Logiciel malveillant CR4T utilisé dans la campagne DuneQuixote

Les organismes gouvernementaux du Moyen-Orient sont devenus la cible d'une opération non divulguée visant à introduire un nouveau point d'entrée clandestin connu sous le nom de CR4T.

Selon les chercheurs en cybersécurité, cette activité a été découverte en février 2024, ce qui indique une activité potentielle remontant à au moins un an. Baptisée DuneQuixote, la campagne a été exécutée avec des tactiques visant à contrecarrer la détection et l'analyse, à la fois dans les canaux de communication et au sein du malware lui-même.

Chaîne d'attaque CR4T

L'attaque commence par un compte-gouttes, disponible sous deux formes : un fichier exécutable ou DLL standard et un programme d'installation modifié pour l'outil légitime Total Commander. Quelle que soit la variante, la tâche principale du dropper est d'extraire une adresse de commande et de contrôle (C2) cryptée à l'aide d'une méthode innovante pour masquer l'emplacement du serveur, empêchant ainsi une détection facile par des outils d'analyse automatisés.

Ce processus consiste à combiner le nom de fichier du compte-gouttes avec des extraits sélectionnés de poèmes espagnols dans le code, puis à générer un hachage MD5 pour décrypter l'adresse du serveur C2.

Une fois connecté au serveur C2, le dropper récupère une charge utile ultérieure, à condition qu'il présente une chaîne User-Agent prédéfinie dans la requête HTTP. L'accès à cette charge utile est restreint, nécessitant le bon User-Agent ou étant disponible pour une durée limitée après la publication d'un exemple de logiciel malveillant.

Pendant ce temps, le programme d'installation du cheval de Troie Total Commander conserve la fonction principale du compte-gouttes mais intègre des modifications. Il élimine les chaînes de poèmes espagnols et ajoute des contrôles anti-analyse supplémentaires, empêchant les connexions au serveur C2 dans des conditions spécifiques, telles que la présence d'outils de débogage, l'absence de mouvement du curseur après une période définie, une RAM ou un espace disque insuffisant.

CR4T, codé en C/C++, est un implant mémoire uniquement facilitant l'accès des attaquants via une console de ligne de commande, effectuant des opérations sur les fichiers et échangeant des données avec le serveur C2.