SOC Prime Bias: Critique

30 Avr 2026 17:21

Profero | Rapid-IR

WindowsAudit Backdoor : À l’intérieur d’un RAT .NET qui se cache dans Discord

Ruslan Mikhalov Chef de la Recherche sur les Menaces chez SOC Prime

Suivre

WindowsAudit Backdoor : À l’intérieur d’un RAT .NET qui se cache dans Discord

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Profero IRT a identifié une porte dérobée .NET 8 nommée WindowsAudit.exe qui utilise Discord comme principal canal de commande et de contrôle, tout en prenant en charge MQTT et Telegram comme chemins de communication de secours. Le logiciel malveillant fonctionne en tant que service Windows, crée une copie de sauvegarde de lui-même, établit plusieurs mécanismes de persistance et réalise le vol d’identifiants, l’abus d’Active Directory et des activités d’évasion de défense. Il met également en place des tunnels WireGuard pour soutenir un mouvement latéral furtif dans l’environnement. L’ensemble de la technique suggère que les attaquants pourraient préparer les réseaux affectés pour une étape ultérieure de ransomware.

Enquête

Les enquêteurs ont obtenu le binaire de WindowsAudit , ont confirmé qu’il s’agissait d’un trojan d’accès à distance modulaire en C#, et ont rétro-ingénieré son composant DLL intégré. Leur analyse a détaillé les techniques de persistance du malware, son architecture de communication, ses capacités de vidage d’informations d’identification et ses méthodes d’évasion, y compris le patching d’AMSI et d’ETW. L’équipe a également examiné un agent de distribution connexe appelé WinSATSvc, qui semble conçu pour restaurer le malware si supprimé. À partir de ce travail, les chercheurs ont extrait un ensemble d’indicateurs de compromission pour soutenir la recherche et la détection.

Atténuation

Les détections recommandées incluent la surveillance de la création du binaire de WindowsAudit service, des entrées de clé Run associées, le mutex GlobalWindowsAuditSingleInstance , et des exécutions suspectes de Add-MpPreference . Les défenseurs devraient également bloquer ou alerter sur le trafic TLS vers Discord et l’infrastructure HiveMQ, tout en surveillant les changements de démarrage sécurisé bcdedit et la création de tâches planifiées suspectes. Toute configuration de tunnel WireGuard liée au malware devrait être supprimée, et tous les mécanismes de persistance établis par la porte dérobée devraient être désactivés. bcdedit safe-boot changes and suspicious scheduled task creation. Any WireGuard tunnel configuration tied to the malware should be removed, and all persistence mechanisms established by the backdoor should be disabled.

Réponse

Les organisations devraient immédiatement traquer les indicateurs de compromission publiés, isoler les systèmes affectés, et arrêter le binaire de WindowsAudit service. Les images mémoire et disque devraient être collectées pour examen judiciaire, les binaires malveillants devraient être supprimés, et tout identifiant compromis devrait être réinitialisé. Les équipes de sécurité devraient également vérifier que les exclusions EDR non autorisées ont été supprimées, confirmer que les changements de configuration du mode sans échec ont été inversés, et continuer à surveiller pour toute réinstallation ou recréation des composants du malware.

"graph TB %% Class definitions classDef technique fill:#ffcc99 classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#99ff99 classDef operator fill:#ff9900 %% Nodes u2013 Techniques and Tools exploit_remote_services["Technique – T1210 Exploitation of Remote Services Copy malicious binary to remote hosts via SMB and start it with sc.exe"] class exploit_remote_services technique lateral_smb["Technique – T1080 Lateral Movement via Shared Content Spread using SMB shares and execute remote commands"] class lateral_smb technique wmi_event_sub["Technique – T1546.003 Windows Management Instrumentation Event Subscription Register WMI event that triggers payload for persistence"] class wmi_event_sub technique scheduled_task["Technique – T1053 Scheduled Task/Job Create task that runs in Safe Mode to remove EDR and reu2011arm malware after reboot"] class scheduled_task technique defender_exclusion["Technique – T1564.012 Hide Artifacts: File Path Exclusions Add Windows Defender exclusion for install path and executable"] class defender_exclusion technique safe_mode_boot["Technique – T1562.009 Safe Mode Boot Boot into Safe Mode to reinstall components"] class safe_mode_boot technique vpn_proxy["Technique – T1090 Proxy and T1572 Protocol Tunneling Deploy WireGuard VPN and SOCKS5 proxy to tunnel traffic"] class vpn_proxy technique c2_discord["Technique – T1102.002 Web Service: Discord Use Discord as primary command and control channel"] class c2_discord technique c2_mqtt["Technique – T1102 Web Service (MQTT) Secondary C2 via MQTT broker"] class c2_mqtt technique c2_fallback["Technique – T1008 Fallback Channels Switch to MQTT or Telegram when Discord unavailable"] class c2_fallback technique rat["Malware – Remote Access Tool (RAT)"] class rat malware os_cred_dump["Technique – T1003 OS Credential Dumping Dump LSASS memory with MiniDumpWriteDump"] class os_cred_dump technique shadow_copy["Technique – T1003.007 Volume Shadow Copy Extract SAM and SYSTEM hives via shadow copies"] class shadow_copy technique browser_passwords["Technique – T1555.003 Credentials from Web Browsers Decrypt saved passwords using DPAPI"] class browser_passwords technique cred_manager["Technique – T1555.004 Credentials from Windows Credential Manager Extract stored credentials"] class cred_manager technique golden_ticket["Technique – T1558.001 Golden Ticket Create forged Kerberos TGT for domain admin"] class golden_ticket technique silver_ticket["Technique – T1558.002 Silver Ticket Forge service tickets for targeted services"] class silver_ticket technique pass_hash["Technique – T1550.002 Pass the Hash Reuse NTLM hash to authenticate"] class pass_hash technique pass_ticket["Technique – T1550.003 Pass the Ticket Reuse Kerberos ticket for lateral movement"] class pass_ticket technique dc_sync["Technique – T1003.006 DCSync Force domain controller to replicate password data"] class dc_sync technique dc_auth["Technique – T1556.001 Domain Controller Authentication Modify authentication process on DC"] class dc_auth technique process_hollowing["Technique – T1055.012 Process Hollowing Inject code into elevated process"] class process_hollowing technique apc_injection["Technique – T1055.004 Asynchronous Procedure Call Inject code via APC"] class apc_injection technique clear_event_logs["Technique – T1070.001 Clear Windows Event Logs Remove evidence of activity"] class clear_event_logs technique screen_capture["Technique – T1113 Screen Capture Capture screenshots"] class screen_capture technique video_capture["Technique – T1125 Video Capture Record video of desktop"] class video_capture technique audio_capture["Technique – T1123 Audio Capture Record microphone audio"] class audio_capture technique keylogging["Technique – T1056.001 Keylogging Capture keystrokes"] class keylogging technique exfil_discord["Technique – T1041 Exfiltration Over Command and Control Channel Upload data as Discord attachments"] class exfil_discord technique exfil_mqtt["Technique – T1041 Exfiltration Over Command and Control Channel Send data via MQTT messages"] class exfil_mqtt technique %% Logical operators (optional) op_and1(("AND")) class op_and1 operator %% Connections u2013 Attack Flow exploit_remote_services –>|copies binary via SMB| lateral_smb lateral_smb –>|executes remote command with sc.exe| wmi_event_sub wmi_event_sub –>|provides persistence| scheduled_task scheduled_task –>|runs in safe mode| safe_mode_boot safe_mode_boot –>|reu2011arms malware| vpn_proxy vpn_proxy –>|tunnels traffic| c2_discord c2_discord –>|primary C2 channel| rat rat –>|collects credentials| os_cred_dump os_cred_dump –>|gets LSASS dump| shadow_copy os_cred_dump –>|feeds| browser_passwords os_cred_dump –>|feeds| cred_manager os_cred_dump –>|enables| golden_ticket os_cred_dump –>|enables| silver_ticket golden_ticket –>|provides domain admin access| pass_hash silver_ticket –>|provides service access| pass_ticket rat –>|uses| pass_hash rat –>|uses| pass_ticket rat –>|uses| dc_sync rat –>|uses| dc_auth rat –>|elevates via| process_hollowing rat –>|elevates via| apc_injection rat –>|clears logs| clear_event_logs rat –>|captures| screen_capture rat –>|captures| video_capture rat –>|captures| audio_capture rat –>|captures| keylogging screen_capture –>|exfiltrates via| exfil_discord video_capture –>|exfiltrates via| exfil_discord audio_capture –>|exfiltrates via| exfil_discord keylogging –>|exfiltrates via| exfil_discord exfil_discord –>|fallback to| exfil_mqtt c2_discord –>|fallback to| c2_fallback c2_fallback –>|uses| c2_mqtt c2_mqtt –>|receives exfiltrated data| exfil_mqtt "

Flux d’attaque

Détections

Points de persistance possibles [ASEPs – Software/NTUSER Hive] (via registry_event)

Équipe SOC Prime

30 avr. 2026

Voir

Tentatives de communication de domaine de recherche IP possibles (via dns)

Équipe SOC Prime

30 avr. 2026

Voir

Exécution suspecte de Bcdedit (via cmdline)

Équipe SOC Prime, Nate Guagenti

29 avr. 2026

Voir

Modifications suspectes des préférences de Windows Defender (via powershell)

Équipe SOC Prime

29 avr. 2026

Voir

Utilisation possible de Discord comme canal C2 (via dns_query)

Équipe SOC Prime

29 avr. 2026

Voir

Détection du mutex d’instance unique de WindowsAudit RAT [Windows Sysmon]

Règles AI de SOC Prime

29 avr. 2026

Voir

Communication de commande et de contrôle de la porte dérobée WindowsAudit [Connexion réseau Windows]

Règles AI de SOC Prime

29 avr. 2026

Voir

Détection de la porte dérobée WindowsAudit et des activités associées [Création de processus Windows]

Règles AI de SOC Prime

29 avr. 2026

Voir

Exécution de simulation

Prérequis : Le contrôle préliminaire de télémétrie & de base doit avoir réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un mauvais diagnostic.

Narration d’attaque et commandes :
Un attaquant a déployé la porte dérobée WindowsAudit sur l’hôte victime. Pour récupérer les commandes, la porte dérobée effectue des recherches DNS vers le CDN Discord (gateway.discord.gg) et vers un courtier MQTT malveillant hébergé sur *.hivemq.cloud. Ces requêtes sont émises via les API natives de Windows (aucun outil externe) pour rester discret. Les requêtes DNS sont le seul artefact observable utilisé par la règle Sigma pour la détection.

Script de test de régression :

# Simulation de balise DNS C2 de WindowsAudit
# Génère les requêtes DNS exactes que la règle Sigma surveille.

$c2Endpoints = @(
    "gateway.discord.gg",
    "malicious1.hivemq.cloud",
    "malicious2.hivemq.cloud"
)

foreach ($fqdn in $c2Endpoints) {
    try {
        # Utiliser le résolveur DNS natif de Windows
        Resolve-DnsName -Name $fqdn -Type A -ErrorAction Stop | Out-Null
        Write-Host "[+] Requête effectuée pour $fqdn"
    } catch {
        Write-Warning "Impossible de résoudre $fqdn (C2 simulé)"
    }
    Start-Sleep -Seconds 5   # imiter un intervalle de balise réaliste
}

Commandes de nettoyage :

# Vider le cache DNS pour supprimer les traces des requêtes simulées
ipconfig /flushdns
Write-Host "[*] Cache DNS effacé."

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement