📅 Source : dfir.ch, publié le 14 octobre 2026 — Field Note d’investigation DFIR portant sur une infection par EtherRAT détectée via Microsoft Defender for Endpoint.

🔍 Contexte de découverte L’investigation a débuté suite à une alerte Microsoft Defender for Endpoint signalant une activité suspecte de capture d’écran via PowerShell. L’analyse de la chaîne d’exécution a révélé un binaire renommé FbtRYX8x.exe (runtime Node.js) communiquant avec plusieurs fournisseurs publics d’Ethereum RPC, comportement caractéristique d’EtherRAT, un backdoor Node.js documenté par Atos Threat Research Center, The DFIR Report et Malwarebytes.

📦 Vecteur d’infection initial Un utilisateur a effectué une recherche Bing pour “advanced ip scanner msi” et visité un dépôt GitHub frauduleux (github.com/AdvancedIPScanner/download) se faisant passer pour le distributeur officiel. Le MSI malveillant a ensuite été importé dans Microsoft Intune comme installeur légitime d’Advanced IP Scanner (version 7.5.12.0, ProductCode {6FB2BB4F-67D5-4B13-8829-001C1E5E05DF}), puis déployé silencieusement sur quatre endpoints via le mécanisme MDM (MDMAppInstaller.exe / omadmclient.exe). Intune lui-même n’a pas été compromis.

⚙️ Chaîne d’exécution technique

  • Script PowerShell obfusqué stagé dans %LOCALAPPDATA%\<répertoire aléatoire>\aWhXKGlA.ps1
  • Téléchargement ou réutilisation d’un runtime Node.js légitime, renommé (FbtRYX8x.exe)
  • Exécution d’un JavaScript obfusqué (DdkExG1tIy.ini) par le runtime Node.js
  • Connexions répétées aux fournisseurs Ethereum RPC publics pour récupérer la configuration C2 via smart contracts (mécanisme dead-drop)

🌐 Fournisseurs Ethereum RPC contactés (C2 dead-drop)

  • eth.merkle.io, rpc.mevblocker.io, eth-mainnet.public.blastapi.io, eth.drpc.org, mainnet.gateway.tenderly.co, ethereum-rpc.publicnode.com, rpc.flashbots.net

🕵️ Activité post-compromission

  • Collecte d’informations système : locale Windows, antivirus installés, GPU, appartenance au domaine, Machine GUID, disques logiques
  • Énumération réseau via net session et net use
  • Capture d’écran via PowerShell (.NET System.Windows.Forms / System.Drawing), encodée en Base64 et écrite dans %LOCALAPPDATA%\Temp\ss_1790589100185.txt

🔗 Second dépôt GitHub malveillant identifié Un second dépôt GitHub impersonant Advanced IP Scanner a été découvert, distribuant un MSI malveillant (SHA-256 : 48ce8681167128a8cd84b6befd98b94d97c00a4f4868a3dbdfc01c44d887e49f, version 2.5.4594.1). Le même compte GitHub hébergeait plusieurs autres dépôts imitant des utilitaires légitimes.

📊 Corrélation avec EtherRAT La campagne s’inscrit dans un pattern documenté par Atos (avril 2026) ciblant les administrateurs via du SEO poisoning et des dépôts GitHub frauduleux imitant des outils d’administration (PsExec, AzCopy, Sysmon, LAPS, Kusto Explorer). Advanced IP Scanner constitue un nouvel exemple de leurre utilisé dans cette campagne.

📝 Type d’article : Rapport d’investigation DFIR (Field Note) — objectif principal : documenter la chaîne d’infection EtherRAT, le mécanisme de propagation via Intune, et les artefacts forensiques permettant la corrélation entre endpoints.

🧠 TTPs et IOCs détectés

TTP

  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1102 — Web Service (Command and Control)
  • T1568 — Dynamic Resolution (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1113 — Screen Capture (Collection)
  • T1082 — System Information Discovery (Discovery)
  • T1049 — System Network Connections Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1518.001 — Software Discovery: Security Software Discovery (Discovery)
  • T1072 — Software Deployment Tools (Lateral Movement)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)

IOC

  • Domaines : eth.merkle.io — VT · URLhaus · ThreatFox
  • Domaines : rpc.mevblocker.io — VT · URLhaus · ThreatFox
  • Domaines : eth-mainnet.public.blastapi.io — VT · URLhaus · ThreatFox
  • Domaines : eth.drpc.org — VT · URLhaus · ThreatFox
  • Domaines : mainnet.gateway.tenderly.co — VT · URLhaus · ThreatFox
  • Domaines : ethereum-rpc.publicnode.com — VT · URLhaus · ThreatFox
  • Domaines : rpc.flashbots.net — VT · URLhaus · ThreatFox
  • URLs : https://github.com/AdvancedIPScanner/download — URLhaus
  • SHA256 : 48ce8681167128a8cd84b6befd98b94d97c00a4f4868a3dbdfc01c44d887e49f — VT · MalwareBazaar
  • Fichiers : FbtRYX8x.exe
  • Fichiers : aWhXKGlA.ps1
  • Fichiers : DdkExG1tIy.ini
  • Fichiers : Advanced_IP_Scanner_2.5.4594.1.msi
  • Fichiers : ss_1790589100185.txt
  • Chemins : C:\Users\username\AppData\Local\WwajyG9wqS3U\aWhXKGlA.ps1
  • Chemins : C:\Program Files\nodejs\FbtRYX8x.exe
  • Chemins : C:\Users\username\AppData\Local\Temp\ss_1790589100185.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 15 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • EtherRAT (rat)
  • Node.js runtime (malicious use) (loader)

🟡 Indice de vérification factuelle : 57/100 (moyenne)

  • ⬜ dfir.ch — source non référencée (0pts)
  • ✅ 13054 chars — texte complet (15pts)
  • ✅ 17 IOCs dont des hashes (15pts)
  • ✅ 2/5 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 18 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 48ce8681167128a8… (sha256) → VT (8/76 détections)
  • rpc.mevblocker.io (domain) → VT (3/92 détections)

🔗 Source originale : https://dfir.ch/posts/field_notes_etherrat/

🖴 Archive : https://web.archive.org/web/20261015071442/https://dfir.ch/posts/field_notes_etherrat/