Classification de l’événement
UUID MISP : 32b4a6e2-2b7d-45fc-bcf7-9d7d24e73b55
Secteurs ciblés :
- Finance
- Commerce de détail
Régions ciblées :
- Asie de l'est
Systèmes ciblés : Windows
Vecteurs d'attaque : Application piégée
Niveau de confiance : Elevé
Description :
Ces IOC sont issus d'un article de Fortinet qui analyse une campagne utilisant le malware ValleyRAT ciblant les locuteurs chinois. Ce malware, qui vise les systèmes Windows, a été historiquement utilisé contre des entreprises dans les secteurs de l'e-commerce, des finances, des ventes et de la gestion.
La campagne actuelle se distingue par l'utilisation de fichiers exécutables déguisés en documents financiers légitimes pour inciter les victimes à les exécuter. ValleyRAT, un malware multi-étapes, utilise massivement du shell code pour exécuter ses composants directement en mémoire, minimisant ainsi son empreinte sur le disque du système infecté.
L'infection commence par un loader qui utilise des techniques d'évasion telles que le "sleep obfuscation" et la détection de sandbox. Une fois le système compromis, la chaîne d'infection télécharge et exécute des composants supplémentaires, notamment des modules de communication avec un serveur de commande et de contrôle (C2), un chargeur de code distant, et finalement, la payload principale de ValleyRAT. Le malware est conçu pour persister sur le système, contourner les solutions de sécurité, et exécuter des commandes permettant de surveiller et de contrôler le système de la victime.