Guildma (Astaroth) malware infection from Brazilian Portuguese email, (Tue, Sep 1st)

Analyse d’une campagne de distribution du malware Guildma (Astaroth)

Une campagne de phishing ciblée, utilisant le portugais brésilien, distribue le malware bancaire Guildma (Astaroth). L’attaque emploie une technique de géofencing stricte : le contenu malveillant n’est délivré que si la victime possède une adresse IP située au Brésil et que ses paramètres système (OS et navigateur) sont configurés en portugais brésilien. Dans le cas contraire, un installateur légitime est proposé pour dissimuler l’activité.

Points clés de l’infection :

• Vecteur initial : Email de phishing se faisant passer pour une plateforme de signature de documents (DocuSign).
• Méthode de livraison : Un fichier ZIP contenant un raccourci Windows (.lnk) qui télécharge une charge utile.
• Technique de persistance : Utilisation de flux de données alternatifs (Alternate Data Streams - ADS) pour dissimuler une DLL dans le répertoire temporaire, laquelle installe ensuite un package AutoIt malveillant.
• Infrastructure : Utilisation de services cloud légitimes (Azure Websites) pour héberger les fichiers malveillants et contourner certaines détections.

Vulnérabilités exploitées : L’attaque repose sur l’ingénierie sociale et l’abus de fonctionnalités natives de Windows plutôt que sur l’exploitation d’une CVE spécifique. Elle tire parti de la gestion des raccourcis (.lnk) et des flux de données alternatifs (NTFS ADS) pour exécuter du code arbitraire de manière discrète.

Recommandations :

• Filtrage géographique : Restreindre ou surveiller étroitement les accès aux ressources externes depuis des régions non pertinentes pour l’activité de l’entreprise.
• Sensibilisation : Former les utilisateurs à la vigilance vis-à-vis des emails de signature électronique non sollicités, particulièrement ceux utilisant des domaines suspects (.cfd).
• Contrôle des endpoints :
  • Surveiller les écritures de fichiers avec des flux de données alternatifs (ex: filename:streamname) dans les répertoires temporaires.
  • Bloquer ou limiter l’exécution de scripts AutoIt dans les environnements où ils ne sont pas nécessaires.
  • Appliquer des politiques de restriction logicielle (AppLocker ou Windows Defender Application Control) pour empêcher l’exécution de fichiers provenant de sources non approuvées.
• Analyse réseau : Surveiller les connexions sortantes vers des services cloud non autorisés, même si ces derniers semblent légitimes (ex: domaines Azure, GitHub ou services de messagerie abusés).

Source