REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Huntress décrit une campagne qui utilise un véritable portefeuille Exodus modifié pour installer discrètement un outil de contrôle à distance. Le leurre visible peut être un document ou une mise à jour sans rapport avec les cryptomonnaies.
Déroulement décrit par la source
- Les victimes ouvrent un fichier JavaScript présenté comme un document ou une mise à jour ; celui-ci télécharge un installateur Windows modifié.
- Un fichier modifié masque la fenêtre d’Exodus ; un autre charge et déchiffre en mémoire le programme malveillant.
- Le logiciel malveillant fournit notamment un VNC caché, un proxy SOCKS et le vol d’identifiants du navigateur.
- La communication passe par Azure Table Storage. Des tâches planifiées relancées chaque heure assurent la persistance décrite dans le rapport.
Comprendre les mécanismes et les enseignements
- Un programme légitime incorporé à un paquet ne garantit pas l’intégrité de ce paquet. Il faut examiner la provenance de l’installateur, son comportement et les fichiers modifiés, plutôt que se fier au nom du produit.
- Un service cloud courant peut transporter les communications d’un logiciel malveillant. Une autorisation réseau vers Azure ne remplace pas l’analyse du processus qui l’utilise, de sa chaîne de lancement et de sa finalité.
Les vérifications défensives utiles
- Dans les journaux disponibles, rapprocher les ouvertures de scripts reçus par messagerie, les installations MSI et la création de nouvelles tâches planifiées. Conserver les horodatages et les liens entre processus pour reconstruire les événements.
- Comparer les installateurs suspects aux distributions officielles obtenues par un canal de confiance. Si une infection est suspectée, préserver les fichiers temporaires et les traces avant nettoyage ; une différence isolée mérite une investigation.
- Prévoir une procédure de confinement et de révocation des sessions de navigateur depuis un poste sain. Tester cette procédure avec les équipes concernées : désinstaller le portefeuille apparent ne suffit pas à prouver la fin de l’intrusion.
Portée et limites
Cette synthèse porte sur des observations publiques de Huntress. Les différents accès initiaux ne sont pas tous établis de la même manière ; la présence d’un fichier Exodus ou d’une tâche planifiée ne suffit pas, isolément, à conclure à cette campagne.
Rapport original
The Crypto Wallet That Never Opened: Tampered Exodus Installer Hides a Modular RAT — www.huntress.com.