Hackers abuse FTP server banners to deliver new Windows malware

Exploitation des bannières FTP pour la distribution de malwares

Des attaquants utilisent une technique novatrice consistant à détourner les bannières de serveurs FTP pour transmettre des commandes malveillantes. Cette méthode, observée depuis juillet 2026, permet à des scripts PowerShell de récupérer des instructions directement depuis les messages d’accueil des serveurs FTP, agissant comme des « dead-drop resolvers » (DDR).

Points clés :

• Vecteur d’infection : L’attaque débute généralement par une campagne de phishing utilisant des fichiers ZIP contenant des raccourcis malveillants (.LNK).
• Malwares déployés : Deux chevaux de Troie d’accès à distance (RAT) ont été identifiés :
  • E4del : Basé sur Node.js et déguisé en application Discord, il permet la capture d’écran, le contrôle à distance et l’exécution de charges utiles additionnelles.
  • PINHOLE : Un RAT furtif utilisant l’injection APC (Early Bird) et la fluctuation de shellcode pour minimiser son empreinte mémoire. Il récupère sa configuration via Pinterest et SurveyMonkey.
• Technique : L’usage de bannières FTP est considéré comme moins furtif que l’exploitation de services web légitimes (GitHub, X), mais reste une méthode flexible et difficile à détecter pour les systèmes de sécurité traditionnels.

Vulnérabilités :

• Aucune CVE spécifique n’est associée, l’attaque repose sur l’abus de fonctionnalités légitimes (FTP, .LNK, PowerShell) et sur des techniques d’ingénierie sociale.

Recommandations :

• Surveillance réseau : Porter une attention particulière aux connexions sortantes vers des serveurs FTP inconnus ou suspects, souvent plus faciles à isoler que le trafic HTTP(S) classique.
• Filtrage des emails : Renforcer les politiques de sécurité contre les pièces jointes de type .LNK et les fichiers ZIP provenant d’expéditeurs non vérifiés.
• Analyse comportementale : Mettre en œuvre des solutions EDR capables de détecter les injections de code (APC injection) et les comportements suspects liés à l’exécution de scripts PowerShell.
• Indicateurs de compromission : Consulter le rapport de SOCRadar pour intégrer les IoC (adresses IP et domaines des serveurs FTP malveillants) dans les outils de protection (SIEM/Firewall).

Source