REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Les outils personnalisés décrits pour Toy Ghouls utilisent des services de communication courants pour leur commande à distance. Le cas incite à examiner le contexte des connexions et des services plutôt que la seule réputation d’une destination.
Déroulement décrit par la source
- Le rapport présente deux portes dérobées, mqtt-bird-agent et matrix-bird-agent, utilisant respectivement HiveMQ MQTT et Element.
- Le déploiement décrit passe par Windows Remote Management et la persistance par des services Windows.
- Ces outils peuvent exécuter des commandes et collecter des informations sur les ressources du système.
Comprendre les mécanismes et les enseignements
- Leçon défensive : un protocole de messagerie ou un service légitime peut transporter des échanges non autorisés. La surveillance doit donc s’intéresser à l’application qui initie la connexion, à son propriétaire et à la justification métier, sans assimiler tout usage du service à une attaque.
- Le recours à des outils personnalisés peut faire évoluer les signatures détectables, mais n’efface pas tous les points d’observation. Les créations de services, les accès WinRM et les changements d’exécution restent des événements utiles pour reconstituer les opérations effectuées sur un poste.
Les vérifications défensives utiles
- Contrôler les accès WinRM et les comptes autorisés à administrer les machines à distance. Examiner les connexions inhabituelles et les nouveaux services dans une même fenêtre temporelle, avec une attention particulière aux usages qui ne correspondent pas aux opérations de maintenance planifiées.
- Inventorier les applications qui utilisent MQTT ou des services de messagerie depuis les serveurs et postes sensibles. Documenter les besoins approuvés avant d’ajuster le filtrage sortant, afin de pouvoir investiguer les écarts sans interrompre aveuglément un usage légitime.
- Conserver les configurations et journaux des services suspects dans un espace d’analyse contrôlé. Vérifier ensuite la présence d’autres mécanismes d’accès distant et les usages des comptes concernés avant de considérer la suppression d’un service comme une remédiation complète.
Portée et limites
L’analyse associe ces outils à Toy Ghouls. Elle ne signifie pas que HiveMQ, Element ou tous leurs utilisateurs participent à l’activité ; les capacités d’un outil ne prouvent pas leur emploi dans chaque incident.
Rapport original
Angry Birds: Toy Ghouls’ new toys — securelist.com.