Intrusion de 2 mois attribuée à LUNAR SPIDER: chaîne Latrodectus → Brute Ratel → Cobalt Strike et exfiltration via rclone
Source: The DFIR Report (30 sept. 2025). Contexte: incident survenu en mai 2024, démarré par l’exécution d’un JavaScript Latrodectus 1.3 déguisé en formulaire fiscal W‑9, menant au déploiement de Brute Ratel puis Cobalt Strike, et à une présence quasi continue durant près de deux mois. • Chaîne d’intrusion: un JS fortement obfusqué télécharge un MSI qui lance un DLL Brute Ratel (via rundll32), lequel injecte Latrodectus dans explorer.exe et établit des C2 (souvent derrière Cloudflare). Le stealer Latrodectus est récupéré, puis, ~1 h après l’accès initial, début de la reconnaissance (ipconfig, systeminfo, nltest, whoami). ~6 h après, mise en place d’un BackConnect/VNC opérationnel pour navigation, dépôts d’outils et contrôle à distance. ...