Threat hunting sur Stuxbot avec Elastic

TL;DR#

Hunt guidé par un rapport de threat intel sur Stuxbot (cybercrime, phishing opportuniste "anyone, anytime", motivation espionnage, cible Windows, risque critique). Hypothèse de départ : un email de phishing a livré avec succès un fichier OneNote malveillant (invoice.one). L'hypothèse conditionne la séquence de recherche : partir d'un hash exécuté aurait donné une autre séquence. Chaîne d'attaque reconstruite via les logs Elastic (Sysmon + Windows audit + PowerShell + Zeek) : 1. Bob télécharge invoice.one depuis file.io via MSEdge (Sysmon EID 15, puis corrélation Zeek DNS/connexions car Sysmon ne logge pas les connexions navigateur). Machine WS001 / 192.168.28.130, le 26/03/2023 22:05:47 (Europe/Copenhagen). 2. Ouverture avec OneNote 6s plus tard (EID 1, process.command_line:*invoice.one*). 3. ONENOTE.EXE → cmd.exe exécute invoice.bat depuis un dossier temp (EID 1, process.parent.name:"ONENOTE.EXE"). 4. invoice.bat → powershell.exe qui télécharge et exécute un script depuis Pastebin (stage 0). process.parent.command_line:*invoice.bat*. 5. Le PowerShell (PID 9944) : création de fichiers, DNS pour ngrok.io (C2 masqué, trafic chiffré port 443), dépôt de default.exe (persistance), requêtes DNS et connexions vers DC1. 6. default.exe : hash SHA256 = IOC du rapport. Exécuté, lance des DNS ngrok, upload svchost.exe, SharpHound.exe, payload.exe, un VBS. SharpHound exécuté 2x (reconnaissance AD). 7. Recherche large sur le hash de default.exe → présent aussi sur PKI, lancé via PSEXESVC (PsExec, lateral movement) sous le compte svc-sql1 (compromis, backdoor sous son profil). 8. Compromission de svc-sql1 probablement via bruteforce du script PowerShell depuis WS001 → recherche 4624/4625 LogonType 3 depuis 192.168.28.130. Assets compromis identifiés : WS001 (Bob, patient zéro), PKI, compte svc-sql1, activité vers DC1.

Rapport de Threat Intel : Stuxbot#

Séquence d'attaque (device initialement compromis)#

IOCs#

Setup de l'environnement de hunt#

Cible : Kibana sur http://[Target IP]:5601 → Discover. Time range : last 15 years. Timezone : Europe/Copenhagen (via http://[Target IP]:5601/app/management/kibana/settings). Threat intel datée de mars 2023, il faut donc scanner au moins jusque-là.

Volumétrie : ~118 975 logs windows, ~332 261 logs zeek.

Contexte org : ~200 employés, marketing en ligne, suite Office, Gmail via navigateur, Edge par défaut, support via TeamViewer, gestion par GPO AD (migration Intune + Win11 envisagée).

Déroulé du hunt#

Hypothèse : phishing réussi livrant un OneNote malveillant. Toujours chercher aussi les autres IOCs (les TTPs peuvent avoir évolué depuis le rapport).

Vue d'ensemble :

1. Téléchargement du fichier OneNote (Sysmon EID 15)#

Sysmon Event ID 15 (FileCreateStreamHash) = événement de téléchargement de fichier via navigateur. On suppose que le OneNote a été téléchargé depuis Gmail.

Champs liés : winlog.event_id ou event.code, file.name.

event.code:15 AND file.name:*invoice.one

En dépliant le log : process.name / process.executable = MSEdge, fichier stocké dans le dossier Downloads d'un employé nommé Bob. Timestamp : March 26, 2023 @ 22:05:47. Pas encore confirmé qu'il s'agit du fichier du rapport, ni d'exécution.

2. Confirmation via création de fichier (Sysmon EID 11)#

Sysmon Event ID 11 (File create). Utile surtout quand le navigateur n'est pas impliqué. L'astérisque est en fin : le nom inclut le fichier + un Zone Identifier (le fichier vient d'internet).

event.code:11 AND file.name:invoice.one*

Machine = hostname WS001 (host.hostname / host.name), IP 192.168.28.130.

3. Confirmation de l'IP de WS001 (Sysmon EID 3)#

event.code:3 AND host.hostname:WS001

Le champ source.ip confirme 192.168.28.130.

4. Connexions réseau autour du téléchargement (Sysmon EID 3)#

En inspectant Sysmon Event ID 3 (Network connection) autour de l'heure du téléchargement : aucune entrée. Config courante pour éviter de capturer les connexions navigateur (volume énorme, notamment vers le provider mail). On bascule sur Zeek.

5. Requêtes DNS de WS001 pendant le téléchargement (Zeek)#

Fenêtre : March 26th 2023 @ 22:05:00 → 22:05:48. Recherche d'une IP source = 192.168.28.130 avec quelque chose dans dns.question.name. Beaucoup de bruit (google.com...) à filtrer.

Champs liés : source.ip, dns.question.name.

source.ip:192.168.28.130 AND dns.question.name:*

Identifier le bruit via les "top values" Kibana (cliquer sur le champ) puis filtrer les valeurs bruyantes connues. Afficher uniquement la colonne dns.question.name.

Séquence observée : accès à Google Mail → interaction avec file.io (hébergeur connu) → scan Microsoft Defender SmartScreen (déclenché par un download via Edge).

6. Connexions vers les IPs de file.io#

En dépliant le log file.io, les IPs renvoyées (dns.answers.data / dns.resolved_ip / zeek.dns.answers) : 34.197.10.85, 3.213.216.16.

Recherche de connexions vers ces IPs sur la même fenêtre :

Confirme que Bob a bien téléchargé invoice.one depuis file.io. À ce stade : soit croiser avec le rapport de Threat Intel, soit mener une investigation type IR pour tracer la suite. On choisit la seconde.

7. Ouverture du fichier OneNote (Sysmon EID 1)#

Si invoice.one a été ouvert, ce serait avec l'application OneNote. Retirer le filtre temps (remettre 15 ans), retirer la colonne dns.question.name.

Champs liés : winlog.event_id ou event.code, process.command_line.

event.code:1 AND process.command_line:*invoice.one*

Fichier ouvert ~6 secondes après le téléchargement. OneNote.exe tourne avec le fichier ouvert → il contient probablement un lien ou une pièce jointe malveillante.

8. Processus enfants de OneNote (Sysmon EID 1)#

OneNote.exe va lancer soit un navigateur soit un fichier malveillant. On regarde les nouveaux processus dont OneNote.exe est le parent.

Champs liés : winlog.event_id ou event.code, process.parent.name.

event.code:1 AND process.parent.name:"ONENOTE.EXE"

3 hits, dont 1 hors période (écarté). Restent :

• OneNoteM.exe : composant légitime de OneNote qui aide à lancer des fichiers.
• cmd.exe exécutant un fichier invoice.bat.

Lien établi : OneNote.exe → invoice.one suspect → cmd.exe lançant invoice.bat depuis un emplacement temporaire (très probablement attaché dans le OneNote).

9. Enfants du batch (Sysmon EID 1)#

Est-ce que le batch a lancé autre chose ? On cherche un processus parent dont la ligne de commande pointe vers le batch.

Champs liés : winlog.event_id ou event.code, process.parent.command_line.

event.code:1 AND process.parent.command_line:*invoice.bat*

1 seul résultat : lancement de powershell.exe avec des arguments très suspects (colonnes ajoutées : process.name, process.args, process.pid) : commande de download + exécution de contenu depuis Pastebin.

Le contenu Pastemin est encore accessible (pas d'expiration par défaut) : c'est bien le script PowerShell mentionné dans le rapport de Threat Intel.

10. Activité du PowerShell stage 0 (PID 9944)#

Filtrer sur le PID et le nom du processus pour avoir une vue d'ensemble des activités (colonne event.code ajoutée).

Champs liés : process.pid, process.name.

process.pid:"9944" and process.name:"powershell.exe"

Création de fichiers, tentatives de connexions réseau, résolutions DNS via Sysmon Event ID 22 (DNSEvent). En ajoutant file.path, dns.question.name, destination.ip comme colonnes :

• ngrok.io probablement utilisé comme C2 (masque le trafic malveillant derrière un domaine connu). Connexions vers port 443 → trafic chiffré.
• EXE déposé (default.exe) probablement pour la persistance ; nom distinctif = facile à pister.
• Écarts de temps entre les actions → probable interaction humaine réelle (sauf sleep aléatoire).
• Actions finales : requête DNS pour DC1 et connexions vers celui-ci.

11. Zeek sur l'IP C2 (18.158.249.75)#

Colonnes ajoutées : source.ip, destination.ip, destination.port.

L'activité s'étend au jour suivant. En inspectant les requêtes DNS pour ngrok.io, l'IP renvoyée (dns.answers.data) a changé, et les connexions continuent les jours suivants.

Activité réseau soutenue → C2 accédé en continu.

12. default.exe a-t-il été exécuté ?#

Champ lié : process.name. Colonnes : process.name, process.args, event.code, file.path, destination.ip, dns.question.name.

process.name:"default.exe"

Oui. L'exécutable lance des requêtes DNS ngrok et se connecte aux IPs C2. Il uploade svchost.exe (mimique le binaire Windows légitime) et SharpHound.exe (outil de cartographie AD / attack paths). Plus haut : upload de payload.exe, d'un VBS, et uploads répétés de svchost.exe.

13. SharpHound a-t-il été exécuté ?#

process.name:"SharpHound.exe"

Exécuté 2 fois, à ~2 min d'intervalle → reconnaissance Active Directory effectuée.

14. Le hash de default.exe ailleurs dans l'environnement ?#

Sysmon a flagué default.exe avec un process.hash.sha256 qui correspond à un hash du rapport de Threat Intel. Recherche large (colonne host.hostname ajoutée).

Champ lié : process.hash.sha256.

process.hash.sha256:018d37cbd3878258c29db3bc3f2988b6ae688843801b9abc28e6151141ab66d4

Présent sur WS001 et PKI → l'attaquant a compromis au moins le serveur PKI. Un fichier backdoor est déposé sous le profil de l'utilisateur svc-sql1 → compte probablement compromis.

15. Comment default.exe a atterri sur PKI ?#

En dépliant la 1re exécution de default.exe sur PKI : le processus parent est PSEXESVC, composant de PsExec (SysInternals) souvent utilisé pour l'exécution de commandes à distance et le lateral movement en AD.

Plus bas dans le même log, svc-sql1 dans le champ user.name → confirme la compromission de ce compte.

16. Comment le mot de passe de svc-sql1 a-t-il été compromis ?#

Hypothèse la plus plausible : le script PowerShell uploadé plus tôt (semble conçu pour le bruteforce de mots de passe), présent sur WS001. On cherche les tentatives réussies/échouées depuis cette machine, en excluant Bob (utilisateur légitime) et la machine elle-même.

Champs liés : winlog.event_id ou event.code, winlog.event_data.LogonType, source.ip.

(event.code:4624 OR event.code:4625) AND winlog.event_data.LogonType:3 AND source.ip:192.168.28.130

LogonType 3 = network logon.

Sysmon Event IDs utilisés#

Quand Sysmon EID 3 est muet (connexions navigateur non loggées), les logs Zeek (DNS, connexions) prennent le relais pour la corrélation temporelle.

Bilan#

Voir Cyber Threat Intelligence (CTI) pour la méthode d'exploitation d'un rapport tactique, et Elastic Stack pour la syntaxe KQL.