14 nouvelles familles de malware couvertes : le lot YARA de juin

Détecter ce qui circule maintenant, pas ce qui circulait il y a six mois

Entre le moment où une souche de malware commence à se répandre et celui où un jeu de règles public la reconnaît, il s'écoule souvent des semaines. C'est une fenêtre pendant laquelle un antivirus à jour ne voit rien, et pendant laquelle un attaquant travaille tranquillement.

Chaque mois, nous analysons le dernier lot d'échantillons réellement observés dans la nature et nous en dérivons nos propres règles de détection. Le lot de juin apporte 14 nouvelles familles au feed YARA de ThreatClaw.

Quatorze familles, mais 391 règles de détection : en moyenne près de 28 règles par famille. Une famille de malware n'est pas un objet unique, c'est une lignée de variantes, recompilées, réempaquetées, légèrement modifiées à chaque campagne. Nous couvrons chacune sous plusieurs angles : des règles qui reconnaissent l'échantillon précis, et des règles transverses qui capturent les traits partagés par toute la lignée, y compris les variantes que nous n'avons pas encore vues.

Nous annonçons quand même 14 familles, pas 391, parce que c'est le chiffre honnête : les 391 mesurent la profondeur de notre couverture, pas un nombre de menaces distinctes. Une famille de plus, c'est une menace de plus que votre parc reconnaît, et derrière chacune, un filet de règles, pas une signature unique qu'un attaquant contourne en recompilant.

Ce que ce lot couvre, précisément

Vos serveurs Linux, deux familles

• Prometei, un botnet modulaire qui s'installe durablement sur les serveurs Linux : il détourne la puissance de calcul, collecte des identifiants et se propage latéralement dans le réseau. C'est l'archétype de la compromission qui passe inaperçue pendant des mois, parce qu'elle ne casse rien.
• Une porte dérobée Linux générique, un accès distant persistant, la porte que l'attaquant garde ouverte pour revenir.

Les serveurs Linux sont l'angle mort classique des PME : très peu de parcs les surveillent avec la même rigueur que les postes Windows. C'est précisément là que se logent le minage, le rebond et l'exfiltration.

Vos postes Windows, trois familles

• Une famille d'injection de code, la technique consiste à faire exécuter la charge malveillante par un processus légitime, pour se fondre dans l'activité normale de la machine.
• Un espiogiciel, orienté vol de données et d'identifiants.
• Un cheval de Troie polyvalent, la famille la plus large du lot côté Windows.

Vos pièces jointes bureautiques, une famille

• Un cheval de Troie embarqué dans des documents Office, le vecteur d'entrée le plus banal et le plus efficace qui soit : une pièce jointe qui a l'air d'un devis, d'une facture ou d'un CV. C'est la famille la plus finement couverte de ce lot.

Vos terminaux mobiles, une famille

• Un cheval de Troie Android, pour les parcs où les téléphones accèdent à la messagerie et aux applications métier, c'est-à-dire à peu près tous.

La première marche d'une intrusion : scripts et téléchargeurs, sept familles

• Trois familles de téléchargeurs en script shell, le petit script qui s'exécute en premier et va chercher le reste. L'attraper là, c'est arrêter l'attaque avant sa charge utile.
• Une famille de scripts obfusqués, du code volontairement rendu illisible pour échapper à l'analyse.
• Une famille Java, multiplateforme par nature.
• Deux familles multiplateformes, capables de s'exécuter sur plusieurs systèmes d'exploitation.

Ces sept familles sont les moins spectaculaires et les plus utiles. Un téléchargeur détecté, c'est un ransomware qui ne se déclenche jamais.

La partie que personne ne montre : la preuve qu'elles ne crient pas au loup

Une règle de détection trop large est pire qu'une absence de règle. Elle noie l'équipe sous les alertes, et au bout de trois semaines plus personne ne les lit. C'est ainsi que des attaques réelles passent au milieu du bruit.

Alors nous mesurons. Chaque règle de ce lot a été passée sur un ensemble de 5 694 fichiers légitimes : exécutables et pilotes Windows signés par Microsoft, binaires système Linux, applications macOS. Le résultat exigé était zéro, et le résultat obtenu est zéro déclenchement.

Ce chiffre n'est pas un argument commercial, c'est un critère de sortie : une règle qui échoue à ce test ne part pas. Sur ce même lot, une famille a été écartée parce qu'elle réagissait sur 53 fichiers parfaitement sains. Elle n'est pas dans le feed, et c'est très bien ainsi.

Nous validons également que chaque règle se compile sur le moteur YARA réel, celui que fait tourner votre EDR, et non sur une approximation.

Ce que ça change concrètement

Ces règles s'intègrent au feed YARA de ThreatClaw, chargeable dans votre EDR, vos scanners DFIR, votre passerelle de messagerie ou vos outils d'analyse de fichiers. Elles arrivent avec le reste du feed, signées et vérifiables.

Elles font partie de notre set exclusif : ce sont des détections que nous écrivons, que vous ne trouverez pas dans les dépôts publics, et qui sont réservées aux abonnés.

Et le mois prochain, il y en aura d'autres, parce que le mois prochain il y aura de nouvelles familles. C'est exactement le principe.

Vous voulez savoir ce que votre dispositif actuel ne voit pas ? Découvrez le feed YARA de ThreatClaw, licences vérifiées, validation anti-faux-positifs fournie avec le pack, mise à jour continue.