https://cyberveille.ch/tags/c2-encoding/ Recent content in C2 Encoding on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-backdoor-windows-custom-dissimulant-son-c2-dans-les-espaces-d-un-fichier-desktop-ini/ Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-backdoor-windows-custom-dissimulant-son-c2-dans-les-espaces-d-un-fichier-desktop-ini/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 14 août 2026 par le chercheur Milánek sur le blog de Gen Digital, cet article présente l&rsquo;analyse technique complète d&rsquo;un <strong>backdoor Windows personnalisé</strong> découvert sur un unique poste de travail d&rsquo;entreprise lors d&rsquo;une chasse aux persistances WMI inhabituelles.</p> <h2 id="-cible-et-contexte-de-découverte">🎯 Cible et contexte de découverte</h2> <ul> <li><strong>Un seul hôte</strong> : poste de travail Windows 7 SP1 64 bits, joint à un domaine</li> <li>L&rsquo;implant était déjà en place avant l&rsquo;installation du logiciel de protection</li> <li>Aucun second stage ni tâche capturée</li> <li>Prévalence VirusTotal : <strong>zéro occurrence</strong> sur plus de 5 ans</li> <li>Aucun acteur connu identifié</li> </ul> <h2 id="-mécanisme-de-persistance-wmi">⚙️ Mécanisme de persistance WMI</h2> <p>Une <strong>souscription WMI</strong> nommée <code>&quot;Realtek&quot;</code> surveille <code>Win32_LocalTime</code> pour l&rsquo;heure <strong>19h50</strong> et exécute un binaire nommé <strong>RtkNGUI64.exe</strong> (nom légitime du panneau audio Realtek) via le chemin court <code>Progra~1</code>. La persistance survit aux redémarrages mais ne s&rsquo;active qu&rsquo;une fois par soir.</p>