AsyncRAT

🔍 Contexte Publié le 17 août 2026 par PolySwarm (The Hivemind), cet article analyse l’Opération GitPower, une campagne d’espionnage cyber attribuée au groupe nord-coréen Kimsuky, détaillée initialement par le Genians Security Center. 🎯 Cibles et objectifs La campagne cible principalement : Organisations politiques et académiques Missions diplomatiques et ambassades Institutions militaires et de sécurité Chercheurs en sécurité Secteur des actifs virtuels (cryptomonnaies) La région principalement visée est la Corée du Sud. ...

🔍 Contexte Publié le 9 août 2026 par le Genians Security Center (source : genians.co.kr), ce rapport de threat intelligence documente Operation GitPower, une campagne attribuée au groupe nord-coréen Kimsuky (opérant sous le Reconnaissance General Bureau). Il s’inscrit dans la continuité de la campagne FlowerPower (2023) et d’une campagne de 2024 déguisée en éditorial de Nouvel An. 🎯 Vecteurs d’accès initial Distribution de fichiers ZIP contenant des LNK malveillants déguisés en documents professionnels (formulaires d’honoraires, correspondances d’ambassade, notes de concept d’événements éducatifs internationaux) Spear phishing ciblant des professionnels en politique, diplomatie, sécurité, actifs virtuels et finance Les LNK contiennent des arguments de ligne de commande PowerShell obfusqués (~3 800 caractères) avec ~300 espaces consécutifs pour masquer le script 🤖 Usage de l’IA générative Depuis 2026, Kimsuky utilise des documents leurres générés par IA (PDF sur actifs virtuels, finance, développement de jeux) présentant une structure homogène et un style soigné Métadonnées révélatrices : auteur python-docx, créateur WPS 文字, timestamps de création identiques à la seconde près Expérimentation confirmée avec Ollama, GPT4All, Msty (LLM locaux), RAG et Cursor L’IA permet l’automatisation et la production à grande échelle d’attaques de social engineering ⚙️ Chaîne d’exécution technique LNK → décodage Base64 custom (table de caractères + opérations bitwise) → %TEMP%\poqpwoqwdjoweij.ps1 Téléchargement d’un PDF leurre depuis GitHub Raw Content (riudxkfngidruhkr.pdf) → ouverture pour tromper la victime Création de %AppData%\irujkdnjhgttrhdkfdu.ps1 + tâche planifiée (ZHUYHJGTYTFSUHIPOKLKHJHUYGVHGNFH) exécutée toutes les 30 minutes Téléchargement de scripts supplémentaires (priujghtjytfcghffgt.txt, bhjfjkfgrtwehjbfgcf.txt) depuis GitHub Collecte d’informations système (IP, OS, processus) → fichiers nommés <IP>-<MMDD_HHMM>-XXX-kkk.txt 🗄️ Infrastructure C2 Git-based Dépôts GitHub et GitLab publics utilisés comme C2 et canaux de distribution Payloads AsyncRAT chiffrés RC4 déguisés en fichiers image PNG (apple.png, fox.png, lion.png, rabbit.png, wolf.png) Outil rTom.exe_r utilisé avec les payloads AsyncRAT IP de test 169.254.33[.]137 (OPSEC failure) C2 opérationnel : 112.216.9[.]171 (Corée du Sud) Tokens d’accès GitHub (PAT) codés en dur dans les scripts (depuis révoqués) URLs construites par concaténation de chaînes ("ht"+"t"+"ps") pour contourner la détection 📌 Indicateurs nord-coréens Terminologie caractéristique : Arirang, 싸이트, 가입리력, 로출되였는지 ...

📰 Source : Ransom-ISAC (ransom-isac.org), publié le 27 juillet 2026. Article de recherche documentant une méthodologie complète de collecte et d’analyse de renseignement sur les malwares utilisant l’API Telegram comme infrastructure C2. 🎯 Contexte L’API Telegram Bot est massivement exploitée par des auteurs de malwares comme canal d’exfiltration et de commande/contrôle (C2). Le principe : un token bot et un chat_id embarqués dans le binaire permettent d’envoyer les données volées directement dans un chat Telegram via api.telegram.org, sans infrastructure propre à gérer. Cette même exposition permet à un analyste de récupérer ces credentials et d’interroger l’API pour obtenir des renseignements sur l’opérateur. ...

🔍 Contexte Article de recherche publié le 16 juillet 2026 par Toni Dujmović, analyste chez ReversingLabs, basé sur une investigation réelle déclenchée par une attaque de type watering hole ciblant le site d’une association étudiante universitaire. 🎯 Mécanisme d’attaque ClickFix ClickFix est une technique d’ingénierie sociale qui exploite la confiance des utilisateurs plutôt que leurs lacunes en connaissances. Le déroulement type : La victime atterrit sur une page frauduleuse imitant une vérification Google, une mise à jour navigateur ou une erreur Cloudflare Un script JavaScript écrit silencieusement une commande malveillante dans le presse-papiers de la victime avant toute interaction La victime est invitée à ouvrir le dialogue Windows Run (Win+R) ou le Terminal macOS, coller la commande et l’exécuter Le payload s’exécute entièrement en mémoire, sans toucher le disque La chaîne d’exécution passe par des binaires système légitimes signés (PowerShell, mshta.exe, curl, rundll32.exe) — technique LOLBaS 🏭 Industrialisation via MaaS ClickFix est désormais un Malware-as-a-Service (MaaS) mature : ...

🔍 Contexte Le 13 juillet 2026, l’équipe CTI de Lexfo publie une analyse approfondie issue de la découverte, fin avril 2026, d’un répertoire ouvert sur le serveur 185.163.204.7 (Budapest, AS56322 ServerAstra Kft.). Un serveur Python HTTP (python3 -m http.server 8080) exposait publiquement l’intégralité d’une plateforme d’attaque active : configurations Evilginx, logs de capture, archives, installeurs RMM, combolists et fichiers de session Telegram. 👤 Acteurs identifiés codemado est un opérateur égyptien actif depuis 2018, identifié via .bash_history, un fichier de session Telegram (SQLite), des commentaires en arabe dans ses scripts, et une présence sur BlackHatWorld/CrackingX. Il opère sous les alias MaDoO, MaDosc, MADO. Il déploie une plateforme AiTM complète sur picis.net (enregistré le 13 mars 2026) avec un arsenal de 7 outils RMM et distribue MaDoO Blaster v4.7.3, un outil de spam/phishing commercial connecté à l’écosystème cybercriminel The Quarry de RockyBelling. ...

📅 Source : Censys Blog, publié le 26 juin 2026, par Aidan Holland (Senior Security Researcher, Censys ARC). Contexte AsyncRAT est un cheval de Troie d’accès distant (RAT) open-source pour Windows, publié en janvier 2019 par le développeur NYAN-x-CAT sur GitHub. Il constitue la racine d’une famille de malwares ayant engendré environ 40 variants nommés à travers trois générations de forks successifs. Arbre généalogique de la famille La lignée s’organise ainsi : ...

🔍 Contexte Publié le 25 juin 2026 par Group-IB (blog officiel), cet article présente une analyse technique approfondie du Millenium RAT version 4.*, un cheval de Troie d’accès à distance (RAT) initialement documenté par CYFIRMA en novembre 2023 (version 2.4). L’analyse couvre l’évolution architecturale du malware, son modèle de distribution, les campagnes actives et la victimologie mondiale. 🏗️ Évolution architecturale majeure La version 4.* marque un changement architectural critique : le malware abandonne le framework .NET au profit d’une application native C++, supprimant toute dépendance au runtime .NET. La communication C2 repose exclusivement sur l’API Telegram Bot via libcurl, sans infrastructure serveur dédiée. La configuration est chargée depuis une ressource PE embarquée (RCDATA), encodée en Base64 et chiffrée via un algorithme XOR personnalisé avec mot de passe intégré dans le PE. ...

🔍 Contexte Publié le 20 avril 2026 par Euler Neto sur le blog Secplicity de WatchGuard, cet article présente une analyse technique de deux campagnes de phishing identifiées par la télémétrie WatchGuard, toutes deux visant à déployer le malware FormBook sur des systèmes Windows. 🎯 Ciblage géographique Les campagnes ciblent des entreprises situées en : Grèce Espagne Slovénie Bosnie-Herzégovine Amérique latine et centrale Les pièces jointes malveillantes portent des noms liés à des commandes ou paiements, rédigés dans la langue locale des victimes. ...

🌐 Contexte Publié le 7 avril 2026 par Lumen Technologies (source : ir.lumen.com), ce rapport annuel « Defender Threatscape 2026 » est produit par Black Lotus Labs, la division de recherche et d’opérations sur les menaces de Lumen. Il s’appuie sur une visibilité backbone couvrant 99% des adresses IPv4 publiques, avec monitoring quotidien de plus de 200 milliards de sessions NetFlow et requêtes DNS, 2,3 millions de menaces uniques et 46 000 C2 suivis chaque jour. ...

🔍 Contexte Publié le 2 avril 2026 par Censys (auteur : Andrew Northern, Principal Security Researcher), cet article présente une découverte CTI issue d’une méthodologie de chasse technique basée sur l’analyse des corps de réponses HTTP à l’échelle d’Internet. La recherche a permis de surface une campagne ClickFix active livrant XWorm V5.6 via le loader MaaS PhantomVAI. 🎯 Vecteur d’entrée et infrastructure compromise Le point d’entrée est le site d’une entreprise turque de matériel médical, orcanmedikal[.]com[.]tr, dont tous les sous-domaines (naked domain, www, mail) servent une page identique de 1 655 octets intitulée “AntiFraud Authenticator”. Cette page ClickFix invite la victime à cliquer sur un bouton COPY, ce qui copie silencieusement une commande PowerShell encodée dans le presse-papiers via navigator.clipboard.writeText(). ...