https://cyberveille.ch/tags/chargeur-multi-%C3%A9tapes/ Recent content in Chargeur Multi-Étapes on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-sectoprat-dissimule-dans-un-logiciel-legitime-via-un-chargeur-multi-etapes/ Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-sectoprat-dissimule-dans-un-logiciel-legitime-via-un-chargeur-multi-etapes/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 24 septembre 2026 par Xiaopeng Zhang (FortiGuard Labs / FGIR), cet article présente l&rsquo;analyse technique d&rsquo;un incident impliquant une variante de <strong>SectopRAT</strong> (alias ArechClient2), un <strong>RAT .NET</strong> dissimulé dans un logiciel audio légitime développé par une entreprise italienne.</p> <h2 id="-vecteur-dinfection-et-structure-malveillante">🧩 Vecteur d&rsquo;infection et structure malveillante</h2> <p>Le dossier malveillant, localisé sous <strong><code>C:\ProgramData</code></strong> (hors du répertoire d&rsquo;installation normal), contient :</p> <ul> <li><code>ReportDump.exe</code> : composant légitime du logiciel, configuré comme <strong>tâche planifiée Windows</strong></li> <li><code>FrameworkBase.dll</code> : <strong>falsifiée</strong> pour importer <code>sdkcra.dll</code> via modification de l&rsquo;IAT</li> <li><code>sdkcra.dll</code> : DLL d&rsquo;entrée malveillante</li> <li><code>Activation.Desktop.db</code> : contient du code ASM chiffré</li> <li><code>pool.db</code> : contient le payload SectopRAT chiffré</li> </ul> <p>L&rsquo;analyse exclut une attaque de la chaîne d&rsquo;approvisionnement : le logiciel légitime a été <strong>modifié localement</strong> sans compromission du fournisseur.</p>