REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Le résumé public disponible rapproche trois campagnes utilisant VBScript et des outils de confiance apparente. Il permet de dégager des points de vigilance défensifs, mais sa troncature et l’absence du rapport intégral interdisent de reconstituer une chronologie détaillée commune.
Déroulement décrit par la source
- Le résumé décrit trois campagnes diffusées par phishing, principalement au Brésil et au Portugal, avec des leurres juridiques, financiers ou de facturation.
- Les familles mentionnées sont Overlord RAT, Lampion et un outil d’accès distant non identifié.
- Les chaînes décrites emploient notamment VBScript obscurci, fichiers batch et chargement détourné de DLL ; le résumé évoque aussi des tâches planifiées et des changements du registre.
Comprendre les mécanismes et les enseignements
- Le recours à un logiciel légitime ne rend pas légitimes les bibliothèques ou scripts qui l’accompagnent. L’examen d’un incident doit relier l’ouverture du leurre aux processus enfants et aux nouveaux fichiers, sans se limiter à leur signature ou à leur nom.
- Rassembler plusieurs campagnes dans un résumé ne permet pas d’assembler leurs techniques en une seule chaîne certaine. Une analyse utile garde les observations séparées et note les étapes qui demandent encore la consultation de la publication originale.
Les vérifications défensives utiles
- Conserver les messages et pièces jointes signalés puis les faire analyser dans un environnement isolé. Rechercher les autres destinataires par caractéristiques du message et contexte métier ; demander une vérification indépendante pour les notifications juridiques ou demandes de paiement inattendues.
- Sur les postes suspects, préserver les arbres de processus et vérifier les scripts lancés après le document initial. Examiner les DLL chargées depuis des dossiers modifiables, les tâches planifiées récentes et les modifications du registre avant nettoyage ou réinstallation du poste.
- Auditer les changements d’exclusions de l’antivirus et les connexions sortantes associés à ces processus. Une fois l’incident qualifié, isoler les machines concernées et renouveler les accès exposés ; valider la restauration de la protection avant de reprendre l’usage normal.
Portée et limites
La seule pièce disponible est un résumé public tronqué, sans blocs du rapport primaire. Elle ne permet pas d’affecter chaque technique à une campagne ni de confirmer l’accès initial de chaque victime. Les conseils ci-dessus sont des propositions défensives, pas des remédiations déjà vérifiées.
Rapport original
How VBScript Malware Evades Detection Using Trusted Tools Copy — www.watchguard.com.