Tour d'horizon CTI : EDR Killer, PS1Bot, le ransomware Charon

Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium examine comment les groupes d'auteurs de rançongiciels ont de plus en plus recours à un outil commun pour neutraliser les systèmes de détection et de réponse au niveau des terminaux (EDR). Nous examinons également une campagne de « malvertising » diffusant le framework de logiciels malveillants modulaire « PS1Bot » et analysons l'émergence du ransomware Charon — une attaque de type « menace persistante avancée » (APT) ciblant des secteurs critiques au moyen d'attaques sur mesure.

Un outil collaboratif de neutralisation des EDR gagne du terrain au sein de l'écosystème des ransomwares

Sophos indique que les groupes d'auteurs de ransomware ont de plus en plus souvent recours à un outil commun et sophistiqué pour désactiver les systèmes EDR, échapper à la détection et optimiser l'exécution de leurs attaques.

[Vous pensez que votre solution EDR vous protège ? Découvrez comment les lacunes en matière de visibilité et les délais de réponse trop longs peuvent exposer vos terminaux à des risques.]

Cet outil, qui aurait été développé par RansomHub, est considéré comme une évolution d' EDRKillShifter. Il exploite des pilotes signés et l'injection de processus pour contourner les mesures de sécurité.

Des groupes malveillants, notamment Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx et INC, ont également adopté cet outil, ce qui témoigne de son utilisation généralisée au sein de l'écosystème des ransomwares.

Une charge utile capable de contourner les antivirus a été découverte dans des milliers d'échantillons de ransomware

Sophos a recensé cette charge utile dans des milliers d'échantillons, soulignant qu'elle est fréquemment déployée au cours d'une attaque et souvent intégrée à des utilitaires légitimes afin d'échapper à la détection et de désactiver les défenses antivirus.

[Découvrez les choix difficiles liés à la gestion des attaques par ransomware — qu'il s'agisse de décider s'il faut payer ou de se préparer à la prochaine attaque — dans cet épisode du podcast Tanium.]

Par exemple, dans un cas précis, les pirates ont intégré la charge utile dans la fonctionnalité « Clipboard Compare » de Beyond Compare, un utilitaire légitime développé par Scooter Software. Les pirates ont injecté un code de chargement et intégré la charge utile malveillante sous forme de ressource, accompagnée de composants de chargement supplémentaires.

Lors de son exécution, la charge utile s'est décodée d'elle-même, ce qui a permis à Sophos d'identifier plusieurs caractéristiques clés :

• Le code est fortement obscurci et protégé.
• Il recherche un lecteur dont le nom est aléatoire et comporte cinq lettres.
• Le pilote est signé à l'aide d'un certificat compromis.
• Il vise plusieurs éditeurs de solutions de sécurité.
• La liste des cibles varie d'un échantillon à l'autre.

Il a été confirmé que ce fichier exécutable était un « AV killer », spécialement conçu pour cibler les produits Sophos. Sophos signale qu'il existe plusieurs versions, chacune ciblant des produits de sécurité différents.

Pour l'ensemble de ces variantes, l'outil tente d'identifier et de mettre fin aux processus et services figurant sur sa liste de cibles. La dernière variante utilise un pilote signé par la société Fuzhou Dingxin Trade Co., Ltd.

Comment le « EDR killer » est généralement déployé

La plupart des attaques observées commencent par un dropper compressé avec HeartCrypt, qui déploie un exécutable « EDR killer » crypté et charge un pilote signé à l'aide d'un certificat compromis.

Les chercheurs ont observé que le fichier exécutable tentait de charger un pilote associé, bien que son exécution soit souvent bloquée par des détections statiques génériques ou des protections dynamiques telles que (SysCall), ou (HollowProcess).

Après le déploiement du « EDR killer », Sophos a détecté une alerte relative au ransomware RansomHub — bien que des séquences similaires aient également précédé des attaques menées par d'autres familles de ransomwares.

Études de cas : MedusaLocker et INC Ransomware en action

Afin d'illustrer la manière dont cet outil est adapté aux différentes familles de ransomware, Sophos présente deux cas notables :

1. MedusaLocker : Sophos met en avant un cas impliquant le ransomware MedusaLocker, dans lequel les attaquants auraient utilisé une faille « zero-day » de type RCE (exécution de code à distance) dans SimpleHelp pour obtenir un accès initial. Le programme malveillant « AV killer » a été exécuté à partir d'un composant SimpleHelp appelé « JWrapper-Remote Access » (), ciblant les produits d'ESET, de Symantec, de Sophos, de HitManPro, de Webroot et de Kaspersky.
2. INC : Dans l'article « juin 2025 », Sophos a identifié une attaque par ransomware INC dans laquelle l'auteur a utilisé deux outils de « packer-as-a-service » pour renforcer sa protection.

Ces cas montrent comment cet outil est adapté à différentes familles de ransomware.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

La banalisation des « EDR killers » constitue une évolution préoccupante. Les outils malveillants sont de plus en plus accessibles à un éventail plus large d'acteurs malveillants, ce qui contribue à accroître la rapidité et l'ampleur des attaques.

Cette étude de Sophos met également en évidence la manière dont les outils sont réutilisés et adaptés par plusieurs groupes d'auteurs de ransomware. La collaboration accrue et le partage de code entre cybercriminels facilitent la mise en œuvre de ces activités et compliquent leur attribution.

Une campagne de « malvertising » diffuse le framework de logiciels malveillants modulaire « PS1Bot »

Cisco Talos signale qu'une campagne sophistiquée de « malvertising » diffuse activement « PS1Bot », un framework de logiciels malveillants modulaires développé en PowerShell et C#. Il vole discrètement des identifiants, réalise des captures d'écran et échappe à la détection des antivirus — tout cela en s'exécutant entièrement en mémoire.

Diffusé par le biais de publicités trompeuses et d’attaques de type « SEO poisoning », PS1Bot s’exécute entièrement en mémoire et évolue rapidement, ce qui représente une menace importante pour la cybersécurité tant des entreprises que des particuliers.

Présentation de la campagne : publicités malveillantes et exécution en mémoire

Cisco Talos suit depuis quelque temps une campagne en cours qui utilise la publicité malveillante pour diffuser une infrastructure de logiciels malveillants à plusieurs étapes.

Ce framework fournit des modules supplémentaires — tels que des programmes de vol d'informations, des enregistreurs de frappe et des outils de capture d'écran — tout en minimisant les traces numériques, grâce à une exécution entièrement en mémoire. Cisco Talos désigne ce logiciel malveillant basé sur PowerShell sous le nom de « PS1Bot ».

Vous trouverez ci-dessous les principaux enseignements techniques tirés de la campagne « PS1Bot », qui montrent comment ce logiciel malveillant parvient à se dissimuler, à s'ancrer dans le système et à offrir des fonctionnalités modulaires :

• Mode de diffusion : Les victimes sont incitées, par le biais d’un « empoisonnement SEO » ou de publicités malveillantes, à télécharger une archive compressée contenant un seul fichier :FULL DOCUMENT.js. Ce fichier JavaScript fait office de programme de téléchargement et déclenche la phase suivante de la chaîne d'infection PS1Bot .
• Première étape de récupération : Lors de son exécution, le logiciel malveillant récupère un scriptlet JScript et exécute son contenu afin de préparer les étapes suivantes de l'attaque. Cela implique notamment d'enregistrer un script PowerShell dans le répertoire ProgramData et de l'exécuter afin d'établir une connexion C2 persistante. Le logiciel malveillant entre dans une boucle et contacte en permanence le serveur C2 pour recevoir des commandes supplémentaires.
• Modules PowerShell : Cisco Talos a observé que plusieurs modules PowerShell étaient déployés après l'infection initiale, notamment des modules destinés à contourner la détection antivirus, à réaliser des captures d'écran, à voler des données de portefeuille électronique, à enregistrer les frappes clavier, à collecter des informations et à assurer la persistance. La plupart des modules intègrent des composants de journalisation qui permettent aux attaquants de surveiller à la fois l'activité lors de l'installation et celle en cours d'exécution, les mises à jour étant envoyées au serveur C2 .
• Détection antivirus : Le module de détection antivirus est activé une fois que le logiciel malveillant a établi une connexion C2 . Il recueille des informations sur les programmes antivirus installés sur l'appareil infecté en interrogeant l' , via l' WMI , puis transmet ces informations au C2.
• Capture d'écran : Le module de capture d'écran réalise des captures d'écran à l'aide d'une DLL d'assemblage C# exécutée via PowerShell lors de l'exécution. Il crée un fichier image au format .BMP, le convertit au format JPEG, puis le transmet au serveur C2 .
• Module « Grabber » : Le module « Grabber » cible le stockage local du navigateur, les données des extensions, les données des applications et les fichiers contenant des mots de passe ; il est principalement axé sur le vol de portefeuilles de cryptomonnaies.
• Keylogger : Le module keylogger surveille l'activité du clavier et de la souris, ainsi que le contenu du presse-papiers, et envoie les données capturées au C2.
• Collecte d'informations : Le module WMIComputerCSHARP de recueille des informations sur le système et l'environnement en interrogeant l'appartenance au domaine via WMI.
• Persistance : Le module de persistance garantit que le mécanisme de boucle du logiciel malveillant se relance après un redémarrage ou la fin de la session.

Ensemble, ces modules montrent comment PS1Bot parvient à rester indétectable et à se maintenir dans les systèmes infectés.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

Le fait que cette campagne repose sur le « SEO poisoning » et la « malvertising » montre à quel point les pirates continuent d’exploiter la confiance des utilisateurs et les moteurs de recherche, ce qui souligne l’importance de sensibiliser ces derniers aux bonnes pratiques de navigation et de téléchargement, même à partir de sources apparemment légitimes.

Le rapport Cisco Talos met également en évidence une autre tendance, qui consiste à utiliser des outils natifs du système, tels que PowerShell, pour échapper à la détection et persister sur l'appareil en laissant un minimum de traces d'analyse. Cela rend la détection extrêmement difficile.

Le ransomware Charon fait son apparition en utilisant des tactiques de type APT pour cibler des organisations de grande valeur

Trend Micro a identifié une nouvelle souche de ransomware, baptisée « Charon », qui utilise des techniques avancées de type APT — notamment le chargement latéral de DLL, l'injection de processus et des capacités anti-EDR — pour mener des attaques très ciblées et perturbatrices.

Le ransomware Charon : attaques ciblées et similitudes techniques avec Earth Baxia

Le ransomware Charon a été détecté pour la première fois lors d'une attaque ciblée au Moyen-Orient, qui a touché des organisations des secteurs public et aéronautique. L'acteur malveillant a eu recours au chargement latéral de DLL et à d'autres techniques rappelant les campagnes « Earth Baxia ». Les demandes de rançon personnalisées mentionnaient les victimes par leur nom, ce qui soulignait le caractère ciblé de l'opération. Ces tactiques reflètent une tendance croissante chez les auteurs de ransomware à adopter des méthodes de type APT.

L'attaque a débuté par l'exécution d'un fichier binaire légitime, Edge.exe (renommé à partir de cookie_exporter.exe au cours de l'attaque), qui a été détourné pour installer de manière non officielle une DLL malveillante nommée msedge.dll. Cette DLL faisait office de chargeur : elle déchiffrait la charge utile du ransomware et l'injectait dans un nouveau processus svchost.exe de l' . En se faisant passer pour un service Windows légitime, le logiciel malveillant augmente ses chances d'échapper aux mécanismes de détection traditionnels.

Trend Micro a mis au jour le recours par Charon à une technique d'extraction de charge utile en plusieurs étapes. Un fichier en apparence inoffensif, DumpStack.log, s'est avéré contenir du shellcode chiffré qui a finalement permis de déployer la charge utile du ransomware. L'analyse médico-légale a révélé la présence de deux couches de chiffrement protégeant la charge utile finale.

[Découvrez comment évoluer dans l'univers à haut risque des négociations liées aux rançongiciels grâce à des stratégies qui protègent vos données, votre réputation et vos résultats financiers.]

Profil technique de Charon : chiffrement, techniques d'évasion et comportements de ciblage

S'appuyant sur ces conclusions, Trend Micro a procédé à une analyse plus approfondie du fichier exécutable de Charon et a constaté ses capacités sophistiquées ainsi que ses caractéristiques opérationnelles bien rodées :

• Initialisation et paramètres : Une fois initialisé, Charon accepte des paramètres permettant de contrôler le stockage du journal des erreurs, les serveurs ou adresses IP cibles, la portée du chiffrement et l'ordre d'exécution. Il crée également un mutex nommé « OopCharonHere ».
• Comportement avant le chiffrement : Avant le début du chiffrement, Charon arrête les services liés à la sécurité, met fin aux processus actifs, supprime les clichés de sauvegarde et vide la corbeille afin d'empêcher toute restauration. Il évalue ensuite les cœurs de processeur disponibles et lance plusieurs threads pour le chiffrement des fichiers.
• Logique de chiffrement : Lors du chiffrement, Charon évite de chiffrer les fichiers suivants : .exe,, .dll,, .Charon,, ainsi que les fichiers contenant les demandes de rançon. Les fichiers chiffrés se voient ajouter l'extension .Charon, et un message indiquant l'infection —« hCharon is enter to the urworld ! » — est ajouté. Ce ransomware utilise Curve25519 la cryptographie à courbe elliptique, associée au ChaCha20 chiffrement par flux.
• Comportement après le chiffrement : Une fois le chiffrement terminé, Charon place sa note de rançon sur tous les disques, réseaux et répertoires.

Parmi les autres comportements, on peut citer la recherche active et le chiffrement des partages réseau accessibles, des lecteurs mappés et des chemins UNC. Charon comprend également un composant de pilote conçu pour désactiver les solutions EDR.

[Découvrez pourquoi le fait de compter uniquement sur une solution EDR pourrait exposer votre entreprise à des risques — et ce qu'il faut réellement mettre en œuvre pour se prémunir contre les cybermenaces modernes.]

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

Les auteurs de ransomware ont de plus en plus recours à des méthodes plus discrètes et plus sophistiquées pour améliorer leurs attaques. Comme le souligne Trend Micro, cela « oblige les entreprises à repenser leurs approches traditionnelles et à renforcer leur dispositif de sécurité grâce à des défenses multicouches ».

Trend Micro présente également dans son rapport intitulé « » (Protéger les entreprises contre le ransomware Charon) certaines bonnes pratiques en matière d' , afin de vous aider à vous défendre contre ce ransomware.

Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.

Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.