La campagne Pawn Storm déploie PRISMEX, cible les entités gouvernementales et les infrastructures critiques

Résumé

Si l’activité PRISMEX est détectée, isolez immédiatement les systèmes affectés, capturez la mémoire volatile pour extraire les assemblages .NET en mémoire et chassez les charges utiles PNG stéganographiques distinctives et les entrées de registre de détournement COM. Bloquez tout Filen.io sous-domaines et le wellnesscaremed.com domaine, et appliquez une détection et un blocage basés sur les indicateurs de compromission pour les noms de fichiers identifiés et les tâches planifiées.

Réponse

Les organisations devraient corriger les failles CVE-2026-21509 et CVE-2026-21513 sans délai, restreindre l’accès aux services de stockage cloud non approuvés et désactiver l’objet COM Shell.Explorer.1 via le registre. Les défenseurs devraient appliquer des restrictions de macro, surveiller l’enregistrement COM sous HKCU\Software\Classes\CLSID, et examiner les tâches planifiées suspectes telles que OneDriveHealth. La journalisation ETW devrait également être activée pour détecter les chargements de CLR inattendus à l’intérieur de explorer.exe.

Atténuation

Les chercheurs de TrendAI ont identifié les composants de l’ensemble d’outils PRISMEX — PrismexSheet, PrismexDrop, PrismexLoader et PrismexStager — et les ont connectés à une activité antérieure de Pawn Storm. Ils ont trouvé des preuves selon lesquelles les attaquants avaient préparé l’infrastructure des semaines avant que les vulnérabilités ne soient divulguées publiquement et documenté l’utilisation d’un domaine de commande et de contrôle partagé, wellnesscaremed.com. La recherche a également cartographié les techniques MITRE ATT&CK utilisées tout au long de la chaîne d’intrusion.

Enquête

Pawn Storm (APT28) a lancé une campagne centrée sur un nouvel ensemble d’outils malveillants appelé PRISMEX, ciblant la chaîne d’approvisionnement de la défense ukrainienne ainsi que les organisations gouvernementales et logistiques alliées. L’opération exploite deux failles zero-day récemment divulgées, CVE-2026-21509 et CVE-2026-21513, tout en abusant des plateformes cloud légitimes pour la commande et le contrôle. L’ensemble d’outils comprend des chargeurs stéganographiques, le détournement de COM pour la persistance, et un stager Covenant Grunt hébergé sur Filen.io. La détection reste difficile en raison de l’exécution sans fichier et du trafic réseau crypté.

Exécution de simulation

Prérequis : Le contrôle pré-vol de Télémétrie & de Baseline doit avoir été réussi.

Justification : Cette section détaille l’exécution précise de la technique d’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront une erreur de diagnostic.

• Narratif et Commandes d’attaque :

  1. L’adversaire a obtenu une DLL malveillante (evil.dll) placée dans un répertoire accessible en écriture (par exemple, C:Tempevil.dll).
  2. Pour assurer la persistance, ils sélectionnent le CLSID {68DDBB56-9D1D-4FD9-89C5-C0DA2A625392} (l’un des GUID suivis par la règle).
  3. En utilisant reg.exe (ou PowerShell) intégré, ils définissent la valeur par défaut de la sous-clé InProcServer32 au chemin de la DLL malveillante, détournant ainsi toute activation COM de ce CLSID.
  4. Le changement de registre génère une entrée EventID 13 avec le TargetObject qui correspond à la règle de détection.

• Script de test de régression :

  # -------------------------------------------------
  # Simulation de persistance de détournement COM PrismexSheet
  # -------------------------------------------------
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $dllPath = "C:Tempevil.dll"
  
  # Assurez-vous que la DLL malveillante existe (espace réservé pour le test)
  if (-not (Test-Path $dllPath)) {
      New-Item -Path $dllPath -ItemType File -Force | Out-Null
      Set-Content -Path $dllPath -Value "Espace réservé pour la charge utile malveillante"
  }
  
  $regPath = "HKCU:SoftwareClassesCLSID$guidInProcServer32"
  
  # Créez la clé si elle n'existe pas
  New-Item -Path $regPath -Force | Out-Null
  
  # Définissez la valeur par défaut pour pointer vers la DLL malveillante
  Set-ItemProperty -Path $regPath -Name '(Default)' -Value $dllPath
  
  Write-Host "Détournement COM persistant à $regPath -> $dllPath"

• Commandes de nettoyage :

  # Supprimer l'enregistrement COM malveillant
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $regPath = "HKCU:SoftwareClassesCLSID$guid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Supprimer la DLL fictive
  Remove-Item -Path "C:Tempevil.dll" -Force -ErrorAction SilentlyContinue
  
  Write-Host "Nettoyage terminé."