Le Hologramme d’OpenClaw livre un faux programme d’installation et un Rust Infostealer

Résumé

Un voleur d’informations sophistiqué basé sur Rust est diffusé via un faux installateur OpenClaw. Le programme d’installation initial, suivi sous le nom de Hologram, applique plusieurs techniques d’évasion des bacs à sable avant de déployer un implant modulaire à six composants. L’opération exploite également des plateformes légitimes telles qu’Azure DevOps, Telegram et Hookdeck pour le commandement et le contrôle ainsi que la livraison dérobée. Son objectif principal est de voler des identifiants depuis les portefeuilles de cryptomonnaies et les extensions de gestionnaire de mots de passe des navigateurs.

Enquête

Netskope Threat Labs a examiné deux vagues de campagnes : Hologram et Pathfinder, et a cartographié la chaîne d’infection complète depuis l’installateur frauduleux jusqu’aux modules finaux de vol d’identifiants. Leur analyse a révélé des contrôles anti-VM, une exigence de mouvement de la souris, un exécuteur PowerShell qui désactive Microsoft Defender, et plusieurs méthodes de persistance, y compris les clés Run, une hijack de l'utilisateur Winlogon , des tâches planifiées et un détournement COM. Les chercheurs ont également observé des changements d’infrastructure fréquents à travers les domaines, les chaînes Telegram et les webhooks Hookdeck.

Atténuation

Les défenseurs devraient bloquer les téléchargements de l’installateur OpenClaw factice et surveiller le large Rust PE de 130 Mo associé à la campagne. Les équipes de sécurité devraient également détecter la création du raccourci OneDriveSync.lnk dans le dossier de démarrage et surveiller les modifications du registre impliquant hijack de l'utilisateur Winlogon Winlogon. L’accès sortant à Azure DevOps, l’API Telegram et les endpoints Hookdeck devraient être strictement contrôlés sur les systèmes non-développement. Les règles de pare-feu devraient également empêcher les connexions entrantes sur les ports 56001 à 57002.

Réponse

Si la menace est détectée, isolez immédiatement le point de terminaison affecté, collectez les binaires déposés et les fichiers associés, et effectuez une analyse médico-légale des modifications du registre et des artefacts de tâches planifiées. Tout jeton Azure DevOps exposé devrait être révoqué et les identifiants de bot Telegram compromis devraient être tournés. Le contenu de détection devrait ensuite être mis à jour pour inclure le mutex observé, les noms de fichiers et les indicateurs réseau. Les parties prenantes pertinentes devraient être informées, et un rapport au CERT ou aux fournisseurs de services impactés devrait être envisagé.

Exécution de la simulation

Prérequis : Le contrôle de pré-vol des Télémétrie & Baseline a réussi.

Justification : Cette section précise l’exécution de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit reflètent directement les TTPs identifiés et visent à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’attaque & Commandes :

  Un adversaire obtient le faux installateur malveillant OpenClaw (OpenClaw_x64.exe).
  L’utilisateur, croyant qu’il s’agit d’un outil de portefeuille légitime, exécute l’installateur (T1204).
  L’installateur lance immédiatement une seule ligne de commande qui engendre les six binaires de charge utile malveillants d’un seul coup, lui permettant de contourner les heuristiques des bacs à sable et d’établir un cadre d’implant modulaire (T1027.009, T1608.001, T1546.016, T1127).

  La ligne de commande exacte attendue par la règle est :

  OpenClaw_x64.exe svc_service.exe virtnetwork.exe onedrive_sync.exe audioeq.exe WinHealhCare.exe OneSync.exe

• Script de test de régression :

  # -------------------------------------------------
  # Script de simulation – déclenche la détection OpenClaw
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  
  # S'assurer que l'installateur factice existe (créer un espace réservé inoffensif)
  if (-not (Test-Path $installerPath)) {
      New-Item -ItemType File -Path $installerPath -Force | Out-Null
  }
  
  # Construire la liste d'arguments contenant tous les six noms de charge utile
  $payloads = @(
      "svc_service.exe",
      "virtnetwork.exe",
      "onedrive_sync.exe",
      "audioeq.exe",
      "WinHealhCare.exe",
      "OneSync.exe"
  )
  $argString = $payloads -join " "
  
  # Lancer l'installateur avec la ligne de commande malveillante complète
  Write-Host "Lancement de l'installateur malveillant..."
  Start-Process -FilePath $installerPath -ArgumentList $argString -NoNewWindow
  
  # Attendre quelques secondes pour que Sysmon / Sécurité journalise l'évènement
  Start-Sleep -Seconds 5
  Write-Host "Simulation complète. Vérifiez SIEM pour alerte."

• Commandes de nettoyage :

  # -------------------------------------------------
  # Script de nettoyage – retire les artefacts créés pour le test
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  if (Test-Path $installerPath) {
      Remove-Item -Path $installerPath -Force
  }
  
  # Terminer optionnellement tous les processus de charge utile fictifs persistants (ce ne sont que des espaces réservés)
  Get-Process -Name "svc_service","virtnetwork","onedrive_sync","audioeq","WinHealhCare","OneSync" -ErrorAction SilentlyContinue |
      Stop-Process -Force
  Write-Host "Nettoyage terminé."