REX Cyber · Veille du 2026-09-16. Faits attribués à sect.iij.ad.jp.
Le loader exécute un bypass AMSI, initialise un indirect syscall et active un masque de sommeil.
Ce qui s’est passé
Les auteurs de sect.iij.ad.jp rapportent les constatations suivantes :
- Le loader exécute un bypass AMSI, initialise un indirect syscall et active un masque de sommeil.
- Lorsque le loader est lancé avec l’argument –foreign, il récupère le payload RAT depuis l’URL indiquée.
- pivot_hop2_kasp.exe est configuré pour utiliser la fonction TCP Beacon afin de communiquer via P2P avec d’autres hôtes infectés.
Acteurs et cibles
Acteurs rapportés
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
MITRE ATT&CK
Techniques directement associées au rapport
Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.
Répertoire associé aux acteurs et aux malwares
Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.
Cobalt Strike – S0154
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
| Identifiant absent | TA0008 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
| Identifiant absent | TA0001 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1045 |
Software Packing | Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1027.002 — Software Packing |
T1094 |
Custom Command and Control Protocol | Command and Control | 50 | Révoquée dans le catalogue officiel ; remplacée par T1095 — Non-Application Layer Protocol |
| Identifiant absent | TA0010 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1086 |
PowerShell | Execution | 50 | Révoquée dans le catalogue officiel ; remplacée par T1059.001 — PowerShell |
| Identifiant absent | TA0005 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1023 |
Shortcut Modification | Persistence | 50 | Révoquée dans le catalogue officiel ; remplacée par T1547.009 — Shortcut Modification |
T1081 |
Credentials in Files | Credential Access | 50 | Révoquée dans le catalogue officiel ; remplacée par T1552.001 — Credentials In Files |
T1076 |
Remote Desktop Protocol | Lateral Movement | 50 | Révoquée dans le catalogue officiel ; remplacée par T1021.001 — Remote Desktop Protocol |
T1060 |
Registry Run Keys / Startup Folder | Persistence | 50 | Révoquée dans le catalogue officiel ; remplacée par T1547.001 — Registry Run Keys / Startup Folder |
| Identifiant absent | TA0007 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T09:26:35Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.
Entités et contexte du rapport
- Malware : PIVOTPIPE ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Malware : Cobalt Strike – S0154 ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
IOC et observables pour la recherche
4 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T09:26:29+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| sha1 | 9c20927c77efe4119dc46fabf1a6cffebf0acc63 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 715558e0ad32401c477d01412cc72fd07dc4ef6e122b6a730ba4b0a88a971677 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | ad9a03f3ea93c1a0a350f73b4ada485ce444f2352ea11eea05c87f075be80cf7 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | feeb5cae714d0d35f68ad1d1b29dccec0bdcc58ac076869559db53f6cb8137e8 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-16T07:16:35.438Z ; 11 objets publics et 14 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 1 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 3106 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : PIVOTPIPE: A New .NET-based Unofficial Beacon Payload
- Types de rapport : threat-report
- Labels : beacon, c2 framework, cobalt strike, edr evasion, pivotpipe
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-16T07:16:35.438Z
- Modification déclarée par la source : 2026-09-26T11:25:15.092Z
- Import de l’objet de renseignement : 2026-09-26T11:25:13.575Z
- Mise à jour de l’objet de renseignement : 2026-09-26T11:25:15.092Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
PIVOTPIPE: A New .NET-based Unofficial Beacon Payload — sect.iij.ad.jp.