Mémoire comme arme : Lazare et le nouveau domaine des attaques financières qui ne laissent aucune trace sur le disque

La recherche publiée par Fox-IT sur RemotePE, un trojan d'accès à distance (RAT) utilisé par le groupe Lazarus, confirme une tendance critique dans la cybermenace pour financer et cryptomonedas: des attaques de plus en plus conçues pour rester en mémoire et éviter de laisser l'empreinte du disque. Bien que l'exécution en mémoire ne soit pas nouvelle, la combinaison de chargeuses enchaînées, l'utilisation du DPAPI pour déchiffrer les charges utiles et les techniques d'évasion comme Hell's Gate et le patching d'ETW montrent un développement délibéré orienté vers la traçabilité à long terme.

RemotePE n'agit pas seul: il fait partie d'un ensemble d'outils où DPAPILOader lance le processus en déchiffrant et en chargeant RemotePELoader, qui à son tour télécharge et exécute RemotePE uniquement en mémoire. Cette conception réduit considérablement les preuves médico-légales dans le disque et force les défenses à se concentrer sur la mémoire, la télémétrie de processus et le trafic réseau.

Pour les organisations financières et cryptomonéda, la participation pratique est double. D'une part, la présence d'une chaîne d'intrusion où l'acteur interagit avec la victime (ingénierie sociale via Telegram et faux domaines Calendly / Picktime) souligne que la sécurité technique doit être complétée par des contrôles humains et des processus vérifiables pour les réunions, les demandes d'embarquement et d'accès. D'autre part, la capacité de maintenir un accès non détecté à long terme augmente le risque d'opérations finales à impact élevé comme la fraude financière, l'enlèvement de clés ou la vidange de voûtes cryptoactives.

D'un point de vue technique, il y a des signes spécifiques à surveiller : abus du DPAPI pour stocker ou récupérer des charges utiles, connexions sortantes à des domaines suspects tels que « aes-secure [.] net », modifications de l'instrumentation d'événements Windows (ETW) et techniques avancées Hell's Gate. Une détection efficace nécessite une télémétrie corrélée, des enregistrements réseau et des captures de mémoire avant que l'acteur ne réalise des actions à impact élevé.

Comme pour les capacités de logiciels malveillants, RemotePE implémente des commandes pour la gestion de fichiers, la gestion de DLL dans la mémoire, le contrôle de processus, la persistance dans le répertoire de travail et un ordre de suppression qui écrase les fichiers à plusieurs reprises avant de les supprimer. Ce schéma d'élimination, également observé dans PondRAT et POOLRAT, suggère une intention de frustrer l'analyse médico-légale après la phase d'exfiltration ou à la fin de l'opération.

Pour les défenseurs et les équipes d'intervention, les priorités opérationnelles devraient inclure l'instrumentation de la mémoire des paramètres, le blocage des canaux d'exfiltration connus et la capacité d'obtenir un déversement rapide de mémoire. Des outils comme la volatilité et les cadres d'analyse de mémoire deviennent cruciaux pour identifier les artefacts qui n'ont jamais été sur le disque(plus d'informations sur Fondation pour la volatilité).

Il est également recommandé d'enrichir les règles de détection par des indicateurs de performance : processus qui chargent des modules inconnus en mémoire, processus qui font des appels atypiques au DPAPI, anomalies dans l'utilisation d'ETW et modèles de communication pour commander et contrôler les serveurs. Compléter la télémétrie des paramètres avec la surveillance eBPF ou les agents de mémoire peut faire une différence par rapport aux techniques d'exécution de mémoire.

La réponse à une infection à distance devrait prioriser le confinement et la conservation des preuves en mémoire : isoler l'hôte, tourner la mémoire et recueillir le trafic réseau, bloquer les domaines et adresses IP identifiés, et faire pivoter les lettres d'identité et les clés qui pourraient avoir été compromises. La détection tardive exige l'engagement des comptes et des pouvoirs; par conséquent, la rotation et la vérification de l'intégrité sont des étapes essentielles..

Au niveau organisationnel, cette affaire renforce la nécessité d'adopter des modèles de défense approfondis : forte authentification multifactorielle, politiques moins privilégiées, segmentation des réseaux pour les infrastructures essentielles et processus rigides pour l'acceptation de réunions externes ou de demandes d'accès. La formation périodique en génie social spécifique pour les canaux populaires entre le secteur critique, tel que Telegram, doit faire partie de tout programme de sensibilisation.

Enfin, comprendre les questions adverses: Lazare a montré une approche persistante des objectifs financiers et de cryptomonéda. Les ressources de renseignements sur les menaces telles que les fiches de données techniques MITRE permettent de contextualiser les tactiques et techniques de groupe connues et d'ajuster les défenses en conséquence (voir profil en MITRE ATT & CK - Lazarus). Le partage d'informations avec les pairs de l'industrie et les fournisseurs de services de sécurité accélère également l'identification des campagnes ciblées et le blocage des infrastructures malveillantes.

La leçon clé pour les organisations à risque est claire : l'âge des logiciels malveillants qui ne laisse aucune trace sur le disque nécessite une visibilité sur la mémoire, une réponse rapide et des contrôles humains qui empêchent l'accès initial. Sans ces éléments, même les défenses apparemment robustes peuvent être l'environnement dans lequel les acteurs avec des ressources maintiennent des opérations silencieuses jusqu'à ce qu'ils exécutent un coup à impact élevé.