Payouts King : le faux support Teams qui installe Edgecution via Quick Assist

Zscaler ThreatLabz a documenté une campagne baptisée Edgecution, opérée par un courtier d'accès lié au rançongiciel Payouts King. Son intérêt tient à deux détails : le vecteur d'entrée, un faux support informatique sur Microsoft Teams couplé à Quick Assist, et la charge finale, une extension Microsoft Edge qui parvient à sortir du bac à sable du navigateur pour prendre le contrôle de l'hôte. C'est une chaîne entièrement bâtie sur des outils légitimes, ce qui la rend particulièrement discrète.

Le vecteur : Teams plus Quick Assist

L'attaque s'ouvre par un message Microsoft Teams où l'expéditeur se fait passer pour le service informatique de l'entreprise et prétend qu'un filtre anti-spam doit être mis à jour. La victime est invitée à rejoindre un appel Teams, puis à lancer Quick Assist, l'outil d'assistance à distance intégré à Windows. Une fois la session d'assistance établie, l'attaquant dépose sa charge. C'est la technique T1219 (Remote Access Software) précédée d'un hameçonnage par messagerie interne, T1566.

Ce schéma est redoutable parce que Quick Assist est un outil Microsoft légitime, présent par défaut, souvent utilisé par les vrais services informatiques. Le distinguer d'un usage malveillant demande de regarder le contexte : Quick Assist lancé peu après un contact Teams non sollicité, suivi de l'exécution de scripts et du dépôt d'archives.

Les scripts d'installation déballent une archive ZIP chiffrée et déguisée, contenant un environnement d'exécution Python embarqué, l'extension malveillante et une porte dérobée.

La charge : une extension Edge qui sort du bac à sable

Le coeur technique d'Edgecution est une extension de navigateur Microsoft Edge malveillante qui exploite le protocole de messagerie native de Chrome, le native messaging, pour interagir avec des applications de l'hôte au delà des limites du bac à sable du navigateur. C'est la technique T1176 (Browser Extensions). Le native messaging est un mécanisme légitime qui permet à une extension de communiquer avec un programme installé sur la machine. Détourné, il donne à l'extension un pont vers l'hôte : manipulation du système de fichiers local, lancement de processus, exécution de code arbitraire.

Le point de détection stable ici est l'enregistrement d'un hôte de messagerie native pointant vers un exécutable non standard, et le lancement par msedge.exe d'un processus hôte inhabituel comme un interpréteur Python embarqué.

Deux règles Sigma pour la chaîne

La première règle surveille le lancement de Quick Assist, à corréler avec l'activité Teams pour lever le doute.

title: Quick Assist lance sur un poste (a correler avec contact Teams)
id: 8c1f4a26-3d70-4b95-9e2a-6f0b7c1d5e38
status: experimental
description: >
  Detecte le lancement de quickassist.exe, outil d assistance a distance abuse
  par la campagne Edgecution apres un faux contact support sur Teams.
references:
  - https://www.zscaler.com/blogs/security-research/payouts-king-takes-aim-ransomware-throne
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\quickassist.exe'
  condition: selection
falsepositives:
  - Usage legitime par le support IT, a correler avec un ticket declare
level: medium
tags:
  - attack.command_and_control
  - attack.t1219

La seconde vise l'abus de messagerie native : Edge lançant un processus hôte non signé ou situé dans un chemin utilisateur, marqueur de l'extension qui franchit le bac à sable.

title: Edge lance un hote de messagerie native suspect
id: 2f9d3b71-6a04-4c18-8e5f-1c7b0d9e2a46
status: experimental
description: >
  Detecte msedge.exe lancant un processus hote depuis un chemin utilisateur ou
  un runtime embarque, schema d abus native messaging (Edgecution).
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\msedge.exe'
    Image|contains:
      - '\AppData\'
      - '\Temp\'
    Image|endswith:
      - '\python.exe'
      - '\pythonw.exe'
  condition: selection
falsepositives:
  - Rare, extensions legitimes utilisant un hote natif installe proprement
level: high
tags:
  - attack.persistence
  - attack.t1176

Les mesures qui coupent la chaîne

Trois contrôles réduisent fortement le risque. D'abord, restreindre Quick Assist : si votre support n'utilise pas cet outil, il peut être désactivé, ce qui neutralise le vecteur d'entrée. Ensuite, limiter les messages Teams entrants provenant d'organisations externes, car le faux support s'appuie souvent sur des locataires externes se faisant passer pour le service informatique. Enfin, encadrer l'installation d'extensions de navigateur par une politique d'entreprise, en n'autorisant que les extensions approuvées, ce qui bloque le dépôt d'une extension malveillante même si l'hôte est atteint.

Le fil conducteur, comme pour ClickFix, est que l'attaque déplace l'exécution vers l'utilisateur légitime via des outils de confiance. La détection ne se joue donc pas sur un binaire malveillant, mais sur l'enchaînement contextuel : contact externe, outil d'assistance, extension, pont natif.

C'est exactement l'approche du feed Sigma ThreatClaw : des règles construites sur les enchaînements comportementaux et le contexte d'exécution, testées avant publication pour rester exploitables sans noyer l'équipe sous les faux positifs.