Comment une fausse mise à jour Zoom a transformé des outils de support à distance légitimes en portes dérobées

J'ai récemment passé un après-midi à examiner une image forensique provenant d'un poste de travail appartenant à une parajuriste dans un cabinet d'avocats spécialisé. L'utilisatrice était convaincue d'avoir simplement mis à jour son client Zoom pour participer à une déposition matinale. En réalité, le fichier qu'elle a exécuté était le point de départ de SMOKE#SCREEN, une campagne à vagues multiples qui détourne des outils informatiques autorisés contre les réseaux mêmes qu'ils sont censés soutenir. L'utilisatrice n'a rien remarqué jusqu'à une semaine plus tard, lorsque son ordinateur a commencé à servir de point de départ pour un mouvement latéral à travers le VLAN du serveur interne.

C'est la réalité de l'ingénierie sociale moderne. Les attaquants n'ont plus besoin d'écrire des portes dérobées (backdoors) complexes et personnalisées lorsqu'ils peuvent simplement inciter un utilisateur à installer un outil légitime de surveillance et de gestion à distance (RMM). Par conception, ces outils possèdent des privilèges administratifs, contournent les listes blanches d'applications standard dans de nombreux environnements et fournissent une connexion stable vers le monde extérieur. Dans les coulisses, la campagne SMOKE#SCREEN démontre un haut niveau de maturité opérationnelle, modifiant ses méthodes de diffusion et ses techniques d'évasion pour garder une longueur d'avance sur les systèmes de détection automatisés.

L'anatomie de la chaîne d'infection SMOKE#SCREEN

Des chercheurs de Securonix ont récemment identifié cette campagne, qui utilise des leurres allant des mises à jour Adobe et Zoom aux révisions de documents commerciaux. L'attaque commence généralement par un e-mail de spear-phishing contenant un dropper en Visual Basic Script (VBScript) obfusqué. J'ai analysé un échantillon similaire le mois dernier et le niveau de paranoïa dans le code est impressionnant. Avant de faire quoi que ce soit d'autre, le script effectue une série de vérifications d'environnement pour voir s'il s'exécute dans un bac à sable (sandbox) ou s'il est surveillé par un chercheur en sécurité.

Il recherche spécifiquement des processus tels que Wireshark, Process Monitor et divers services de machines virtuelles tels que VMware et VirtualBox. S'il détecte l'un d'entre eux, il s'arrête immédiatement. De manière proactive, cela empêche le script de révéler sa véritable intention aux plateformes d'analyse automatisée de logiciels malveillants. Une fois qu'il a déterminé que la voie est libre, le script décrypte une commande PowerShell. Cette commande se connecte à un serveur intermédiaire à l'adresse 207.189.11[.]170 pour récupérer une charge utile (payload) en C#.

Du point de vue du risque, l'ingéniosité réside dans ce qui se passe ensuite. La charge utile n'installe pas un virus au sens traditionnel. Au lieu de cela, elle installe un agent ConnectWise ScreenConnect. Il s'agit d'un outil légitime utilisé par les services informatiques du monde entier. Comme l'agent est signé et réputé, il contourne souvent les vérifications antivirus de base. Une fois installé, l'agent envoie des signaux à un serveur relais contrôlé par l'attaquant sur le port 8041, donnant à l'opérateur un accès complet au bureau à distance de la machine victime.

Pourquoi les attaquants choisissent les outils de surveillance et de gestion à distance

L'utilisation d'outils RMM comme ScreenConnect est un standard de fait pour les acteurs de menaces modernes. Cela résout le problème de la persistance. Si un attaquant utilise un trojan personnalisé, une seule mise à jour de signature pourrait supprimer son accès. S'il utilise un outil RMM légitime, il se fond dans l'activité informatique autorisée. La plupart des centres d'opérations de sécurité (SOC) voient passer du trafic ScreenConnect chaque jour, donc une connexion supplémentaire vers un nouveau serveur relais pourrait ne pas déclencher d'alarme.

Dans une variante de la campagne SMOKE#SCREEN, les attaquants utilisent un script batch pour démanteler agressivement les défenses locales avant l'installation. Le script tente de désactiver l'interface AMSI (Windows Antimalware Scan Interface), modifie le registre pour désactiver les protections SmartScreen, et supprime même le flux de données alternatif Zone.Identifier de l'installateur téléchargé. Cette dernière étape est importante car elle supprime le « Mark of the Web », une fonction de sécurité qui indique à Windows qu'un fichier provient d'Internet. En supprimant cette marque, l'attaquant empêche l'apparition de certaines invites de sécurité lors de l'exécution du fichier MSI.

Échapper à la détection avec les tunnels cloud et les plateformes de confiance

L'un des aspects les plus intéressants de cette campagne est la façon dont elle cache son infrastructure. Les acteurs ont fait varier leur stratégie de diffusion sur plusieurs services d'hébergement de confiance. Par exemple, ils ont utilisé des liens partagés Dropbox pour héberger leurs charges utiles initiales. Comme Dropbox est un domaine autorisé dans presque tous les environnements d'entreprise, le téléchargement déclenche rarement un blocage par filtre web.

Plus récemment, les attaquants ont commencé à utiliser Cloudflare Quick Tunnels. Ce service permet à un utilisateur d'exposer temporairement un serveur local à Internet sans IP statique ni domaine enregistré. Le serveur intermédiaire exécute un binaire Cloudflare pour générer des tunnels éphémères avec des noms tels que « subscription-magnetic-recommended-meat.trycloudflare.com ». Parce que ces URL sont temporaires et associées à un fournisseur de confiance, elles sont presque impossibles à bloquer sur la seule base de la réputation. Par conséquent, l'attaquant dispose d'un chemin furtif et de courte durée pour livrer ses binaires malveillants et maintenir le commandement et le contrôle (C2) sur le parc infecté.

Des leurres commerciaux aux triches de jeux vidéo

La campagne SMOKE#SCREEN n'est pas la seule menace utilisant cette stratégie. Une campagne distincte, récemment documentée par Bitdefender, cible un groupe démographique complètement différent : les joueurs. Cette activité implique de fausses triches Xeno Roblox et des « exécuteurs » promus sur Discord et les forums de jeux. Alors que le professionnel du droit dans un cabinet d'avocats s'inquiète d'une mise à jour Zoom, un adolescent cherche un avantage dans un jeu vidéo. Le résultat est le même : un système compromis.

Le leurre ici est un faux installateur Xeno Executor. Lorsque l'utilisateur lance l'exécutable, il déclenche une infection en plusieurs étapes basée sur Java. La charge utile finale est un stealer nommé Powercat. Ce logiciel malveillant est un véritable couteau suisse pour le vol de données. Il vérifie la présence d'un environnement d'exécution Java (JRE) et, s'il en manque un, il extrait le sien. Il lit ensuite un fichier image local nommé « XenoIcon.jpg » pour trouver les clés nécessaires à la communication avec son serveur C2 à l'adresse solthere[.]net.

Le stealer Powercat et le vol d'identités numériques

Powercat est plus qu'un simple collecteur d'identifiants. C'est un outil de surveillance qui fournit aux attaquants une image complète de la vie numérique de la victime. Il cible spécifiquement les navigateurs web comme Chrome et Brave, les portefeuilles de crypto-monnaies comme Atomic et Exodus, et même des outils de développement comme Git et Visual Studio.

Pour les utilisateurs du portefeuille de crypto-monnaies Exodus, le malware va encore plus loin. Il vérifie si la version 26.1.5 est installée et, si c'est le cas, il décompresse les fichiers internes de l'application pour y injecter du JavaScript malveillant. Cela permet à l'attaquant de capturer directement les jetons de session. Le malware enregistre également les frappes au clavier, prend des captures d'écran, accède à la webcam et diffuse le bureau en temps réel. Ce niveau d'accès s'apparente à une prise d'otage numérique. L'attaquant ne se contente pas de voler un mot de passe ; il est assis au bureau virtuel avec l'utilisateur.

Lors de mes propres tests sur des stealers basés sur Java, j'ai vu à quel point ils sont difficiles à détecter à l'aide d'une analyse standard basée sur les fichiers. Parce que la logique malveillante se trouve à l'intérieur d'un fichier JAR obfusqué, et que ce fichier JAR est souvent exécuté par un processus Java légitime, l'activité ressemble à une exécution logicielle normale pour le système d'exploitation. C'est pourquoi les leurres liés aux jeux restent si efficaces. Ils exploitent le désir de fonctionnalité de l'utilisateur et sa volonté de désactiver les logiciels de sécurité pour faire fonctionner une « triche ».

Conseils pratiques pour la défense

L'évaluation de la surface d'attaque pour ces campagnes révèle que le pare-feu humain est le premier point de défaillance. Cependant, les contrôles techniques doivent servir de rempart. Les organisations et les individus devraient adopter une mentalité « zero-trust » où chaque mise à jour logicielle ou utilitaire est traité comme suspect jusqu'à vérification.

• Restreindre l'exécution des MSI : Les utilisateurs standard ne devraient pas pouvoir exécuter des installateurs MSI sans approbation administrative. Utilisez AppLocker ou Windows Defender Application Control (WDAC) pour appliquer cette règle.
• Surveiller les outils RMM : Auditez votre environnement pour tous les agents RMM. Si votre service informatique utilise TeamViewer, toute instance de ScreenConnect ou AnyDesk constitue une alerte de haute priorité.
• Auditer PowerShell et CMD : Surveillez les arguments de ligne de commande suspects, en particulier ceux impliquant « encodedcommand » ou des tentatives de contournement de l'AMSI et de modification du registre.
• Appliquer un UAC strict : Assurez-vous que le contrôle de compte d'utilisateur (UAC) est réglé sur le niveau le plus élevé. Cela empêche les logiciels malveillants d'élever silencieusement leurs privilèges sans que l'utilisateur ne remarque une invite.
• Bloquer les tunnels Cloudflare : À moins que votre entreprise n'en ait spécifiquement besoin, envisagez de bloquer le domaine trycloudflare.com au périmètre du réseau pour empêcher les attaquants d'utiliser des tunnels éphémères pour le C2.

Liste de contrôle d'atténuation clé

Faire face à ces menaces nécessite de dépasser une posture réactive. Au-delà des correctifs, la véritable bataille porte sur ce qui est autorisé à s'exécuter sur le point de terminaison. Si vous autorisez n'importe quel binaire signé à s'exécuter et à communiquer avec Internet, vous laissez essentiellement la porte ouverte à tout acteur capable de trouver un outil légitime à détourner.

Sources : Rapport Securonix SMOKE#SCREEN, Analyse Bitdefender Powercat, Cadre MITRE ATT&CK, Publication spéciale NIST 800-207 (Architecture Zero Trust).

Avertissement : Cet article est fourni à des fins d'information et d'éducation uniquement et ne remplace pas un audit professionnel de cybersécurité ou un service de réponse aux incidents.