UAC-0099 et Sandworm déploient la porte dérobée MythicRatatoskr via Yggdrasil

Résumé

Les affiliés associés aux groupes de ransomware INC et The Gentlemen exploitent un écosystème d’intrusion assisté par IA pour automatiser la reconnaissance, la génération de commandes et la gestion des données. Les opérateurs utilisent un cadre personnalisé appelé Phantom ainsi que des LLM commerciaux pour soutenir des intrusions à grande échelle. L’infrastructure a été exposée après que des échecs significatifs en OPSEC ont révélé des serveurs de commande et de contrôle ainsi que des données de sessions IA stockées.

Enquête

L’enquête a débuté après que des chercheurs ont trouvé un serveur de commande et de contrôle exposé à 45.227.254.43 hébergeant des répertoires ouverts contenant le code source de Phantom et des bases de données de sessions IA. L’analyse des fichiers de configuration et des identifiants exposés a ensuite permis de découvrir six serveurs supplémentaires contrôlés par des adversaires. Les chercheurs ont identifié un flux de travail hautement automatisé dans lequel l’IA exécute une grande partie des tâches techniques tandis que les opérateurs humains conservent une vue d’ensemble.

Atténuation

Les organisations devraient donner la priorité à la mise à jour des systèmes périphériques, notamment FortiClient EMS, SimpleHelp et cPanel, pour fermer les voies d’accès initiales courantes. L’application de l’authentification multifactorielle (MFA) sur les plateformes de gestion à distance, VPN et d’accès à distance est essentielle pour réduire le risque de réutilisation des identifiants. Les défenseurs devraient également activer la protection contre la falsification EDR et surveiller l’arrêt non autorisé des services de sécurité ou le chargement de pilotes vulnérables connus.

Réponse

Lorsque des activités malveillantes sont identifiées, isolez les appareils périphériques affectés et auditez les comptes administratifs sur les plateformes EMS et RMM pour des ajouts non autorisés. Examinez les scripts de connexion VPN pour des modifications suspectes et renouvelez immédiatement les identifiants compromis. Procédez à un examen approfondi des tâches planifiées et des tunnels SOCKS inversés actifs pour identifier et neutraliser les canaux de commande et de contrôle persistants.

Exécution de la simulation

• Narratif & Commandes de l’attaque : L’adversaire vise à établir une persistance sur l’hôte cible en utilisant la porte dérobée MythicRatatoskr. Pour simuler la détection, l’attaquant effectuera trois actions distinctes : 1) Exécuter une commande contenant la chaîne spécifique « MATCHWOK backdoor » pour déclencher sélection1; 2) Déposer un binaire malveillant à un chemin très spécifique C:windowssystem32updater.exe pour déclencher sélection2; et 3) Créer un nouveau Service Windows nommé WindowsDefenderSvc.exe pour déclencher sélection3. Cela imite le déploiement en plusieurs étapes où l’accès initial mène à une persistance à privilèges élevés.

• Script de test de régression :

  # Script de simulation pour la validation de la détection MATCHWOK/MythicRatatoskr
  # NOTE : Ce script doit être exécuté avec les privilèges d'administrateur.
  
  Write-Host "[*] Démarrage de la simulation..." -ForegroundColor Cyan
  
  # 1. Déclencher Sélection 1 : CommandLine contient 'MATCHWOK backdoor'
  Write-Host "[+] Déclenchement de la Sélection 1 (Ligne de Commande)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Ceci est une simulation de l'exécution de la porte dérobée MATCHWOK" -WindowStyle Hidden
  
  # 2. Déclencher Sélection 2 : L'image est 'C:windowssystem32updater.exe'
  Write-Host "[+] Déclenchement de la Sélection 2 (Chemin de fichier)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Déclencher Sélection 3 : ServiceName est 'WindowsDefenderSvc.exe'
  Write-Host "[+] Déclenchement de la Sélection 3 (Nom de Service)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Création d'un service fictif qui exécute 'cmd.exe'
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Service de Sécurité Windows Defender" -StartupType Manual
  
  Write-Host "[*] Simulation Terminée." -ForegroundColor Green

• Commandes de Nettoyage :

  # Script de Nettoyage
  Write-Host "[!] Nettoyage des artefacts de simulation..." -ForegroundColor Red
  
  # Supprimer le service
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Supprimer le fichier malveillant
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Nettoyage Terminé." -ForegroundColor Green