https://cyberveille.ch/tags/winring0.sys/ Recent content in WinRing0.sys on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-chaine-d-infection-multi-etapes-powershell-en-registre-vers-minage-crypto-en-memoire/ Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-chaine-d-infection-multi-etapes-powershell-en-registre-vers-minage-crypto-en-memoire/ <h2 id="-contexte">🔍 Contexte</h2> <p>Analyse publiée le 18 septembre 2026 par K7 Computing Labs (<a href="https://labs.k7computing.com">https://labs.k7computing.com</a>), suite à l&rsquo;investigation d&rsquo;un système présentant des alertes fréquentes liées à des exécutions PowerShell. L&rsquo;analyse a révélé une <strong>chaîne d&rsquo;infection multi-étapes</strong> reposant massivement sur l&rsquo;obfuscation, le stockage de payloads dans le registre, la livraison covert de données, des mécanismes de persistance, la neutralisation des contrôles de sécurité et l&rsquo;exécution en mémoire.</p> <h2 id="-phase-1--exécution-powershell-via-le-registre-et-livraison-png">🧩 Phase 1 : Exécution PowerShell via le registre et livraison PNG</h2> <p>Le vecteur initial est un script PowerShell (<code>vstdfehze.ps1</code>) exécuté avec <code>-executionPolicy Bypass</code> qui récupère dynamiquement un payload encodé depuis la clé de registre <code>HKLM:\Software\uf42a9660377\vstdfehzr</code>. Le script :</p>