Le malware SolanaCry vole des portefeuilles crypto depuis les agents IA de navigation Web

Résumé

Les opérateurs de malware ciblent les agents de codage IA via des dépôts GitHub malveillants déguisés en kits de démarrage légitimes. Lorsqu’un agent IA découvre et sélectionne ces dépôts, il peut exécuter des commandes PowerShell malveillantes intégrées dans le README, entraînant le déploiement d’un RAT NetSupport Manager. Cela donne aux attaquants un accès à distance au système de la victime et permet le vol de portefeuilles de cryptomonnaie.

Enquête

Des chercheurs ont découvert un dépôt malveillant de kit de démarrage Solana sur GitHub contenant une commande PowerShell en une ligne qui télécharge et exécute une charge utile sans fichier. L’enquête a récupéré un dropper PowerShell de 21 Mo qui extrait 14 composants NetSupport Manager dans un répertoire de staging caché. L’analyse du fichier de configuration a également révélé un secret RADIUS spécifique associé au cluster de menace EVALUSION.

Atténuation

Les développeurs devraient traiter tout le contenu traité par les agents IA, y compris les résultats de recherche et les fichiers README, comme des entrées non fiables. Les organisations devraient mettre en place des contrôles de sécurité qui surveillent et restreignent le contexte et les commandes exécutées par les agents. Les agents ne doivent pas être autorisés à télécharger et exécuter de code à distance sans examen humain explicite.

Réponse

Si une compromission est suspectée, déconnectez immédiatement la machine affectée du réseau. Supprimez le répertoire de staging caché de %LOCALAPPDATA% et supprimez la clé de registre de persistance associée. Plus important encore, faites pivoter tous les identifiants, jetons et clés de portefeuilles de cryptomonnaie accessibles depuis le système compromis.

Exécution de Simulation

• Narratif et commandes de l’attaque : L’adversaire a réussi à obtenir un accès initial au poste de travail de l’utilisateur. Pour maintenir l’accès lors des redémarrages, l’attaquant prévoit d’utiliser la méthode de persistance SolanaCry. Ils tenteront d’écrire une valeur de registre dans HKCU:SoftwareMicrosoftWindowsCurrentVersionRun avec le nom SecureModule pointant vers un exécutable malveillant. C’est une technique « vivre du registre », tentant de cacher le mécanisme de persistance dans une ruche de registre Windows standard pour éviter la détection par les scanners de fichiers de base.

• Script de Test de Régression :

  # Script de simulation pour imiter la persistance SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Tentative de simuler la persistance SolanaCry..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Succès : clé de registre '$name' créée. La détection devrait se déclencher." -ForegroundColor Green
  } catch {
      Write-Host "[-] Échec de la création de la clé de registre : $($_.Exception.Message)" -ForegroundColor Red
  }

• Commandes de Nettoyage :

  # Script de nettoyage pour supprimer la persistance simulée
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Nettoyage complet : Clé de registre simulée supprimée." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Nettoyage ignoré : Clé non trouvée." -ForegroundColor Yellow
  }