Ransomware : sur la trace de l'outillage d'un courtier en accès initial

ModeloRAT : Résilience et vitesse d'exécution du nouveau cheval de Troie

À partir de là, l'assaillant déploie le cheval de Troie de contrôle à distance (RAT) ModeloRAT. Il est conçu pour une survivabilité maximale. L'ensemble de l'outil est construit pour résister aux tentatives de perturbation, se distinguant ainsi des tactiques de type « smash-and-grab ».

La chaîne d'attaque est remarquablement rapide. Dès qu'un utilisateur exécute une seule commande PowerShell, l'accès persistant est atteint en moins de cinq minutes. Le processus débute par l'exécution d'un environnement Python portable sous un binaire signé, ce qui masque l'activité. Le premier module lancé est un collecteur de reconnaissance qui pré-configure le contexte de l'hôte avant même l'entrée d'une commande par l'opérateur.

La résilience de ModeloRAT repose sur la redondance. L'outil utilise trois chemins de communication C2 indépendants sur des infrastructures distinctes. ReliaQuest explique que « le kit d'outils fonctionne avec trois chemins d'accès indépendants sur des infrastructures séparées, chacun capable de continuer à fonctionner lorsque les défenseurs perturbent les autres ». De plus, l'implant principal, Pmanager.py, est conçu pour échapper aux défenses basées sur les indicateurs, en faisant pivoter les serveurs et en utilisant des chemins d'URL aléatoires.

Le contexte comportemental de Mistic

Mistic est quant à lui un cheval de Troie furtif qui exécute des charges utiles directement en mémoire, sans écrire de fichier sur le disque, et inclut un kill switch. Cette exécution en mémoire contribue à sa faible visibilité et permet à l'opérateur de maintenir un accès discret sur le long terme, explique Symantec.

Le mécanisme de persistance est particulièrement sophistiqué, car il est étalé sur quatre déclencheurs distincts. Les trois premiers artefacts sont : une clé de registre Run, un raccourci dans le dossier de démarrage, et un lanceur VBScript. Ces éléments garantissent que ModeloRAT redémarre à chaque connexion.

La résilience ne s'arrête pas là. Sur les hôtes recevant des tâches post-exploitation, un quatrième mécanisme est ajouté : une tâche planifiée au niveau SYSTEM. L'implant de Mistic possède une routine d'auto-destruction qui supprime les trois premiers artefacts, mais elle ne vérifie pas ni ne supprime la tâche planifiée. Comme le souligne ReliaQuest, « la routine d'auto-destruction de l'implant supprime uniquement la clé Run, le raccourci de démarrage et le lanceur VBScript. Elle ne vérifie pas ou ne supprime pas la tâche planifiée ». Ce mécanisme assure que l'accès persiste même après un redémarrage ou après que l'opérateur ait cessé d'utiliser l'accès.

Symantec a observé le déploiement de ModeloRAT dans ces cyberattaques impliquant le ransomware Qilin. Mais Woodgnat, ou KongTuke, a aussi été associé à des activités d'acteurs liés aux enseignes de rançongiciel Interlock, Rhysida, Akira, 8base, et Black Basta.