Le raccourci mortel: donc un simple . HNK déguisé vole des identifiants et monte un tunnel FRP pour maîtriser votre RDP

Les chercheurs en sécurité ont déterré un outil d'accès à distance d'origine russe qui est distribué par des raccourcis Windows malveillants (.LNK) camouflés comme des dossiers contenant des clés privées. La plate-forme de gestion de surface d'attaque de Censys a été celle qui a donné la voix d'alarme au sujet de cet ensemble personnalisé d'utilitaires dans .NET, qui combine plusieurs binaires pour voler des identifiants, enregistrer des pulsations clavier, enlever des sessions RDP et créer des tunnels inverses par Proxy inverse rapide (FRP). Pour le contexte et le suivi de la recherche originale, la section de recherche de Censys est disponible sur votre blog: https: / / censys.io / blog.

Le vecteur d'entrée est simple et efficace du point de vue de l'attaquant : un fichier .LNK avec un aspect inoffensif - dans le cas documenté, il avait un nom similaire à "Private Key # kfxm7p9q _ yek.lnk" - utilise l'icône d'un dossier pour que la victime double-cliquez. Ce geste déclenche une séquence par étapes où chaque phase défigure ou décompresse la suivante jusqu'à ce que l'outil complet soit déployé. Le compte-gouttes dans l'accès direct invoque une commande PowerShell cachée exécutée, élimine les mécanismes de persistance antérieurs dans le dossier Windows Start et décodifie en mémoire un blob encodé dans Base64 contenant le chargeur suivant.

Le gestionnaire suivant teste la connectivité TCP vers un serveur distant et télécharge des composants supplémentaires, tout en réajustant les règles du pare-feu, crée des tâches programmées pour la persistance, ajoute des utilisateurs de porte arrière locale et soulève un serveur cmd.exe dans un port spécifique (5267) accessible par le tunnel FRP exploité par l'attaquant. La mise en œuvre du tunnel est basée sur une librairie Go-written qui est injectée en mémoire pour établir des canaux inversés à la fois RDP et TCP; le projet FRP légitimement utilisé pour l'écoute est publié dans GitHub et aide à comprendre les mécanismes qui l'abusent: https: / / github.com / fadedier / frp.

Un des exécutables téléchargés, identifié comme ctrl.exe, agit comme un . Chargeur NET et démarre une plate-forme de gestion - la "plate-forme de gestion CTRL" - qui peut fonctionner en mode serveur ou client selon les arguments avec lesquels elle est lancée. La communication de commande et de contrôle n'est pas effectuée comme un trafic sortant traditionnel : l'outil crée plutôt un tube Windows nommé (tuyau nommé) pour échanger des commandes localement et délègue toute interaction réseau à une seule session RDP transférée par le tunnel FRP. Cela signifie que, sauf pour la session RDP, il n'y a pratiquement pas de balises C2 sur le réseau qui permettent aux détections conventionnelles d'identifier l'intrusion., une tactique conçue pour réduire l'empreinte légale dans les communications.

Les capacités du paquet sont multiples et fat dans sa conception: collecte d'informations système, exécution d'un module de vol d'identification qui simule la fenêtre de vérification Windows Hello PIN, installation d'un enregistreur de frappe qui capture tout dactylographié et l'enregistre dans C:\ Temp\ keylog. txt au moyen d'un crochet clavier, et la possibilité d'afficher des notifications de type "tast" qui sont passés par différents navigateurs pour inciter la victime à entrer des identifiants ou exécuter des charges supplémentaires. Le module d'identification phishing est implémenté en tant qu'application WPF avec une interface qui imite la vérification PIN ; il bloque également les raccourcis clavier tels que Alt + Tab ou Alt + F4 et utilise l'automatisation d'interface (SendKeys) pour valider le PIN réel en parallèle et, pourtant, enregistrer l'entrée frauduleuse lors de la production.

L'arsenal est complété par deux binaires clés : l'un charge en mémoire le composant du tunnel inverse (FRPWrapper.exe) et l'autre permet de multiplier les sessions RDP simultanées (RDPWrapper.exe). Censys souligne qu'aucun de ces exécutables n'inclut les adresses de contrôle intégrées et que toutes les infiltrations de données sont effectuées dans le tunnel FRP lors de l'écriture ou de la lecture à partir du tuyau nommé local, un autre choix de conception orienté vers la discrétion opérationnelle.

Ce cas est utile pour comprendre une tendance que les analystes ont observée : des outils personnalisés, créés par un seul ou un petit opérateur, qui privilégient la sécurité opérationnelle au-delà d'un vaste catalogue de fonctions. En concentrant la communication RDP dans les tunnels inversés, on évite une grande partie des schémas de repérage qui détectent de nombreuses solutions de défense basées sur le réseau, ce qui complique la détection précoce.

Que peut-on faire pour réduire les risques et détecter de telles menaces? La première barrière est la prévention de la tromperie : traiter avec scepticisme l'accès direct reçu par courrier ou téléchargé à partir d'emplacements peu fiables et, en général, éviter d'ouvrir des fichiers dont l'origine n'est pas vérifiée. Au niveau technique, il convient d'examiner s'il y a des tâches programmées inattendues, des changements récents dans les règles de pare-feu, l'émergence d'utilisateurs locaux inconnus et l'existence d'inhabituels. les processus NET; des outils tels que Autouns et Sysinternals Process Explorer aident à inspecter les déchirures et les processus(documentation: https: / / docs.microsoft.com / fr-us / sysinternals / téléchargement / autoruns). Il est également prudent d'évaluer et de renforcer la configuration RDP selon les guides Microsoft pour éviter un accès à distance non autorisé: https: / / learn.microsoft.com / fr-us / windows-server / distant / distant -desktop-services / rds-plan-sécurité.

De la détection réseau, bien que la tactique utilise RDP sur un tunnel pour minimiser les traces, il est possible de rechercher des signaux indirects : connexions sortantes à des serveurs FRP inhabituels, activité dans des ports inhabituels, transfert de fichiers par des sessions distantes, ou création de sockets vers des ports atypiques par des processus qui ne devraient pas les ouvrir. Dans le plan final, il convient de surveiller la création de tubes nommés et l'écriture continue dans les fichiers d'enregistrement des clés temporaires, ainsi que de permettre une protection accrue contre l'exécution de scripts et Office. Le cadre MITRE ATT & CK propose des descriptions techniques et tactiques qui peuvent aider à classifier et à hiérarchiser les détections, par exemple en ce qui concerne le keylogging et l'exécution par les utilisateurs : https: / / attack.mitre.org / techniques / T1056 / et https: / / attack.mitre.org / techniques / T1204 /.

Enfin, il faut se rappeler que les technologies légitimes comme Windows Hello peuvent devenir des leurres lorsque leur interface est émulée par un attaquant. Pour mieux comprendre comment Windows Hello fonctionne et pourquoi votre UI peut être supplantée, la documentation officielle offre un examen de sa conception et les protections qu'elle fournit: https: / / learn.microsoft.com / fr-us / windows / sécurité / protection de l'identité / hello-for-business / hello-overview.

Cette constatation montre que les adversaires continuent d'affiner les méthodes pour rester sous le radar et que les équipes de sécurité doivent combiner les contrôles des paramètres, la surveillance du réseau et la formation des utilisateurs pour fermer la fenêtre d'exposition. La combinaison de l'ingénierie sociale (un .NK convaincant), l'exécution de la mémoire, la persistance silencieuse et l'accord de bureau à distance est efficace et, sans une approche de défense de couche, difficile à détecter jusqu'à ce que les dommages soient déjà faits. Maintenir des systèmes à jour, limiter l'exposition aux services à distance et surveiller les signaux susmentionnés peut faire la différence entre une tentative frustrée et une intrusion réussie.