PulseRAT livré via un appât de partenariat EAU-Inde

Résumé

Une archive ISO malveillante déguisée en fichier de partenariat stratégique Émirats arabes unis-Inde est utilisée pour diffuser un cheval de Troie d’accès à distance basé sur .NET, nommé PulseRAT. Le malware est installé via un dropper intégré dans l’ISO et utilise un tableau Google comme canal de commande et de contrôle. Pour maintenir l’accès, il crée une tâche planifiée nommée WindowsVaultSyncService, crée un répertoire de coffre-fort sous %LOCALAPPDATA%, et utilise un mutex pour éviter plusieurs exécutions sur le même hôte. La campagne repose sur un leurre lié à une relation de défense de haut niveau entre les Émirats arabes unis et l’Inde.

Enquête

L’analyste a décompressé le fichier ISO, identifié le raccourci LNK responsable du lancement de l’exécutable et a rétro-conçu le dropper pour découvrir sa charge utile et sa logique de persistance. Une analyse plus approfondie de PulseRAT a révélé comment il utilise Google Sheets pour le commandement et le contrôle, génère son mutex, exécute PowerShell dans la mémoire du processus et crée sa tâche planifiée pour la persistance. Les noms de fichiers, chemins de fichiers, motifs de mutex et l’identifiant du tableau ont tous été documentés pour soutenir l’ingénierie de détection.

Atténuation

Les organisations devraient bloquer l’exécution de binaires inconnus lancés depuis des supports amovibles ou montés et surveiller la création de tâches planifiées nommées WindowsVaultSyncService. Le contrôle d’application devrait être appliqué pour les binaires s’exécutant depuis %LOCALAPPDATA%MicrosoftVault, et les défenseurs devraient inspecter le trafic de l’API Google Sheets pour détecter l’accès à des comptes non autorisés ou une activité inhabituelle sur les tableaux. Toute tâche planifiée malveillante devrait être supprimée, et le vaultsvc.exe fichier devrait être supprimé des systèmes affectés.

Réponse

Si une activité de PulseRAT est détectée, isolez immédiatement le point d’extrémité affecté, collectez la mémoire volatile et les images disque, et recherchez les indicateurs de compromission documentés. Désactivez et supprimez la tâche planifiée malveillante, supprimez le répertoire du coffre et réinitialisez tout compte de service Google compromis. Un examen judiciaire complet devrait également être effectué pour identifier un éventuel mouvement latéral, et les parties prenantes pertinentes aux Émirats arabes unis et en Inde devraient être informées.

Exécution de la simulation

Prérequis : La vérification pré-vol de télémétrie et de baselining doit avoir été validée.

• Narrative d’attaque & Commandes :
  L’adversaire a compromis un compte utilisateur et placé une DLL malveillante “PulseRAT” sur l’hôte. PulseRAT se charge dans un processus légitime (par exemple, explorer.exe) et crée un espace d’exécution PowerShell (exécution en-process) pour éviter de lancer un powershell.exevisible. Il récupère ensuite une charge utile PowerShell encodée en base 64 à partir d’une feuille Google contrôlée par l’attaquant, la décode et l’exécute dans l’espace d’exécution. Cela génère une seule entrée EventID 4104 contenant à la fois la chaîne marqueur “System.Management.Automation.Runspaces” (de la création de l’espace d’exécution) et le mot “base64” (de la charge utile décodée), satisfaisant la règle Sigma.

• Script de test de régression :

  # Exécution PowerShell en-process de style PulseRAT (simulation)
  # ---------------------------------------------------------
  # 1. Créer un espace d'exécution PowerShell (en-process)
  $runspace = [runspacefactory]::CreateRunspace()
  $runspace.Open()
  
  # 2. Construire une charge utile encodée en base64 (simulation de données contrôlées par l'attaquant)
  $payload = 'Write-Host "Compromise par PulseRAT"'   # charge utile simple
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # 3. Construire un bloc de script qui décode et exécute la charge utile
  $script = @"
  `$b64 = '$b64'
  `$decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String(`$b64))
  Invoke-Expression `$decoded
  "@
  
  # 4. Créer un pipeline PowerShell à l'intérieur de l'espace d'exécution et l'invoker
  $powershell = [powershell]::Create()
  $powershell.Runspace = $runspace
  $null = $powershell.AddScript($script).Invoke()
  $powershell.Dispose()
  $runspace.Close()

• Commandes de nettoyage :

  # Retirer l'espace d'exécution et libérer les ressources (si des éléments restent)
  if ($runspace -and $runspace.RunspaceStateInfo.State -ne 'Closed') {
      $runspace.Close()
  }
  Remove-Variable -Name runspace -ErrorAction SilentlyContinue
  Remove-Variable -Name powershell -ErrorAction SilentlyContinue