EtherRAT distribué via un faux installeur Advanced IP Scanner importé dans Microsoft Intune

Mon, 19 Oct 2026 00:00:00 +0200

📅 Source : dfir.ch, publié le 14 octobre 2026 — Field Note d’investigation DFIR portant sur une infection par EtherRAT détectée via Microsoft Defender for Endpoint.

🔍 Contexte de découverte L’investigation a débuté suite à une alerte Microsoft Defender for Endpoint signalant une activité suspecte de capture d’écran via PowerShell. L’analyse de la chaîne d’exécution a révélé un binaire renommé FbtRYX8x.exe (runtime Node.js) communiquant avec plusieurs fournisseurs publics d’Ethereum RPC, comportement caractéristique d’EtherRAT, un backdoor Node.js documenté par Atos Threat Research Center, The DFIR Report et Malwarebytes.

Node.js Runtime (Malicious Use) on CyberVeille

EtherRAT distribué via un faux installeur Advanced IP Scanner importé dans Microsoft Intune