Enquête sur l’accès proxy TOR basé sur Curl avec Uncoder AI et le langage de requête SentinelOne

**Aperçu de l’événement**

Cet événement est déclenché lorsqu’un processus répond à certaines conditions, indiquant une possible interaction avec le dark web ou des réseaux anonymes via l’exécutable `curl.exe`.

**Conditions clés**

1. **Chemin de l’exécutable** : Le processus cible (`TgtProcImagePath`) doit contenir le chemin vers `curl.exe`. Cela suggère que le processus en question est une instance de l’outil de ligne de commande curl.
2. **Paramètres de la ligne de commande** : La ligne de commande (`TgtProcCmdLine`) du processus `curl.exe` contient des motifs d’URL spécifiques, qui sont des indicateurs d’une activité potentiellement malveillante ou suspecte :

• `socks5h://`, `socks5://`, ou `socks4a://` : Ces chaînes indiquent l’utilisation de proxies SOCKS. SOCKS est un protocole qui permet le routage du trafic Internet via un serveur proxy. Le `h` dans `socks5h` signifie généralement que le nom d’hôte est résolu du côté proxy, ce qui peut aider à masquer la destination réelle.
• `.onion` : Cette chaîne est associée aux services onion de Tor. Les services onion sont utilisés pour héberger des sites web ou d’autres serveurs qui souhaitent rester anonymes et sont accessibles via le réseau Tor.

**Implications**

La combinaison de ces conditions suggère quelques scénarios possibles :

• **Accès aux ressources du dark web** : La présence d’URL `.onion` indique une tentative d’accès à des ressources sur le dark web, souvent associées à des activités illicites. Cependant, il est aussi utilisé à des fins légitimes comme la protection de la vie privée des utilisateurs.
• **Utilisation de proxies pour l’anonymat** : L’utilisation de proxies SOCKS (comme indiqué par `socks5h://`, `socks5://`, ou `socks4a://`) peut être une tentative d’anonymiser le trafic Internet. Bien que l’utilisation de proxies soit courante et non foncièrement malveillante, dans le contexte de l’accès aux services onion ou d’autres contenus potentiellement sensibles, cela peut soulever des préoccupations en matière de sécurité.
• **Techniques d’évasion potentielles** : Les acteurs malveillants pourraient utiliser ces méthodes (proxies anonymisants et ressources du dark web) dans le cadre de leurs tactiques, techniques et procédures (TTP) pour échapper à la détection ou masquer leurs traces lors d’une attaque.

**Réponse**

Lorsque cet événement s1 est déclenché, il est nécessaire d’approfondir l’investigation pour comprendre le contexte et l’intention derrière l’activité. Cela pourrait impliquer :

• Révision des journaux réseau pour d’autres activités suspectes.
• Analyse du comportement du système avant et après l’événement pour identifier des précurseurs potentiels ou les conséquences de l’action détectée.
• Inspection du système pour tout signe de logiciel malveillant ou tentatives d’accès non autorisées.

Étant donné la nature de cet événement, il est crucial de maintenir une vigilance sécuritaire tout en comprenant que toutes les activités impliquant ces indicateurs ne sont pas malveillantes. Les usages légitimes peuvent inclure la recherche, la protection de la vie privée ou l’accès à des services onion pour des communications sécurisées.