Résumé CTI : EDR Killer, PS1Bot, Charon Ransomware

Dans le résumé de cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium explore comment les groupes de rançongiciels adoptent de plus en plus un outil partagé pour désactiver les systèmes de détection et de réponse aux endpoints (EDR). Nous examinons également une campagne de publicité malveillante distribuant le cadre modulaire PS1Bot des logiciels malveillants et analysons l’émergence du ransomware Charon, une attaque de type menaces persistantes avancées (APT) ciblant les secteurs critiques avec des attaques personnalisées.

L’outil partagé de destruction des EDR prend de l’ampleur dans l’écosystème des ransomwares

Sophos rapporte que les groupes de ransomware déploient de plus en plus un outil partagé et avancé pour désactiver les systèmes EDR, échapper à la détection et rationaliser l’exécution des attaques.

[Pensez que votre EDR a été couverte ? Découvrez comment les lacunes de visibilité et les temps de réponse lents peuvent laisser vos endpoints exposés.]

Considéré comme développé par RansomHub, l’outil est considéré comme une évolution d’ EDRKillShifter. Il exploite les pilotes signés et l’injection de processus pour contourner les défenses de sécurité.

Des groupes de menaces, notamment Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx et INC, ont également adopté l’outil, indiquant une utilisation généralisée dans l’écosystème des ransomwares.

Charge utile de tueur AV trouvée dans des milliers d’échantillons de rançongiciels

Sophos a documenté cette charge utile dans des milliers d’échantillons, en notant qu’elle est fréquemment déployée à mi-attaque et souvent intégrée dans des utilitaires légitimes pour échapper à la détection et désactiver les défenses antivirus.

[Explorez les décisions difficiles derrière la réponse aux rançongiciels, qu’il s’agisse de payer ou de se préparer à la prochaine attaque, dans cet épisode du podcast Tanium.]

Par exemple, dans un cas, les attaquants ont intégré la charge utile dans la fonctionnalité de comparaison de presse-papiers de Beyond Compare, un utilitaire légitime du logiciel Scooter. Les attaquants ont injecté du code de chargeur et intégré la charge utile malveillante en tant que ressource, accompagnée de composants de chargeur supplémentaires.

Lors de l’exécution, la charge utile s’auto-décodée, permettant à Sophos d’identifier plusieurs traits clés :

• Le code est fortement obscurci et protégé.
• Il recherche un lecteur avec un nom aléatoire de cinq lettres.
• Le pilote est signé via un certificat compromis.
• Il cible plusieurs fournisseurs de sécurité.
• La liste des cibles varie entre les échantillons.

L’exécutable a été confirmé comme un tueur AV, spécialement conçu pour cibler les produits Sophos. Sophos note que plusieurs versions existent, chacune variant dans les produits de sécurité qu’elles ciblent.

Dans ces variantes, l’outil tente d’identifier et de résilier les processus et services de sa liste cible. La dernière variante utilise un pilote signé par Fuzhou Dingxin Trade Co., Ltd.

Comment le tueur EDR est généralement déployé

La plupart des attaques observées commencent par un compte-gouttes rempli de HeartCrypt, qui fournit un exécutable tueur EDR protégé et charge un pilote signé avec un certificat compromis.

Des chercheurs ont observé l’exécutable tentant de charger un pilote apparié, bien que l’exécution soit souvent bloquée par des détections statiques génériques ou des protections dynamiques telles que SysCall ou HollowProcess.

Après le déploiement du tueur EDR, Sophos a observé une alerte de rançongiciel pour RansomHub, bien que des séquences similaires aient également précédé les attaques d’autres familles de rançongiciels.

Études de cas : MedusaLocker et INC Ransomware en action

Pour illustrer comment cet outil est adapté à différentes familles de ransomwares, Sophos présente deux cas notables :

1. MedusaLocker : Sophos met en évidence un cas impliquant le ransomware MedusaLocker, où les attaquants ont probablement utilisé un RCE zero-day dans SimpleHelp pour l’accès initial. Le tueur AV a été exécuté à partir d’un composant SimpleHelp appelé JWrapper-Remote Access, ciblant les produits ESET, Symantec, Sophos, HitManPro, Webroot et Kaspersky.
2. INC : En juin 2025, Sophos a identifié une attaque par rançongiciel INC où l’acteur a utilisé deux outils de packer en tant que service pour une protection supplémentaire.

Ces cas illustrent comment l’outil est adapté à différentes familles de ransomwares.

Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium

La banalisation des tueurs EDR est un développement inquiétant. Les outils malveillants deviennent de plus en plus accessibles à un plus large éventail d’acteurs malveillants et contribuent à augmenter la vitesse et l’échelle des attaques.

Cette étude de Sophos souligne également comment les outils sont réutilisés et adaptés par plusieurs groupes de ransomwares. L’augmentation de la collaboration et du partage de code entre les cybercriminels rend les activités plus faciles à mener et l’attribution plus difficile.

La campagne de malvertissement fournit un cadre de malware modulaire PS1Bot

Cisco Talos signale qu’une campagne de publicité malveillante sophistiquée distribue activement PS1Bot, un cadre modulaire pour les logiciels malveillants intégré à PowerShell et C#. Il vole discrètement les informations d’identification, capture des captures d’écran et échappe à la détection antivirus, tout en s’exécutant entièrement en mémoire.

Délivré via des publicités trompeuses et une intoxication au référencement, PS1Bot s’exécute entièrement en mémoire et évolue rapidement, ce qui représente une menace importante pour la cybersécurité des entreprises et des personnes.

Aperçu de la campagne : exécution en mémoire et malvertissante

Cisco Talos a suivi une campagne active qui utilise la publicité malveillante pour fournir un cadre de programmes malveillants à plusieurs étapes.

Le framework fournit des modules supplémentaires, tels que des voleurs d’informations, des enregistreurs de frappe et des outils de capture d’écran, tout en minimisant les artefacts médico-légales en s’exécutant entièrement en mémoire. Cisco Talos désigne ce logiciel malveillant basé sur PowerShell comme PS1Bot.

Vous trouverez ci-dessous les principaux enseignements techniques de la campagne PS1Bot , montrant comment le logiciel malveillant atteint la discrétion, la persistance et les fonctionnalités modulaires :

• Livraison : les victimes sont incitées à télécharger une archive compressée contenant un seul fichier : DOCUMENT COMPLET.js. Ce fichier JavaScript fonctionne comme un téléchargeur, initiant l’étape suivante de la chaîne d’infection PS1Bot .
• Récupération de la première étape : lors de l’exécution, le logiciel malveillant récupère un script JScript et exécute son contenu pour se préparer aux étapes d’attaque ultérieures. Cela inclut l’écriture d’un script PowerShell dans le répertoire ProgramData et son exécution pour établir une connexion C2 persistante. Le logiciel malveillant entre dans une boucle, contactant continuellement le serveur C2 pour des commandes supplémentaires.
• Modules PowerShell : Cisco Talos a observé plusieurs modules PowerShell livrés après l’infection initiale, y compris ceux pour la détection antivirus, la capture d’écran, la saisie de portefeuille, l’enregistrement de clés, la collecte d’informations et la persistance. La plupart des modules comprennent des composants de journalisation intégrés qui permettent aux attaquants de surveiller à la fois l’installation et l’activité d’exécution, avec des mises à jour envoyées au serveur C2 .
• Détection d’antivirus : le module de détection d’antivirus est livré après que le logiciel malveillant a établi une connexion C2 . Il collecte des détails sur les programmes antivirus installés sur l’appareil infecté en interrogeant WMI et rapporte ces informations au C2.
• Capture d’écran : le module de capture d’écran prend des captures d’écran à l’aide d’un DLL d’assemblage C# exécuté via PowerShell lors de l’exécution. Il crée un fichier image .BMP, le convertit au format JPEG et le transmet au serveur C2 .
• Module de saisie : le module de saisie cible le stockage local du navigateur, les données d’extension, les données d’application et les fichiers contenant des mots de passe, principalement axés sur le vol de portefeuille de cryptomonnaies.
• Enregistreur de clé : le module d’enregistreur de clé suit l’activité du clavier et de la souris, ainsi que le contenu du presse-papiers, et envoie les données capturées au C2.
• Collecte d’informations : le module WMIComputerCSHARP rassemble les détails du système et de l’environnement en interrogeant l’appartenance au domaine via WMI.
• Persistance : le module de persistance garantit la réexécution du mécanisme de boucle du logiciel malveillant après le redémarrage ou la fin de la session.

Ensemble, ces modules montrent comment PS1Bot maintient la discrétion et la persistance sur les systèmes infectés.

Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium

La dépendance de la campagne à l’empoisonnement et à la publicité pour le référencement démontre comment les attaquants continuent d’exploiter la confiance des utilisateurs et les moteurs de recherche, en soulignant l’importance d’éduquer les utilisateurs sur les habitudes de navigation et les téléchargements sûrs, même à partir de sources apparemment légitimes.

Le rapport Cisco Talos met également en évidence une autre tendance, qui implique l’utilisation d’outils système natifs tels que PowerShell pour échapper à la détection et persister sur l’appareil avec des traces médico-légales minimales. Cela rend la détection extrêmement difficile.

Le ransomware Charon émerge avec des tactiques de type APT ciblant les organisations à forte valeur ajoutée

Trend Micro a identifié une nouvelle souche de ransomware, Charon, qui utilise des techniques avancées de type APT, y compris le chargement latéral DLL, l’injection de processus et les capacités anti-EDR, pour exécuter des attaques hautement ciblées et perturbatrices.

Rançongiciel Charon : attaques ciblées et parallèles techniques à Earth Baxia

Le ransomware Charon a été observé pour la première fois lors d’une attaque ciblée au Moyen-Orient, affectant les organisations du secteur public et de l’aviation. L’acteur malveillant a utilisé le chargement latéral DLL et d’autres techniques qui rappellent les campagnes Earth Baxia. Des notes de rançon personnalisées ont référencé les victimes par nom, renforçant la nature ciblée de l’opération. Ces tactiques reflètent une tendance croissante des opérateurs de ransomwares à adopter des méthodes de type APT.

L’attaque a commencé par l’exécution d’un fichier binaire légitime, Edge.exe (renommé à partir de cookie_exporter.exe pendant l’attaque), qui a été abusé pour charger latéralement une DLL malveillante nommée msedge.dll. Cette DLL a agi comme un chargeur, décryptant la charge utile du ransomware et l’injectant dans un nouveau processus svchost.exe . En se faisant passer pour un service Windows légitime, le logiciel malveillant augmente ses chances d’échapper aux mécanismes de détection traditionnels.

Trend Micro a découvert l’utilisation de l’extraction de charge utile en plusieurs étapes par Charon. Un fichier apparemment bénin, DumpStack.log, s’est avéré contenir un shellcode chiffré qui a finalement fourni la charge utile du ransomware. L’analyse médico-légale a révélé deux couches de chiffrement protégeant la charge utile finale.

[Apprendre à naviguer dans le monde des enjeux importants de la négociation par ransomware avec des stratégies qui protègent vos données, votre réputation et vos résultats.]

Profil technique de Charon : comportements de chiffrement, d’évasion et de ciblage

En s’appuyant sur ces résultats, Trend Micro a analysé davantage l’exécutable de Charon et observé ses capacités sophistiquées et ses caractéristiques opérationnelles matures :

• Initialisation et paramètres : une fois initialisé, Charon accepte les paramètres qui contrôlent le stockage du journal des erreurs, les serveurs ou IP cibles, la portée du chiffrement et l’ordre. Il crée également un mutex nommé OopCharonHere.
• Comportement de pré-cryptage : avant le début du chiffrement, Charon arrête les services liés à la sécurité, met fin aux processus actifs, supprime les copies fantômes et vide la corbeille pour entraver la récupération. Il évalue ensuite les cœurs de processeur disponibles et génère plusieurs fils pour le cryptage des fichiers.
• Logique de chiffrement : pendant le chiffrement, Charon évite de chiffrer les fichiers .exe, .dll, .Charon et les fichiers de notes de rançon. Les fichiers chiffrés sont ajoutés avec .Charon, et un marqueur d’infection, « hCharon est entré dans l’urworld ! », est ajouté. Le ransomware utilise Curve25519 cryptographies de courbe elliptique combinées au chiffrement de flux ChaCha20 .
• Comportement post-cryptage : après le chiffrement, Charon dépose sa note de rançon sur tous les lecteurs, réseaux et répertoires.

Les comportements supplémentaires comprennent l’analyse active et le chiffrement des partages réseau accessibles, des lecteurs mappés et des chemins UNC. Charon inclut également un composant pilote conçu pour désactiver les solutions EDR.

[Explorez pourquoi le fait de s’appuyer uniquement sur l’EDR pourrait rendre votre organisation vulnérable et ce qu’il faut réellement pour se défendre contre les cybermenaces modernes.]

Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium

Les opérateurs de rançongiciels adoptent de plus en plus de méthodes furtives et plus sophistiquées pour améliorer les attaques. Comme le relève Trend Micro, cela « oblige les entreprises à reconsidérer les approches traditionnelles et à renforcer leur posture de sécurité grâce à des défenses multicouches. »

Trend Micro inclut également certaines meilleures pratiques dans le rapport pour aider à se défendre contre les rançongiciels Charon.

Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.

Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.