RSVP au Désastre : Comment Un Clic Installe un RAT

Résumé

Les cybercriminels utilisent des emails de phishing déguisés en invitations à des événements sociaux pour distribuer des logiciels malveillants. Les victimes sont redirigées via un faux bouton RSVP vers une page de vérification CAPTCHA puis vers un site de téléchargement malveillant. L’attaque installe finalement un cheval de Troie d’accès à distance (RAT), donnant aux attaquants un contrôle étendu sur l’appareil compromis.

Enquête

Le Centre de défense contre le phishing de Cofense a identifié une campagne qui repose sur une ingénierie sociale vague et suscite la curiosité. Les chercheurs ont découvert un flux d’infection en plusieurs étapes qui utilise une page CAPTCHA hébergée sur un domaine non marqué et nouvellement enregistré pour créer un faux sentiment de légitimité. La charge utile finale est une application de support à distance légitime détournée pour un accès malveillant.

Atténuation

Les organisations doivent fournir une formation aux employés se concentrant sur la reconnaissance des techniques d’ingénierie sociale impliquant des appâts par email vagues, urgents ou basés sur la curiosité. Les défenses techniques devraient inclure des passerelles de sécurité de messagerie bloquant les URL suspectes et une surveillance des outils d’accès à distance non autorisés. La protection des terminaux devrait également signaler les logiciels légitimes lorsqu’ils sont exécutés dans des contextes suspects ou inattendus.

Réponse

Lorsqu’une activité malveillante est détectée, isolez immédiatement l’hôte affecté du réseau pour empêcher un accès non autorisé continu. Menez une enquête médico-légale complète pour déterminer l’étendue de la compromission et identifier une éventuelle exfiltration de données. Réinitialisez les identifiants des utilisateurs affectés et examinez les journaux système pour rechercher des connexions non autorisées, des mécanismes de persistance ou d’autres activités suspectes.

Exécution de Simulation

• Narrative d’Attaque et Commandes : L’adversaire initie une attaque par spearphishing, envoyant un email avec un lien vers une fausse « Invitation à un événement ». En cliquant, l’utilisateur est invité à télécharger un fichier. Dans cette simulation, nous simulons la phase finale où l’utilisateur exécute le fichier téléchargé ScreenConnect.ClientSetup.exe. Le but est d’établir un point d’accès à distance. L’exécution de ce nom de fichier spécifique déclenchera l’alerte de haute sévérité.

• Script de Test de Régression :

  # Script de simulation : Déclencher la détection de ScreenConnect
  # Note : Nous créons un fichier factice avec le nom cible pour simuler l'exécution
  # sans réellement installer un logiciel potentiellement malveillant.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Création d'un fichier factice : $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Simulation de l'exécution de $targetName..."
  # Utilisation de Start-Process pour générer un événement de création de processus (Event ID 1 / 4688)
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Commande de simulation complète. Vérifiez le SIEM pour l'alerte."

• Commandes de Nettoyage :

  # Script de nettoyage
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Fichier factice nettoyé : $tempPath"
  } else {
      Write-Host "[-] Fichier factice introuvable. Rien à nettoyer."
  }