🔍 Contexte

Publié le 21 août 2026 par le SOCRadar Threat Research Unit (STRU), cet article présente la découverte de l’abus de bannières FTP comme Dead Drop Resolvers (DDRs), une technique observée depuis début juillet 2026 et toujours active au moment de la publication. L’investigation a conduit à l’identification de deux RATs inédits : E4del et PINHOLE.

📡 Technique de livraison : FTP Banner comme DDR

Les acteurs malveillants intègrent des commandes malveillantes directement dans les bannières de réponse initiale du protocole FTP (port 21). Des fichiers LNK (probablement distribués par phishing) récupèrent ces commandes, qui déclenchent ensuite le téléchargement de charges utiles via WebDAV ou PowerShell. Des leurres en espagnol (ex. : « Voucher ») ont été identifiés. La technique a été détectée via des recherches FOFA sur le port 21.

🦠 E4del : RAT Electron se faisant passer pour Discord

E4del est un RAT basé sur Node.js/Electron qui remplace le fichier app.asar de Discord tout en conservant le binaire Discord.exe signé numériquement.

Mécanismes clés :

  • Anti-sandbox : vérification du flag --init et du nom d’utilisateur Windows
  • Persistance via setLoginItemSettings (Electron natif)
  • Fingerprinting HWID par SHA256 des adresses MAC + modèle CPU
  • Détection AV : Windows Defender, CrowdStrike, Kaspersky, ESET, Avast, Symantec, McAfee, Sophos
  • C2 chiffré AES-256-CBC (passphrase statique protected!) via HTTP POST vers 157.254.194[.]31
  • Système de jitter à 3 niveaux : Active (200ms–2s), Semi-Active (2–5s), Inactive (5–9s)

8 commandes supportées : reverse shell interactif, capture d’écran, streaming bureau live (WebSocket), dropper de payload, déploiement de fichiers, escalade de privilèges (via crypto32.node), exécution shell standard.

🕳️ PINHOLE : RAT multi-stage via Pinterest et SurveyMonkey

PINHOLE est un RAT sophistiqué en 64-bit (MinGW-w64) se faisant passer pour un utilitaire de mise à jour de « Weston Computing Systems Ltd ».

Chaîne de livraison :

  1. Bannière FTP (209.99.185[.]38:21) → script PowerShell via MSXML2.XMLHTTP
  2. Téléchargement de u.cmd depuis cloudflare.milicare[.]in/app/c
  3. Payload Base64 encodé dans de faux headers -----BEGIN CERTIFICATE-----
  4. Décodage via certutil -decode → archive Cabinet → calc.exe

Évasion avancée :

  • Halo’s Gate : extraction des SSNs par voisinage pour syscalls directs
  • Early Bird APC Injection dans ApplicationFrameHost.exe
  • 6 couches de déchiffrement : faux JPEG (FF D8 FF E0), shellcode avec NOPs, XOR (1F 3B 39 27), shellcode fluctuation (page unique déchiffrée à la fois), Donut (Chaskey CTR), aPLib
  • Stockage de la configuration dans des NTFS Alternate Data Streams (ADS) de fichiers desktop.ini

DDRs C2 : PINHOLE récupère son C2 depuis des pins Pinterest et des questions SurveyMonkey, avec délimiteurs ====D5===D6==== / ====D7===D8====. Le trafic est proxifié via Cloudflare Workers (worker-1785198984-xsekhi.api-62c3cac6.workers.dev).

14 commandes supportées : ls, cd, pwd, upload, download, exec, delete, find, ps, kill, screenshot, stealer (navigateur), powershell init/exec.

Les opérateurs maintiennent un FTP Stats Panel (69.48.228[.]126:5000) pour suivre les exécutions et IPs connectées.

📊 Attribution

Aucune attribution à un acteur connu n’est possible à ce stade. E4del et PINHOLE sont traités comme deux clusters distincts utilisant la même technique de livraison.

📄 Type d’article

Il s’agit d’une publication de recherche technique produite par le SOCRadar STRU, visant à documenter deux nouvelles familles de malwares et une technique de DDR inédite basée sur les bannières FTP, avec fourniture complète d’IoCs et de TTPs MITRE ATT&CK.

🧠 TTPs et IOCs détectés

TTP

  • T1583.007 — Acquire Infrastructure: Serverless (Resource Development)
  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1071.002 — Application Layer Protocol: File Transfer Protocols (Command and Control)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1047 — Windows Management Instrumentation (Execution)
  • T1106 — Native API (Execution)
  • T1218.015 — System Binary Proxy Execution: Electron Applications (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Resource Name or Location (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1564.003 — Hide Artifacts: Hidden Window (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1564.004 — Hide Artifacts: NTFS File Attributes (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1055.004 — Process Injection: Asynchronous Procedure Call (Defense Evasion)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1082 — System Information Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1518.001 — Software Discovery: Security Software Discovery (Discovery)
  • T1012 — Query Registry (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1113 — Screen Capture (Collection)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1102.001 — Web Service: Dead Drop Resolver (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1090 — Proxy (Command and Control)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
  • T1205 — Traffic Signaling (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)

IOC

  • IPv4 : 209.99.185.38 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 69.48.228.126 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 72.5.43.81 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 45.61.136.50 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 45.87.41.133 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 185.14.92.162 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 64.95.13.65 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 157.254.194.31 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 167.148.41.164 — AbuseIPDB · VT · ThreatFox
  • Domaines : nokierojotiarmx.com — VT · URLhaus · ThreatFox
  • Domaines : worker-1785198984-xsekhi.api-62c3cac6.workers.dev — VT · URLhaus · ThreatFox
  • Domaines : cloudflare.milicare.in — VT · URLhaus · ThreatFox
  • URLs : https://cloudflare.milicare.in/app/c — URLhaus
  • URLs : http://69.48.228.126:5000/ — URLhaus
  • URLs : http://209.99.185.38:5000/ — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/health — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/bc — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/client — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/tsk — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/fls — URLhaus
  • URLs : https://worker-1785198984-xsekhi.api-62c3cac6.workers.dev/https://nokierojotiarmx.com/api/stlbrwsr — URLhaus
  • URLs : https://157.254.194.31/beacon — URLhaus
  • URLs : https://mx.pinterest.com/pin/1128292512937332995 — URLhaus
  • URLs : https://mx.pinterest.com/pin/1128292512937332894/ — URLhaus
  • URLs : https://www.surveymonkey.com/r/WW5NVT6 — URLhaus
  • SHA256 : 117b2b7e7c0deee1f7bf0f154babc09738eac18e810625fab4f54dc8088d731c — VT · MalwareBazaar
  • SHA256 : e0c41dc44368efdf504b28ce015dd3e91f4e711db12e92c159173f75b5320ddb — VT · MalwareBazaar
  • SHA256 : fcc6fdf40f4dea8f508ef0b8c45a657461310a3f7947a8c687b476e0f0b41e26 — VT · MalwareBazaar
  • SHA256 : 391a605878222f23bf5900a07bc17bedcbda124fb0738d50f6bbb0c1762ae172 — VT · MalwareBazaar
  • SHA256 : 27587e078b59173a92cf9746ab1839da9196089c00e8b694860361da309142a5 — VT · MalwareBazaar
  • SHA256 : af769f3bff848bac7b73bf749769424b3df6c917538898 0d99e0d6d0193237ba — [VT](https://www.virustotal.com/gui/search/af769f3bff848bac7b73bf749769424b3df6c917538898 0d99e0d6d0193237ba) · [MalwareBazaar](https://bazaar.abuse.ch/browse.php?search=sha256%3Aaf769f3bff848bac7b73bf749769424b3df6c917538898 0d99e0d6d0193237ba)
  • SHA256 : ff88974f51918238f0ea9a74f013ff3ac3c536fce369ead5252ed0137fd32d9e — VT · MalwareBazaar
  • Fichiers : d.zip
  • Fichiers : app_bootstrap/index.js
  • Fichiers : app.asar
  • Fichiers : u.cmd
  • Fichiers : calc.exe
  • Fichiers : calc
  • Fichiers : calc_runner.cmd
  • Fichiers : calc.cab
  • Fichiers : crypto32.node
  • Fichiers : discord.exe
  • Chemins : C:\Users\<Username>\AppData\Local\Packages\<Token_String>
  • Chemins : C:\Users\<Username>\AppData\Local\discord\resources\crypto32.node
  • Chemins : %TEMP%\u.cmd
  • Chemins : %TEMP%\calc
  • Chemins : %TEMP%\calc_runner.cmd
  • Chemins : %TEMP%\calc.cab
  • Chemins : %TEMP%\calc.exe
  • Chemins : C:\Users\{user}\AppData\Local\Packages\{random_name}\{random_name}.exe
  • Chemins : %USERPROFILE%\Downloads\desktop.ini
  • Chemins : %USERPROFILE%\Documents\desktop.ini

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 25 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • E4del (rat)
  • PINHOLE (rat)
  • Donut (framework)

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ⬜ socradar.io — source non référencée (0pts)
  • ✅ 47058 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 53 IOCs dont des hashes (15pts)
  • ✅ 6/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 34 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 209.99.185.38 (ip) → VT (8/91 détections)
  • 69.48.228.126 (ip) → VT (4/91 détections)
  • 72.5.43.81 (ip) → VT (14/91 détections)
  • nokierojotiarmx.com (domain) → VT (8/91 détections)
  • worker-1785198984-xsekhi.api-62c3cac6.workers.dev (domain) → VT (7/91 détections)

🔗 Source originale : https://socradar.io/blog/ftp-banners-new-dead-drop-resolver-rats/