Backdoor Windows custom dissimulant son C2 dans les espaces d'un fichier desktop.ini

🔍 Contexte

Publié le 14 août 2026 par le chercheur Milánek sur le blog de Gen Digital, cet article présente l’analyse technique complète d’un backdoor Windows personnalisé découvert sur un unique poste de travail d’entreprise lors d’une chasse aux persistances WMI inhabituelles.

🎯 Cible et contexte de découverte

• Un seul hôte : poste de travail Windows 7 SP1 64 bits, joint à un domaine
• L’implant était déjà en place avant l’installation du logiciel de protection
• Aucun second stage ni tâche capturée
• Prévalence VirusTotal : zéro occurrence sur plus de 5 ans
• Aucun acteur connu identifié

⚙️ Mécanisme de persistance WMI

Une souscription WMI nommée "Realtek" surveille Win32_LocalTime pour l’heure 19h50 et exécute un binaire nommé RtkNGUI64.exe (nom légitime du panneau audio Realtek) via le chemin court Progra~1. La persistance survit aux redémarrages mais ne s’active qu’une fois par soir.

🧩 Encodage de la configuration C2

L’adresse du serveur C2 est encodée dans un fichier C:\ProgramData\desktop.ini au format UTF-16LE :

• Le fichier commence par l’en-tête Windows légitime de 174 octets ([.ShellClassInfo], etc.)
• Chaque ligne suivante contient un nombre d’espaces dont la valeur ASCII correspond à un caractère du domaine
• Aucune clé, aucun chiffrement : encodage unaire pur
• Le domaine reconstitué est diagrtrack.com, typosquat de DiagTrack (service Windows Connected User Experiences and Telemetry)
• La taille du fichier (2 318 octets) est elle-même une empreinte du domaine

🔬 Caractéristiques techniques du binaire

• Taille : 12 288 octets (12 Ko), exécutable x64
• Aucun runtime C (msvcrt.dll absent), aucun packer, aucun anti-debug
• 48 fonctions importées : KERNEL32, WININET, WS2_32, IPHLPAPI, SHLWAPI, ADVAPI32
• Compilé le 2 décembre 2020 à 13h34 UTC, déployé ~3 heures plus tard
• Le nom desktop.ini est fragmenté en deux littéraux .rdata séparés pour éviter la détection par grep
• cmd.exe est assemblé dynamiquement : "c%s%se /c %s" avec "md." et "ex"
• Les fichiers PE déposés ont leur signature MZ temporairement remplacée par L[ jusqu’à un patch final de 2 octets

📡 Protocole C2

• Identifiant victime : CRC-32 de USERNAME+USERDOMAIN+COMPUTERNAME, formaté en %08X
• Knock ICMP avant toute requête HTTP (ping avec l’ID en payload)
• Beacon HTTP POST vers /version/check.php avec User-Agent Chrome 78 figé
• Corps : a=<id>&r=none (ou r=<base64+urlencode output>)
• Commandes supportées : system (shell via cmd.exe, timeout 30s), put (écriture fichier), time (intervalle polling, défaut 5s)

📅 Chronologie

📋 Type d’article

Analyse technique approfondie (reverse engineering, threat hunting) publiée par un éditeur de sécurité, visant à documenter un implant custom inédit et à partager des opportunités de détection structurelle.

🧠 TTPs et IOCs détectés

TTP

• T1546.003 — Event Triggered Execution: Windows Management Instrumentation Event Subscription (Persistence)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1132.001 — Data Encoding: Standard Encoding (Command and Control)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1497.003 — Virtualization/Sandbox Evasion: Time Based Evasion (Defense Evasion)
• T1016 — System Network Configuration Discovery (Discovery)
• T1082 — System Information Discovery (Discovery)

IOC

• Domaines : diagrtrack.com — VT · URLhaus · ThreatFox
• URLs : http://diagrtrack.com/version/check.php — URLhaus
• Fichiers : RtkNGUI64.exe
• Fichiers : desktop.ini
• Fichiers : tempcache.tmp
• Chemins : C:\ProgramData\desktop.ini

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 16 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• RtkNGUI64.exe (custom backdoor) (backdoor)

🟡 Indice de vérification factuelle : 58/100 (moyenne)

• ⬜ gendigital.com — source non référencée (0pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/2 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 10 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• diagrtrack.com (domain) → VT (8/91 détections)

🔗 Source originale : https://www.gendigital.com/blog/insights/research/kb-backdoor