📅 Source et contexte : Article publié le 25 juin 2026 par la Microsoft Defender Security Research Team sur le blog officiel Microsoft Security. Il documente une campagne d’intrusion active depuis avril 2026, non attribuée à un acteur connu, ciblant des organisations du secteur hôtelier en Europe et en Asie.

🎯 Vecteur d’accès initial : La campagne repose sur la distribution d’archives ZIP à thème photo (photo-<random>.zip) contenant des fichiers LNK déguisés en images PNG (IMG-*.png.lnk en Wave 1, PHOTO-*.png.lnk en Wave 2). Les liens vers ces archives sont relayés via des emails de phishing exploitant l’infrastructure Calendly (sous-domaine em1618.calendly.com) et les redirections Google (share.google), une technique qualifiée d’authentication laundering permettant de passer les contrôles SPF, DKIM et DMARC. Les leurres sont rédigés en japonais, danois et néerlandais et exploitent des thèmes liés aux plaintes clients, infestations de punaises de lit, et alertes sanitaires.

⚙️ Chaîne d’attaque :

  • Wave 1 : LNK → PowerShell obfusqué (décodeur BigInt) → téléchargement .ps1 → déploiement Node.js
  • Wave 2 : LNK → PowerShell → compilation .NET dynamique via csc.exe/cvtres.exe → DLL → Node.js
  • Le runtime Node.js (node-v24.13.0-win-x64) est téléchargé depuis le site officiel nodejs.org et placé dans un chemin utilisateur (AppData\Local\Nodejs\)
  • L’implant JavaScript est exécuté avec un domaine C2 en argument de ligne de commande

🔒 Persistance et évasion :

  • Mécanisme dual : HKCU\Run pointe vers le composant Node.js, HKCU\RunOnce pointe vers le payload PE dans C:\ProgramData\<random>\
  • Le RunOnce se régénère après chaque exécution, créant une boucle de persistance inhabituelle
  • Ajout d’exclusions Microsoft Defender via Add-MpPreference -ExclusionProcess pour les exécutables dans %TEMP%
  • 7 phases d’évolution d’obfuscation PowerShell observées (XOR BigInt → soustraction → substitution hexadécimale → masquage arithmétique → modulo/division → randomisation syntaxique → boucle for)

📡 C2 et infrastructure :

  • Communications sur ports non-standard : 8443, 8445, 8453, 5555, 56001, 56002, 56003
  • IPs C2 Wave 1 : 178.16.54.27, 95.217.97.121, 193.202.84.32, 178.16.55.179
  • Domaines Wave 2 en .cfd hébergés derrière Cloudflare, suivant le pattern photo-<digits>.cfd, avec rotation tous les 2-3 jours
  • Chaîne de redirection multi-hop : Calendly → share.google → Google → domaine .cfd

🔍 Activités post-compromission observées : beaconing C2, automatisation de navigateur en mode headless (--headless --no-sandbox), lookup géolocalisation via ip-api.com, et arrêt forcé du système (cmd /c shutdown -s -t 0).

📄 Type d’article : Publication de recherche technique à visée CTI, fournissant une analyse détaillée de la chaîne d’attaque, des IOCs, des requêtes de chasse avancée (KQL) et des mappings MITRE ATT&CK pour permettre la détection et la réponse aux incidents.

🧠 TTPs et IOCs détectés

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1583.006 — Acquire Infrastructure: Web Services (Resource Development)
  • T1584.006 — Compromise Infrastructure: Web Services (Resource Development)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1199 — Trusted Relationship (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1027.004 — Obfuscated Files or Information: Compile After Delivery (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1571 — Non-Standard Port (Command and Control)

IOC

Malware / Outils

  • TonRAT (rat)
  • PureRat (rat)
  • Wacatac (other)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ microsoft.com — source reconnue (liste interne) (20pts)
  • ✅ 56586 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 122 IOCs dont des hashes (15pts)
  • ✅ 9/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 15 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 178.16.54.27 (ip) → VT (17/91 détections)
  • 95.217.97.121 (ip) → VT (4/91 détections)
  • 193.202.84.32 (ip) → VT (4/91 détections)
  • 83e970feb3f10692… (sha256) → VT (29/76 détections)
  • 06a2888c1f071198… (sha256) → VT (45/76 détections)

🔗 Source originale : https://www.microsoft.com/en-us/security/blog/2026/06/25/photo-zip-campaign-targeting-hospitality-industry-delivers-node-js-implant-persistent-access/