Opération DragonReturn : Espionnage d’origine chinoise ciblant l’infrastructure fiscale de l’Inde

Résumé

Une campagne d’espionnage informatique sophistiquée alignée sur la Chine cible l’écosystème fiscal de l’Inde en se faisant passer pour le ministère des Finances. L’opération utilise des emails de spearphishing avec des pièces jointes malveillantes pour livrer une chaîne d’infection DcRAT à plusieurs étapes. Le malware repose sur la stéganographie, la contournement de l’AMSI, et l’exécution sans fichier .NET pour persister sur les systèmes compromis et exfiltrer des informations sensibles.

Enquête

Seqrite Lab a découvert la campagne à travers l’analyse d’une chaîne d’infection à plusieurs étapes construite autour d’un utilitaire gouvernemental factice. L’enquête a révélé l’utilisation d’un lanceur léger qui appelle une DLL, qui injecte ensuite du code dans svchost.exe. Les analystes ont également identifié une charge utile stéganographique cachée à l’intérieur d’une image JPG et ont observé un trafic de commande et de contrôle chiffré via TLS.

Atténuation

Les organisations doivent déployer un filtrage de courriels robuste pour bloquer les pièces jointes et liens suspects envoyés depuis des domaines gouvernementaux usurpés. Les équipes de sécurité doivent surveiller la création non autorisée de services Windows, en particulier les services déguisés en composants légitimes tels que Windows Mixed Reality. L’imposition de politiques UAC strictes et la surveillance des exécutions .NET suspectes en mémoire peuvent également aider à réduire l’impact de la compromission.

Réponse

Si cette activité est détectée, les points de terminaison affectés doivent être isolés immédiatement pour empêcher toute communication de commande et de contrôle supplémentaire et le vol de données. Les enquêteurs doivent effectuer une analyse forensique de la mémoire pour identifier le code injecté à l’intérieur de svchost.exe et vérifier les services non autorisés tels que MixedSvc. Les journaux réseau doivent également être examinés pour vérifier les connexions aux domaines et adresses IP identifiés, tandis que la réponse à l’incident doit se concentrer sur la rotation des identifiants et la vérification de l’intégrité du système.

Exécution de simulation

Prérequis : Le contrôle pré-vol de télémétrie et de référence doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le narratif DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés mèneront à un mauvais diagnostic.

• Narratif d’attaque et commandes : Un adversaire a déployé avec succès un programme d’installation de deuxième étape. Pour établir la persistance et recevoir d’autres instructions, le malware tente de contacter son infrastructure C2 codée en dur. L’objectif de l’attaquant est de contourner les proxys Web standards en utilisant un port non standard (2671). La simulation utilisera PowerShell pour imiter ce comportement en tentant une connexion TCP au domaine spécifique kkxqbh.top sur le port 2671, générant ainsi le domaine and port télémétrie requise par la règle de détection.

• Script de test de régression :

  # Simulation de la communication C2 de DragonReturn
  $C2Domain = "kkxqbh.top"
  $C2Port = 2671
  
  Write-Host "[+] Tentative de simulation de la connexion C2 vers $C2Domain sur le port $C2Port..."
  
  try {
      # Utilisation d'un client TCP pour initier une connexion aux IoCs spécifiques
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $connection = $tcpClient.BeginConnect($C2Domain, $C2Port, $null, $null)
  
      # Attendre une courte période pour permettre la génération de télémétrie
      $success = $connection.AsyncWaitHandle.WaitOne(5000, $false)
  
      if ($success) {
          Write-Host "[!] Connexion établie (Succès C2 simulé)."
      } else {
          Write-Host "[?] Connexion échouée (attendue si le domaine est inactif), mais la télémétrie devrait avoir été générée."
      }
      $tcpClient.Close()
  } catch {
      Write-Host "[!] Erreur lors de la simulation : $_"
  }

• Commandes de nettoyage :

  # Aucune modification persistante effectuée ; aucun nettoyage requis pour cette simulation en réseau uniquement.
  Write-Host "[+] Simulation complète. Aucune modification du système n'a été effectuée."