Foul Language : quand la liste de mots chargeurs de malware déguise l'infection en texte ordinaire

Les campagnes ClickFix exploitent désormais une technique sophistiquée de chargement de listes de mots ("wordlists") pour masquer le code malveillant dans des documents textuels apparemment inoffensifs. Cette méthode, conçue pour contourner les moteurs de détection classiques, sert principalement à distribuer Amatera, un infostealer dont la propagation s'accélère dans le paysage de la cybersécurité actuelle.

En bref

• Technique d'évasion : Utilisation de WordlistLoaders pour injecter du code malveillant via des structures de données textuelles (listes de mots de passe, dictionnaires) plutôt que des binaires exécutables directs.
• Vecteur d'attaque : Campagnes de type ClickFix, où l'utilisateur est manipulé pour exécuter une commande spécifique (souvent PowerShell ou un script) sous prétexte de résoudre un faux problème technique.
• Charge utile finale : Amatera, un infostealer ciblant les identifiants de navigateurs, les portefeuilles crypto et les données de session.
• Ciblage professionnel : Les consultants IT, les administrateurs systèmes et les utilisateurs de cloud sont particulièrement exposés en raison de leurs privilèges élevés et de leur habitude à exécuter des scripts.
• Détection complexe : Le code est obfusqué et fragmenté dans des fichiers texte ou JSON, rendant l'analyse statique difficile sans exécution contrôlée.

La mécanique du WordlistLoader : au-delà de l'obfuscation simple

La méthode traditionnelle d'obfuscation repose souvent sur le codage en Base64 ou l'encapsulation dans des archives compressées. Le WordlistLoader marque une évolution tactique. Au lieu de charger un binaire unique, le malware se présente sous la forme d'une liste de chaînes de caractères, souvent ressemblant à une base de données de mots de passe, à un dictionnaire linguistique ou à des logs d'application.

Le principe repose sur la séparation stricte entre la structure de données (la "wordlist") et le moteur d'exécution. Le fichier texte lui-même est inerte et inoffensif. C'est le loader, un petit script (souvent PowerShell, Python ou VBScript) qui parcourt cette liste, reconstruit la charge utile en mémoire et déclenche son exécution. Cette approche exploite une faiblesse de conception courante : les éditeurs de code et les antivirus traitent les fichiers texte (.txt, .json, .csv) avec une méfiance moindre que les exécutables (.exe, .dll).

Pour un consultant IT, la dangerosité réside dans la véracité apparente du contenu. Une liste de 10 000 mots de passe fictifs ou des entrées de type "username:password" semble légitime dans le contexte du développement ou de l'audit de sécurité. L'analyseur de signatures voit une donnée, pas un code.

# Exemple schématique de la logique d'un WordlistLoader (simplifié)
# Le vrai code est obfusqué, mais la structure est la suivante :

$wordlist = @("part1", "part2", "part3", ... ) # Données stockées
$decoder  = [System.Text.Encoding]::UTF8

# Reconstruction de la charge utile en mémoire
$payloadString = ($wordlist | ForEach-Object { $_ } ) -join ""
$binaryPayload = [System.Convert]::FromBase64String($payloadString)

# Injection en mémoire (sans écriture disque visible)
$func = [System.Runtime.InteropServices.Marshal]::AllocHGlobal($binaryPayload.Length)
[System.Runtime.InteropServices.Marshal]::Copy($binaryPayload, 0, $func, $binaryPayload.Length)

# Appel à CreateRemoteThread ou équivalent pour exécuter

Cette technique permet d'éviter les détections basées sur l'analyse des entêtes PE (Portable Executable) ou les heuristiques de comportement des fichiers binaires au moment du téléchargement.

Le vecteur ClickFix : la manipulation psychologique comme premier firewall

Le WordlistLoader est rarement déployé seul. Il est le moteur d'une campagne ClickFix. Le terme, popularisé par les équipes de sécurité, décrit un type d'ingénierie sociale où la victime est invitée à "corriger" un problème fictif en exécutant une commande.

Le scénario type pour un professionnel de l'IT se présente ainsi :

1. L'appât : Un e-mail ou une notification prétendant provenir d'un fournisseur de service (Office 365, Azure, ou un outil de gestion d'identités) signalant une anomalie de sécurité, une mise à jour critique échouée ou une suspension de compte.
2. La fausse solution : Le message contient un lien vers une page web qui simule un terminal ou un outil de diagnostic.
3. L'exécution : La page affiche une commande PowerShell ou Bash à copier-coller dans le terminal. Cette commande télécharge le loader et la "wordlist" associée.

Pour un administrateur système, la barrière à l'entrée est faible car l'action demandée (exécuter une commande de diagnostic) est courante dans leur quotidien. La différence avec une vraie tâche d'administration est subtile : l'absence de contexte d'audit, la source non vérifiable et la nature "one-shot" de la commande.

Les attaquants ciblent spécifiquement les environnements où les utilisateurs ont des privilèges d'administrateur local ou d'accès au domaine. Dans ces cas, l'exécution du loader permet une élévation de privilèges immédiate et une installation persistante d'Amatera.

Amatera : l'infostealer de nouvelle génération

Une fois le WordlistLoader exécuté, le code reconstruit en mémoire charge Amatera. Contrairement aux infostealers anciens qui se contentaient de voler des cookies de navigateur, Amatera est un outil modulaire et sophistiqué.

Fonctionnalités clés observées

• Harvesting de navigateurs : Vol des identifiants, historique, cookies et tokens d'authentification pour Chrome, Firefox, Edge et Safari.
• Extraction de crypto-monnaies : Ciblage des portefeuilles logiciels (MetaMask, Phantom, etc.) via l'API locale.
• Capture de sessions : Vol des tokens d'authentification SSO (Single Sign-On) pour maintenir l'accès aux services cloud (Microsoft 365, AWS, GCP) sans requêter de mot de passe.
• Anti-sandbox : Amatera inclut des vérifications d'environnement pour détecter les boîtes à sable d'analyse et retarder ou annuler l'exécution si des signatures de virtualisation sont détectées.

Pourquoi les consultants IT sont des cibles prioritaires

Les comptes des consultants IT sont des "cibles à haute valeur". Un simple compte d'utilisateur standard n'a que peu d'intérêt pour un infostealer. En revanche, un compte avec accès aux identités Active Directory, aux services cloud ou aux outils de supervision permet :

1. La persistance à long terme dans l'infrastructure.
2. Le mouvement latéral vers d'autres systèmes.
3. Le chiffrement de données sensibles (ransomware secondaire).

Amatera est conçu pour être exécuté dans ce contexte : il ne cherche pas seulement à voler des données, mais à s'ancrer dans des comptes privilégiés pour servir de base d'opération pour des attaques plus larges.

Détection et défense : au-delà de l'antivirus

Les solutions de sécurité traditionnelles (EDR de première génération) peuvent rater cette technique si elles se concentrent uniquement sur les fichiers binaires exécutés depuis le disque. La défense doit être multicanale.

1. Surveillance des processus parents (Process Tree Analysis)

Un WordlistLoader exécuté via PowerShell ou un terminal aura souvent un processus parent inhabituel.

• Signe d'alerte : powershell.exe ou cmd.exe lancé par un navigateur (chrome.exe, edge.exe) ou un éditeur de texte.
• Action : Configurer les règles EDR pour alerter sur toute création de processus de ligne de commande initiée par un processus graphique non-légitime.

2. Analyse du réseau (Network Traffic Analysis)

Bien que le loader opère en mémoire, la communication avec le C2 (Command and Control) reste visible.

• Signature : Connexions sortantes vers des domaines nouvellement enregistrés (DGA - Domain Generation Algorithms) ou des IP résidentielles.
• Action : Inspecter les requêtes HTTP/HTTPS pour détecter des User-Agents anormaux ou des en-têtes incohérents avec le navigateur standard.

3. Inspection des scripts (Script Block Logging)

Sur Windows, l'activation du Script Block Logging (Event ID 4104) permet de capturer le code PowerShell exécuté.

• Action : Centraliser ces événements dans le SIEM. Rechercher des motifs de décodage (Base64, FromBase64String) ou des boucles de reconstruction de chaînes (-join, Foreach-Object).

<!-- Exemple de règle de détection SIEM (pseudo-code) -->
<rule id="wordlist-loader-detection">
  <description>Détection potentielle d'exécution de WordlistLoader via PowerShell</description>
  <event>
    <name>PowerShell Script Block Logged</name>
    <filter>
      <field>Message</field>
      <value>contains("FromBase64String") AND contains("-join")</value>
    </filter>
  </event>
  <action>
    <severity>High</severity>
    <alert>Investigation requise : Pattern de reconstruction de code en mémoire</alert>
  </action>
</rule>

4. Protection contre le ClickFix (Application Allowlisting)

La mesure la plus efficace contre le ClickFix est de restreindre l'exécution de scripts.

• Confinement : Utiliser des stratégies de groupe (GPO) pour restreindre l'exécution de PowerShell aux scripts signés numériquement.
• Application Control : Imposer des règles d'allowlisting (ex: AppLocker, Windows Defender Application Control) pour ne permettre que l'exécution de binaires et scripts approuvés.
• Éducation : Former les équipes à ne jamais exécuter de commandes copiées depuis des e-mails ou des pages web, même si elles semblent techniques.

Bonnes pratiques pour consultants IT

En tant que professionnels de l'IT, vous êtes à la fois les cibles privilégiées et les premiers défenseurs de votre organisation. Voici les actions concrètes à adopter :

1. Zéro confiance sur les commandes externes : Ne jamais copier-coller une commande depuis un e-mail, un ticket de support non vérifié ou une page web dans un terminal de production. Toujours vérifier la source via un canal de communication sécurisé (appel téléphonique, chat interne).
2. Auditer les accès PowerShell : Sur vos postes de travail et serveurs, vérifier que les droits d'exécution de PowerShell sont limités. Si vous n'avez pas besoin de PowerShell interactif, désactivez-le ou restreignez son usage.
3. Vérifier les processus orphelins : Utilisez des outils comme Process Explorer (Sysinternals) pour identifier les processus qui n'ont pas de parent visible ou dont le parent est un navigateur.
4. Surveiller les connexions sortantes : Activez la journalisation des connexions réseau sur vos postes de développement. Une connexion sortante inattendue vers un port non standard (autre que 80/443) est un signal d'alerte majeur.
5. Isoler les environnements de test : Si vous devez tester un script ou un outil suspect, faites-le dans une machine virtuelle isolée sans accès au réseau d'entreprise et sans partage de fichiers.
6. Mettre à jour les EDR : Assurez-vous que votre solution EDR est configurée pour détecter les comportements en mémoire (in-memory execution) et non seulement les signatures de fichiers.

Points clés

• Le WordlistLoader est une technique d'évasion, pas un malware en soi : C'est le mécanisme de livraison qui rend Amatera difficile à détecter.
• Le ClickFix est une attaque sociale : La technologie ne protège pas contre la manipulation. La vigilance humaine reste la première ligne de défense.
• Amatera cible les identités : Dans un environnement cloud, voler un token de session est plus efficace que voler un mot de passe. Les consultants IT doivent surveiller leurs propres accès SSO.
• La détection requiert une approche comportementale : Les signatures statiques sont insuffisantes. L'analyse des processus, du réseau et des scripts est indispensable.
• La prévention passe par le confinement : Restreindre l'exécution de scripts non signés et l'accès aux privilèges élevés réduit drastiquement la surface d'attaque.

En conclusion, la combinaison du WordlistLoader et d'Amatera représente une menace évolutée qui exploite les failles de confiance et de configuration des environnements IT. Les consultants doivent adapter leurs pratiques de sécurité pour détecter ces techniques d'obfuscation et renforcer les contrôles d'accès et d'exécution sur leurs systèmes. La vigilance face aux vecteurs ClickFix est essentielle pour protéger non seulement leurs comptes, mais aussi l'intégrité de l'infrastructure qu'ils administrent.

Source : Dark Reading