Détecter Phobos : ce qu'un ransomware fait vraiment, et la règle qui l'arrête

La plupart des articles sur un ransomware se contentent de recopier un rapport. Nous, on l'a détoné. Un échantillon Phobos vivant, exécuté dans notre laboratoire isolé, sous instrumentation complète. Voici ce qu'il a fait, pas à pas, et la règle de détection qu'on en a tirée, validée sur plusieurs échantillons distincts.

Le scénario, observé en direct

À la seconde où l'échantillon s'exécute (depuis %Temp%), la chaîne se déroule :

1. Le binaire lance cmd.exe.
2. Depuis cmd.exe, il appelle vssadmin pour supprimer les clichés instantanés (shadow copies) : vos points de restauration Windows partent en fumée.
3. Toujours via cmd.exe, il désactive le pare-feu Windows avec netsh.
4. Il chiffre les fichiers et dépose des dizaines d'artefacts sur le disque (fichiers chiffrés et note de rançon).

Notre instrumentation a confirmé, sans ambiguïté, les comportements marquants : suppression anormale de fichiers, accès aux dossiers publics, temporisations anti-sandbox, reconnaissance de l'environnement (nom de machine, disposition clavier, locale). Le manuel classique du ransomware ciblé.

Pourquoi c'est grave

Les deux premières actions sont les plus vicieuses, et elles arrivent avant le chiffrement :

• Plus de restauration. En supprimant les clichés instantanés, Phobos vous prive de la récupération Windows native. Quand la note de rançon s'affiche, il est déjà trop tard pour un simple retour arrière.
• Pare-feu à terre. Couper le pare-feu ouvre la voie à la propagation et à l'exfiltration.

Autrement dit : le ransomware prépare le terrain avant de chiffrer. Et c'est précisément là, dans cette fenêtre, qu'il faut le détecter, pas quand les fichiers sont déjà perdus.

La détection : viser le comportement, pas l'échantillon

De cette détonation, nous avons forgé une règle Sigma qui cible la séquence caractéristique : cmd.exe orchestrant la destruction des sauvegardes et du pare-feu :

title: Phobos Ransomware Shadow Copy Deletion and Firewall Disabling via cmd.exe
logsource:
  category: process_creation
  product: windows
detection:
  selection_parent:
    ParentImage|endswith: '\cmd.exe'
  selection_vssadmin:
    Image|endswith: '\vssadmin.exe'
    CommandLine|contains|all: ['delete', 'shadows']
  selection_wmic:
    Image|endswith: '\wmic.exe'
    CommandLine|contains|all: ['shadowcopy', 'delete']
  selection_netsh_fw:
    Image|endswith: '\netsh.exe'
    CommandLine|contains|all: ['advfirewall', 'state off']
  condition: selection_parent and (selection_vssadmin or selection_wmic or selection_netsh_fw)
level: high
tags: [attack.t1490, attack.t1562.001, attack.t1562.004, attack.t1059.003]

ATT&CK : T1490 (Inhibit System Recovery), T1562.001/004 (Impair Defenses : outils et pare-feu), T1059.003 (Windows Command Shell).

Ce qui distingue cette règle

Elle ne cherche pas un hash, un nom de fichier ni un mutex : ces indicateurs changent d'un échantillon à l'autre et périment en quelques heures. Elle cible l'ADN comportemental de la famille : supprimer les sauvegardes et couper les défenses via l'interpréteur de commandes.

Résultat concret : forgée depuis un échantillon, testée sur quatre détonations Phobos distinctes, elle en détecte trois sur quatre : zéro faux positif sur notre corpus de binaires légitimes. (Le quatrième échantillon a repéré le bac à sable et n'a rien exécuté, d'où l'intérêt de détoner plusieurs variantes.) Une règle qui généralise à la famille, pas à un exemplaire.

Et comme ces techniques (effacer les clichés instantanés, désactiver le pare-feu en ligne de commande) sont partagées par de nombreuses familles de ransomware, cette règle attrape bien plus que Phobos.

Comment l'utiliser

Cette règle est incluse dans le feed de détection ThreatClaw, prête à charger dans votre SIEM ou EDR (Sigma, convertible vers votre backend). Elle fait partie d'un lot forgé depuis nos propres détonations, pas recopié d'ailleurs, et validé contre les faux positifs.

On ne se contente pas de lister des menaces. On les exécute, on regarde ce qu'elles font, et on écrit la détection qui tient.

Détonation réalisée en laboratoire isolé, sans aucune connexion vers l'extérieur. Aucun identifiant victime n'est publié.