Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium examine un nouvel outil appelé HexStrike AI, qui réduit considérablement les temps d’exploitation de plusieurs jours à quelques minutes. Ensuite, l’équipe donne un aperçu de TinkyWinkey : un keylogger Windows qui permet des opérations d’espionnage et de vol de données. Enfin, nous examinons de nouvelles recherches de Check Point détaillant la manière dont le groupe APT Silver Fox a exploité avec succès un pilote vulnérable Microsoft inconnu auparavant pour désactiver les protections des endpoints et déployer le logiciel malveillant ValleyRAT.
Les acteurs malveillants utilisent HexStrike AI pour orchestrer les cyberattaques
Une publication récente de Check Point explore comment les acteurs malveillants utilisent un nouvel outil d’IA appelé HexStrike AI pour orchestrer les cyberattaques. Les acteurs malveillants affirment que HexStrike AI réduit les temps d’exploitation de plusieurs jours à moins de 10 minutes.
Qu’est-ce que HexStrike AI ?
HexStrike AI a été initialement conçu pour être un outil pour les équipes rouges et les chercheurs en sécurité. Juste après sa publication, Check Point a observé des acteurs malveillants discuter de la manière d’armer l’outil dans les attaques. En quelques heures seulement, certains acteurs discutaient spécifiquement de la manière de l’utiliser pour exploiter les vulnérabilités zero-day de Citrix qui ont été divulguées environ une semaine auparavant.
Architecture d’IA HexStrike
Check Point décrit HexStrike AI comme un « changement fondamental dans la manière dont les cyberopérations offensives peuvent être menées ». L’outil permet à divers modèles d’IA tels que Claude, GPT et Copilot d’exécuter des outils sans interaction et gestion humaines. Il présente également les agents MCP, qui sont des agents qui communiquent via le protocole de contexte modèle (MCP) et aident à combler le fossé entre les LLM et les capacités offensives du monde réel. Check Point a constaté que les agents d’IA pouvaient exécuter de manière autonome plus de 150 cyber-outils, y compris ceux pour les tests de plumes, la découverte, la recherche, etc.
Le rapport met en évidence quelques aspects clés de la conception d’HexStrike. La première est sa couche d’orchestration MCP. Le cadre configurera un serveur FastMCP pour la communication entre d’autres LLM et les fonctions de l’outil. Les outils fonctionnent comme des composants appelables que l’agent peut invoquer et permettent l’émission de commandes par programmation. Check Point décrit également son intégration d’outils à grande échelle. L’outil est automatisé et résilient et abstrait les commandes dans les workflows afin que les actions soient reproductibles.
Exploitation des vulnérabilités
Check Point souligne comment les acteurs ont pu tirer parti de l’IA HexStrike dans le contexte de trois vulnérabilités zero-day ayant un impact sur les appliances Citrix NetScaler ADC et Gateway, publiées peu de temps auparavant.
Dans les 12 heures suivant la divulgation de ces vulnérabilités, Check Point a observé des acteurs discuter de la manière dont HexStrike AI pouvait être utilisée pour aider à analyser et exploiter les instances vulnérables. Cela réitère la manière dont l’IA peut être utilisée pour automatiser les tâches manuelles précédentes telles que la reconnaissance.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
HexStrike AI est un excellent exemple de la manière dont l’IA peut être un multiplicateur de force pour les acteurs malveillants, réduisant le temps, les compétences et les efforts requis pour mener des attaques sophistiquées.
Check Point met en évidence la rapidité avec laquelle les acteurs malveillants ont afflué vers cet outil après sa publication, et la rapidité avec laquelle il a été discuté pour obtenir de l’aide concernant l’exploitation zero-day en situation réelle. La vitesse à laquelle les attaquants opérationnalisent les outils d’IA est de plus en plus rapide, ce qui devient particulièrement inquiétant car l’IA devient lentement quelque chose qui peut être exploité pour exécuter des opérations et exécuter des chaînes de destruction complètes.
Check Point inclut certains éléments d’action recommandés que les défenseurs peuvent prendre concernant cette menace.
L’enregistreur de frappe TinkyWinkey menace les systèmes Windows
Cyfirma partage les détails de l’enregistreur de clés TinkyWinkey, un logiciel malveillant furtif basé sur Windows qui capture les frappes, surveille les fenêtres actives et collecte les données système à l’aide de techniques avancées telles que l’injection DLL et les appels d’API de bas niveau. Sa conception modulaire et son exécution persistante font de TinkyWinkey une menace importante pour les opérations d’espionnage et de vol de données.
Aperçu de TinkyWinkey
Cyfirma a d’abord observé l’enregistreur de frappe TinkyWinkey à la fin de juin 2025. Selon Cyfirma, ses « composants de service et d’enregistreur de clés suggèrent un effort délibéré pour maintenir la flexibilité et la discrétion, ce qui facilite la mise à jour ou la réaffectation du logiciel malveillant pour différentes campagnes ».
Les deux principaux composants de TinkyWinkey sont :
- Le service Tinky, qui est responsable du lancement et de l’exécution de l’enregistreur de clés
- L’enregistreur de frappe Winkey, qui capture les coups de clavier réels
Cyfirma note que les fonctionnalités clés du logiciel malveillant comprennent la collecte d’informations système, l’enregistrement des clés, le suivi des fenêtres, le système de journalisation, la gestion des services et la gestion des processus/sessions.
Analyse statique TinkyWinkey
Tout d’abord, le logiciel malveillant obtiendra le répertoire temporaire du système et s’assurera que le fichier journal nécessaire est présent. Ce fichier journal est l’endroit où les frappes capturées seront stockées dans le cadre de sa routine d’enregistrement de clé. Il invoque ensuite quelques fonctions spécifiquement pour collecter des informations sur l’hôte, telles que la version du système d’exploitation, les informations du processeur, etc.
Ensuite, le logiciel malveillant fera une empreinte digitale du système d’exploitation, énumérera les informations sur le CPU, effectuera la détection d’identité réseau, énumérera la capacité de mémoire et surveillera la fenêtre de premier plan pour déterminer quand l’utilisateur change d’applications.
Pour la fonction principale d’enregistrement des touches, le logiciel malveillant installe un crochet de clavier qui capture les frappes. Il peut surveiller le clavier actif, mais peut également se connecter si l’utilisateur change de langue. Les clés spéciales telles que Escape, Enter ou Backspace sont remplacées par des marqueurs descriptifs dans le journal réel. Pour les clés non spéciales, le logiciel malveillant convertit le code de clé et le stocke dans le fichier journal.
Le logiciel malveillant entrera enfin dans une boucle de message continue, qui maintient sa fenêtre de premier plan et ses crochets de clavier actifs pour la persistance.
Analyse dynamique TinkyWinkey
Une fois exécuté, un service Windows malveillant appelé Tinky est enregistré. Il est créé pour être invoqué au démarrage pour la persistance.
Après avoir établi avec succès la persistance, la charge utile secondaire, winkey.exe, est exécutée. Cette charge utile est celle responsable du module d’enregistrement de clé.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’utilisation avancée par TinkyWinkey des composants internes Windows, l’exécution furtive et la journalisation complète le rendent susceptible d’attirer les acteurs malveillants.
Comme le souligne Cyfirma, l’acteur derrière l’enregistreur de frappe a clairement séparé les composants du service et de l’enregistreur de frappe. Cette séparation intentionnelle aidera l’acteur en termes de flexibilité et de mises à jour futures du logiciel malveillant. Cela dit, il ne serait pas surprenant de voir de nouvelles itérations ou variantes de ce logiciel malveillant à l’avenir.
Silver Fox APT exploite les pilotes vulnérables pour désactiver la sécurité des endpoints
Un nouveau rapport Check Point explique comment le groupe APT Silver Fox a exploité un pilote vulnérable précédemment inconnu et signé par Microsoft pour désactiver discrètement les protections des endpoints et déployer le logiciel malveillant ValleyRAT.
La campagne met en évidence les lacunes critiques dans les modèles de confiance des conducteurs et les limites des défenses basées sur les signatures dans la cybersécurité moderne.
Principales conclusions du rapport Silver Fox APT de Check Point
À partir de fin mai, Check Point a vu une campagne Silver Fox qui ciblait les appareils Windows avec un chargeur personnalisé. Ce chargeur personnalisé a spécifiquement abusé des pilotes de noyau pour tuer les processus de sécurité. Une liste complète des processus terminés se trouve dans le rapport.
Selon Check Point, cette campagne « a marqué un passage significatif de l’utilisation de seuls pilotes vulnérables connus au déploiement d’un pilote vulnérable précédemment non classifié et signé qui contournait les mécanismes de détection traditionnels. »
Silver Fox a déployé le pilote antimalware WatchDog pendant l’attaque, qui n’était pas publiquement connu pour être vulnérable et qui est légitimement signé par Microsoft. Ce pilote, plus un autre pilote déployé qui était connu pour être vulnérable, a permis la résiliation arbitraire du processus. La charge utile finale de l’attaque est le backdoor ValleyRAT, qui est capable d’exfiltration de données, d’exécution de commandes, etc. et a aidé à attribuer l’attaque à Silver Fox.
Les C2 serveurs de l’attaque étaient tous hébergés en Chine et utilisaient des services Web ou cloud publics. Du point de vue de la victimologie, Check Point a observé un modèle de ciblage global.
Le chargeur
Check Point a identifié plusieurs échantillons de chargeurs tout-en-un utilisés par Silver Fox APT, chacun conçu pour la furtivité, la persistance et la livraison de la charge utile. Ces chargeurs incluent des routines anti-analyse qui détectent les environnements virtuels, les sandboxs et les FAI spécifiques, ce qui interrompt l’exécution s’ils sont signalés. Ils établissent également la persistance en créant un dossier RunTime et en enregistrant des services pour assurer l’exécution au démarrage.
Le chargeur intègre deux pilotes vulnérables sous forme de chaînes d’octets codées : l’un conçu pour désactiver les défenses des endpoints et l’autre pour déployer le backdoor ValleyRAT. Le pilote approprié est sélectionné en fonction de la version Windows du système cible, ce qui permet au logiciel malveillant de s’adapter aux environnements tout en échappant aux mécanismes de détection traditionnels.
Tueur EDR/AV
Comme indiqué, la routine du tueur EDR/AV est intégrée au chargeur. Le pilote vulnérable approprié sera supprimé en fonction de la version de Windows que l’appareil infecté exécute.
Quel que soit le pilote utilisé, les fonctions de l’API Windows sont utilisées pour créer les services nécessaires. La logique principale « répétera sur une liste de Base64-encoded processus cibles à mettre fin », qui contient 192 noms de processus. S’il y a une correspondance, le processus sera terminé.
Nouveau pilote vulnérable
Check Point a examiné de plus près le facteur vulnérable qui n’était pas connu auparavant pour être vulnérable. Il s’agit du pilote anti-programme malveillant WatchDog qui est légitimement signé.
Ce pilote, qui est basé sur le SDK Zemana Anti-Malware, peut mettre fin aux processus arbitraires sans avoir à confirmer si ce processus est exécuté comme protégé, ce qui le rend efficace pour apporter votre propre technique de pilote vulnérable.
Porte arrière ValleyRAT
Tous les échantillons de Check Point analysés se sont terminés dans le backdoor ValleyRAT en cours de déploiement. Pour éviter la détection, il appellera un rappel via l’API Windows pour détecter les processus associés aux outils d’analyse. S’il est détecté, il retardera son exécution avec un sommeil de 20 secondes et continuera à recenser jusqu’à ce qu’aucun outil ne soit détecté.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
L’abus de pilotes signés par Microsoft souligne une vulnérabilité systémique dans la manière dont la confiance est attribuée dans les environnements Windows. L’hypothèse qui a été signée équivaut à la sécurité est manipulée plus souvent par les attaquants.
Dans cette attaque, l’acteur a mis fin aux solutions anti-programme malveillant qui ont aidé à échapper à la détection sans déclencher d’alertes. Cela souligne la nécessité d’une surveillance au-delà de la simple signature de fichier pour des éléments tels que le comportement des conducteurs.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
