Logiciel malveillant bancaire Coyote : Rapport de menace SOC

Des chercheurs en sécurité ont identifié que les infections Coyote proviennent d’archives ZIP malveillantes téléchargées via web.whatsapp.com. À l’intérieur de ces archives, des fichiers raccourcis (LNK) lancent des commandes PowerShell imbriquées encodées en Base64 et UTF-16LE, qui récupèrent des scripts depuis zapgrande[.]com. Le chargeur initial désactive Microsoft Defender et le contrôle d’accès utilisateur (UAC) avant de déployer un chargeur réfléchi .NET qui exécute des charges utiles directement en mémoire. La persistance est maintenue via un fichier batch (« HealthApp-<GUID>.bat ») placé dans le dossier de démarrage. Le malware valide la région locale brésilienne de la victime, répertorie les navigateurs et fait correspondre les URL bancaires chiffrées via des routines AES-CBC-GZIP. Les chevauchements de code et la logique de chiffrement relient Coyote à la famille de Trojans Maverick.

Atténuation du Cheval de Troie Coyote

Les équipes SOC devraient donner la priorité à une stratégie de défense en couches contre la chaîne d’infection de Coyote. Les organisations doivent restreindre l’accès des employés à WhatsApp Web et à des services de messagerie similaires, tout en mettant en œuvre une formation de sensibilisation anti-hameçonnage. Déployer des outils avancés de détection et de réponse sur les points de terminaison (EDR) capables d’identifier l’activité PowerShell encodée, le chargement réflexif .NET, et la création non autorisée de fichiers batch. Bloquer les domaines C2 connus tels que zapgrande[.]com and sorvetenopote[.]com, appliquer des politiques d’exécution PowerShell strictes, et s’assurer que les signatures antivirus et les règles comportementales sont continuellement mises à jour pour identifier les variantes émergentes.

Réponse au Malware Bancaire Coyote

Dès la détection, les intervenants en cas d’incident devraient isoler immédiatement les points de terminaison affectés et initier des requêtes de chasse aux menaces dans Microsoft Defender for Endpoint ou des plateformes SIEM similaires pour localiser les exécutions PowerShell provenant de téléchargements WhatsApp. Mettre en quarantaine ou supprimer les fichiers LNK, ZIP et batch correspondant aux IOC connus, et bloquer l’infrastructure C2 associée au niveau du pare-feu et des couches DNS. Les analystes devraient supprimer tout artefact de persistance HealthApp-*.bat , réinitialiser les identifiants bancaires compromis, et appliquer l’authentification multi-facteurs sur les plateformes financières. Un examen médico-légal complet est requis pour confirmer la suppression des chargeurs en mémoire et des charges utiles secondaires.