loader -Force

# 2. Exécutez l'installateur – ceci déclenchera la règle de détection
Write-Host "[*] Lancement de l'installateur factice ..."
Start-Process -FilePath $installer -WindowStyle Hidden -PassThru | Out-Null

# 3. Simulez la création de bureau caché (chargeur)
Write-Host "[*] Démarrage du chargeur caché ..."
Start-Process -FilePath $loader -WindowStyle Hidden -PassThru | Out-Null

# 4. Créez un raccourci dans le dossier de démarrage pour émuler la persistance
$startup = "$env:APPDATAMicrosoftWindowsStart MenuProgramsStartup"
$shortcutPath = Join-Path $startup "Slack Hidden.lnk"

$shell = New-Object -ComObject WScript.Shell
$shortcut = $shell.CreateShortcut($shortcutPath)
$shortcut.TargetPath = $loader
$shortcut.WindowStyle = 7   # Caché
$shortcut.Save()

Write-Host "[+] Simulation terminée. Vérifiez le SIEM pour les événements ayant une image se terminant par 'slack-4-49-81.exe' ou 'svc.tmp'."

Commandes de nettoyage : Supprimez les artefacts de test et tout raccourci créé.

# Script de nettoyage – à exécuter avec le même contexte utilisateur
$temp = $env:TEMP
Remove-Item -Path (Join-Path $temp "slack-4-49-81.exe") -ErrorAction SilentlyContinue
Remove-Item -Path (Join-Path $temp "svc.tmp") -ErrorAction SilentlyContinue

$shortcutPath = "$env:APPDATAMicrosoftWindowsStart MenuProgramsStartupSlack Hidden.lnk"
Remove-Item -Path $shortcutPath -ErrorAction SilentlyContinue

Write-Host "[+] Nettoyage terminé."

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement