🔍 Contexte

Publié le 22 septembre 2026 sur le blog d’ANY.RUN, cet article présente une analyse technique approfondie de CSuite, une opération de phishing et d’accès distant active de février 2026 au 3 septembre 2026, ciblant principalement des organisations américaines (60% des victimes identifiées) et européennes.

🎯 Description de la menace

CSuite est une opération structurée autour d’un modèle fournisseur/affiliés : le fournisseur distribue l’hébergement, les outils d’accès distant et les domaines via des canaux de messagerie privés, chaque affilié gérant son propre endpoint d’exfiltration.

L’opération suit deux axes d’attaque principaux :

  • Axe 1 – Accès distant : déploiement d’outils légitimes de gestion (ScreenConnect, Action1, Atera, Syncro, PDQ Connect) renommés en Adobe, Dotloop, DocuSign
  • Axe 2 – Vol de credentials : phishing classique et flux d’authentification par device-code pour capturer des sessions Microsoft 365

🔗 Chaîne d’attaque

  1. Leurre : invitation de partage Adobe Document Cloud depuis une boîte mail compromise, ou email via relais d’envoi
  2. Portail de redirection : vérification anti-bot, routage selon le fournisseur de messagerie (Microsoft, Google, autre)
  3. Page d’atterrissage : faux viewer Adobe Reader, DocuSign, Zoom ou Dropbox
  4. Livraison du payload : archive, installeur MSI, ou script batch/VBS téléchargeant l’installeur
  5. Exécution : élévation via UAC + msiexec sur le package agent
  6. Persistance endpoint : agent de gestion légitime installé, credential provider enregistré, chargement dans LSA au démarrage, survie en safe mode
  7. Capture de compte : mot de passe + session live transmis au panel, accès mailbox sans second facteur

🛠️ Infrastructure et outillage

  • Panel CSuite v1.1 : 23 modules dont Sessions (29 sessions O365 capturées), Adobe Sender (1 593 documents envoyés), Chameleon (216 victimes uniques), DocForge, Cloaker Cloudflare
  • Pages leurres : beacon Telegram à chaque visite (IP, géoloc, UA, dimensions écran)
  • Gate m/js/utils.js : 66 Ko de JavaScript filtrant bots, outils de sécurité, adresses IP, pays (RU, CN, KP, IR, SY, CU bloqués), fingerprint navigateur, score reCAPTCHA v3
  • Staging GitHub : compte Ivan3900 hébergeant les installeurs ScreenConnect
  • Relais SMTP : mail.wirsann[.]com et mail.boratlongyear[.]com avec DKIM
  • Device-code phishing : frontend Next.js avec 7 templates (Teams, voicemail, SharePoint, DocuSign, Adobe, WeTransfer, DocSend)

📊 Victimologie

  • 351 analyses sandbox liées, 170 hôtes identifiés
  • 216 victimes uniques Chameleon, 29 sessions O365 capturées
  • 1 593 documents leurres, 15 955 adresses email récoltées
  • Secteurs : technologie, manufacturing, gouvernement, consulting, éducation, ONG, santé
  • Géographie US : comté gouvernemental, deux districts scolaires au Texas, bibliothèque publique, YMCA, fonds d’énergie, organisme de logement, fabricant industriel
  • Europe : cabinet d’architecture français, entreprise industrielle italienne, cabinet de conseil français, praticien médical portugais

📄 Type d’article

Analyse technique détaillée publiée par ANY.RUN, visant à documenter l’opération CSuite pour les équipes SOC et CTI, avec TTPs MITRE ATT&CK complets et IOCs exploitables.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • CSuite (cybercriminal) —

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1583.004 — Acquire Infrastructure: Server (Resource Development)
  • T1585.003 — Establish Accounts: Cloud Accounts (Resource Development)
  • T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
  • T1584.004 — Compromise Infrastructure: Server (Resource Development)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1189 — Drive-by Compromise (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1218.007 — System Binary Proxy Execution: Msiexec (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1574.001 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
  • T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1480 — Execution Guardrails (Defense Evasion)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1219 — Remote Access Software (Command and Control)
  • T1547.002 — Boot or Logon Autostart Execution: Authentication Package (Persistence)
  • T1556 — Modify Authentication Process (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1621 — Multi-Factor Authentication Request Generation (Credential Access)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)
  • T1114.002 — Email Collection: Remote Email Collection (Collection)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1656 — Impersonation (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ScreenConnect (rat)
  • Action1 (rat)
  • Atera (rat)
  • Syncro (rat)
  • PDQ Connect (rat)
  • CSuite v1.1 (framework)
  • Chameleon (tool)
  • HVNC backdoor (backdoor)
  • UpdateAssistant.exe (backdoor)

🟢 Indice de vérification factuelle : 80/100 (haute)

  • ✅ any.run — source reconnue (Rösti community) (20pts)
  • ✅ 97329 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 151 IOCs dont des hashes (15pts)
  • ⬜ 0/12 IOCs confirmés externellement (0pts)
  • ✅ 27 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : CSuite (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://any.run/cybersecurity-blog/csuite-attack-analysis/