https://cyberveille.ch/tags/ftk-imager/ Recent content in FTK Imager on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 16 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-16-qemu-detourne-pour-masquer-des-activites-malveillantes-et-deployer-le-ransomware-payoutsking/ Thu, 16 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-16-qemu-detourne-pour-masquer-des-activites-malveillantes-et-deployer-le-ransomware-payoutsking/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 16 avril 2026 par Sophos, cet article documente l&rsquo;abus actif de <strong>QEMU</strong> (émulateur open-source) par des acteurs malveillants pour dissimuler leurs activités au sein d&rsquo;environnements virtualisés, contournant ainsi les contrôles de sécurité des endpoints.</p> <h2 id="-campagne-stac4713-depuis-novembre-2025">🎯 Campagne STAC4713 (depuis novembre 2025)</h2> <p>Associée au groupe <strong>GOLD ENCOUNTER</strong> et au ransomware <strong>PayoutsKing</strong>, cette campagne utilise QEMU comme backdoor SSH inversé covert :</p> <ul> <li><strong>Persistance</strong> : tâche planifiée nommée <code>TPMProfiler</code> lançant <code>qemu-system-x86_64.exe</code> sous le compte SYSTEM</li> <li><strong>Déguisement</strong> : image disque masquée en <code>vault.db</code> puis en <code>bisrv.dll</code> (janvier 2026)</li> <li><strong>Port forwarding</strong> vers les ports 32567, 22022 → port 22 (SSH)</li> <li><strong>VM Alpine 3.22.0</strong> contenant : AdaptixC2 (tinker2), wg-obfuscator, BusyBox, Chisel, Rclone</li> <li><strong>Vol de credentials</strong> : copie de <code>NTDS.dit</code>, ruches SAM et SYSTEM via VSS et commande <code>print</code> sur SMB</li> <li><strong>Accès initial</strong> : VPN SonicWall exposés sans MFA, puis exploitation de <strong>CVE-2025-26399</strong> (SolarWinds Web Help Desk)</li> </ul> <p><strong>Évolution en février 2026</strong> : abandon de QEMU, accès via VPN Cisco SSL, ingénierie sociale via Microsoft Teams/QuickAssist, sideloading d&rsquo;un payload <strong>Havoc C2</strong> (<code>vcruntime140_1.dll</code>) via <code>ADNotificationManager.exe</code>, exfiltration via Rclone vers SFTP.</p>