Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

E4del and PINHOLE RATs Turn FTP Banners Into Dead Drops for Malware Commands

1 minute de lecture

Mis à jour :

Détournement des bannières FTP par les RAT E4del et PINHOLE

Des chercheurs ont identifié une nouvelle technique d’attaque utilisant les bannières de serveurs FTP comme des « Dead Drop Resolvers » (DDR) pour diffuser deux chevaux de Troie d’accès à distance (RAT) inédits : E4del et PINHOLE. Cette méthode permet aux attaquants de récupérer des commandes malveillantes directement lors de la réponse initiale du protocole FTP.

Points clés :

  • Vecteur d’attaque : Utilisation de fichiers LNK (raccourcis Windows) via des campagnes de phishing, ou de techniques d’ingénierie sociale de type « ClickFix ».
  • Mécanisme : Le logiciel malveillant se connecte à un serveur FTP contrôlé, lit la bannière de bienvenue contenant des instructions, puis télécharge des charges utiles via WebDAV ou PowerShell.
  • E4del : Un RAT basé sur Node.js, encapsulé dans une application Electron maquillée en Discord, utilisant un système de temporisation (« jitter ») dynamique pour masquer ses communications C2.
  • PINHOLE : Une version plus sophistiquée qui utilise des plateformes réputées (Pinterest, SurveyMonkey) comme relais et emploie des techniques d’évasion avancées.
  • Infrastructure : Les attaquants utilisent un « FTP Stats Panel » pour surveiller en temps réel le succès de leurs campagnes.

Vulnérabilités et techniques d’évasion exploitées :

  • Halo’s Gate : Technique utilisée par PINHOLE pour contourner les logiciels de sécurité.
  • Early Bird APC Injection : Méthode permettant d’injecter du code malveillant dans un processus légitime suspendu avant son exécution, rendant la détection par les EDR plus difficile.
  • CVE : Aucune CVE spécifique n’est mentionnée, l’attaque reposant sur l’exploitation détournée de protocoles légitimes et de techniques de chargement en mémoire.

Recommandations :

  • Surveillance réseau : Bloquer ou surveiller étroitement les connexions FTP sortantes vers des serveurs inconnus ou non autorisés, car cette activité est intrinsèquement suspecte.
  • Filtrage des exécutions : Restreindre l’exécution de scripts PowerShell et de binaires provenant de dossiers temporaires (%TEMP%).
  • Analyse comportementale : Configurer les solutions EDR pour détecter les injections de code de type APC et les comportements suspects de processus légitimes (ex: rundll32.exe lancant des connexions inhabituelles).
  • Sensibilisation : Éduquer les utilisateurs contre les fichiers LNK et les leurres de type « ClickFix » ou « faux CAPTCHA » sur le web.

Source

Vous pourriez aimer