Révéler une Variation de SectopRAT Intégrée dans un Logiciel Légitime

Résumé

Les attaquants utilisent un chargeur multi-étapes pour cacher le cheval de Troie d’accès à distance SectopRAT au sein de logiciels légitimes. Le malware repose sur la manipulation de DLL et l’exécution en mémoire de code ASM déchiffré pour échapper à la détection des sécurités. Une fois déployé, il permet un contrôle complet à distance du système compromis, le vol d’identifiants et l’exfiltration de données.

Investigation

L’équipe de réponse aux incidents de FortiGuard a découvert SectopRAT dissimulé à l’intérieur d’un répertoire de station de travail audio numérique légitime sous C:ProgramData. Les chercheurs ont trouvé que FrameworkBase.dll avait été modifié via la manipulation de l’IAT pour charger un sdkcra.dllmalveillant. Une analyse plus poussée a révélé l’utilisation de hachage d’API et de techniques d’obfuscation complexes pour cacher les fonctionnalités et l’exécution du malware.

Atténuation

Les organisations doivent s’assurer que les applications légitimes sont installées uniquement dans des chemins de répertoire attendus plutôt que dans des emplacements inhabituels tels que C:ProgramData. Une protection robuste des endpoints doit être déployée pour identifier la manipulation de DLL et la création de tâches planifiées non autorisées. Les équipes de sécurité doivent également surveiller les connexions sortantes suspectes vers des adresses IP inconnues et des domaines de secours usurpant des services de cryptomonnaie.

Réponse

Si une activité de SectopRAT est détectée, les systèmes Windows affectés doivent être immédiatement isolés pour arrêter toute communication C2 supplémentaire et l’exfiltration de données. Les intervenants doivent collecter des vidages de mémoire pour récupérer la charge malware déchiffrée et enquêter sur les tâches planifiées non autorisées associées à ReportDump.exe. Les journaux réseau doivent également être examinés pour les connexions avec 98.142.252.140 et les domaines de secours thématiques Binance identifiés.

Mots-clés : SectopRAT, cheval de Troie d’accès à distance, chargeur multi-étapes, manipulation de DLL, code ASM, exécution en mémoire, FortiGuard Incident Response, FrameworkBase.dll, modification de l’IAT, sdkcra.dll, hachage d’API, obfuscation, C:ProgramData, ReportDump.exe, Binance, vol d’identifiants, exfiltration de données, C2.

Exécution de simulation

• Narration & commandes d’attaque : L’adversaire cherche à établir une persistance et à échapper à la détection en utilisant le chargement de DLL latéral. Ils déposent une version légitime de ReportDump.exe dans C:ProgramData, un répertoire souvent négligé par les utilisateurs mais inscriptible par certains processus. À côté, ils placent une DLL malveillante nommée sdkcra.dll. Quand ReportDump.exe est exécuté, il recherche ses dépendances dans son répertoire local, charge le sdkcra.dllmalveillant et exécute la charge utile de l’adversaire dans le contexte d’un processus apparemment bénin.

• Script de Test de Régression :

  # Script de simulation pour la détection de chargement latéral de SectopRAT
  # Ce script crée la structure de répertoires et les fichiers requis pour déclencher la règle.
  
  $targetDir = "C:ProgramDataSectopSim"
  $exeName = "ReportDump.exe"
  $dllName = "sdkcra.dll"
  
  # 1. Créer le répertoire dans ProgramData
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory | Out-Null
  }
  
  # 2. Créer un exécutable 'légitime' de substitution
  # Dans une attaque réelle, ce serait le vrai ReportDump.exe
  $dummyExe = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$exeName" -Value $dummyExe -NoNewline
  
  # 3. Créer le fichier DLL malveillant
  $dummyDll = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$dllName" -Value $dummyDll -NoNewline
  
  Write-Host "[+] Fichiers de simulation créés dans $targetDir"
  
  # 4. Déclencher la détection : Exécuter l'EXE et tenter de charger la DLL
  # Remarque : Comme ce sont des fichiers de substitution, ils ne 'chargeront' pas réellement comme de vrais fichiers PE,
  # mais pour le besoin de la logique de la règle de détection, nous simulons l'interaction avec le fichier.
  # Dans un véritable outil BAS, nous utiliserions un binaire signé réel pour garantir que l'Event ID 7 se déclenche.
  
  Write-Host "[*] Simulation de l'exécution de $exeName..."
  # Utilisation d'un processus réel pour simuler le comportement si les fichiers de substitution échouent à déclencher l'ID d'événement 7
  # Afin de garantir que la règle de détection (ImageLoaded) se déclenche, un chargement de DLL réel est préféré.
  # Pour ce script, nous utiliserons PowerShell pour simuler la télémétrie 'ImageLoaded' si possible,
  # mais idéalement, l'utilisateur devrait utiliser un binaire vulnérable réel.
  
  Start-Process -FilePath "$targetDir$exeName" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Vérifiez votre SIEM pour : Image: .*ReportDump.exe AND ImageLoaded: .*sdkcra.dll"

• Commandes de nettoyage :

  # Script de nettoyage
  $targetDir = "C:ProgramDataSectopSim"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Fichiers de simulation nettoyés."
  } else {
      Write-Host "[-] Répertoire cible non trouvé. Rien à nettoyer."
  }