# Guide de détection et remédiation : KONNI

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur [`konni-native-rat.md`](konni-native-rat.md). KONNI est un outil d'accès distant (pas un ransomware) : l'objectif d'une victime n'est pas de récupérer des fichiers chiffrés localement, mais de déterminer quelles données ont été exfiltrées et de couper l'accès de l'attaquant.

## 1. Suis-je concerné ?

Présence de fichiers `wapsvc.dll`/`wiasvc.dll` (ou variantes selon la campagne), `wapsvc32.dll`, `wapsvc64.dll`, `wiasvc.ini`, `wiasvc.bat`, ou d'un service Windows correspondant (masquerade observée : "Windows Image Acquisition Service"). Trafic sortant vers un hôte inconnu sur des chemins `/dn.php` ou `/up.php`, ou vers l'un des domaines listés dans `konni-native-rat.md` §8 (issus d'une configuration C2 réellement déchiffrée). Exécutions de `systeminfo`/`tasklist` redirigées vers un fichier temporaire suivies d'un upload HTTP peuvent indiquer une reconnaissance automatisée par ce composant.

## 2. Pas de clé à casser pour les fichiers déjà exfiltrés côté attaquant

Cette analyse ne porte pas sur des fichiers chiffrés laissés sur la machine victime (KONNI n'est pas un ransomware) : le chiffrement documenté ici protège les fichiers *pendant leur transit* vers le serveur de l'attaquant. Aucune récupération n'est possible après coup sur les données déjà reçues par le C2, quel que soit le défaut cryptographique trouvé.

## 3. Déchiffrer du trafic réseau déjà capturé

**C'est ce qu'une équipe de réponse à incident peut exploiter tout de suite si elle a des journaux réseau.** Si un flux HTTP vers `/up.php` a été capturé (proxy, pare-feu, IDS avec capture de charge utile) avant que l'infrastructure de l'attaquant ne soit hors d'atteinte, le contenu exfiltré est récupérable hors ligne, sans accès au C2 :

1. Extrayez le corps du fichier uploadé (partie `filename="..."` du POST multipart vers `up.php`).
2. Déterminez une fenêtre de temps plausible pour le moment exact de l'upload (horodatage du log proxy/pare-feu, fuseau horaire connu de la machine victime).
3. Utilisez `tools/konni_upload_key_bruteforce.py` avec cette fenêtre : la clé AES-256 et le contenu en clair sont retrouvés en une fraction de seconde à quelques secondes selon la largeur de la fenêtre (validé jusqu'à 24h de fenêtre en moins d'une seconde, voir `konni-native-rat.md` §5).

**Non testé sur un flux réel capturé** par cette analyse (aucun disponible, conformément à la règle de ne jamais exécuter l'échantillon) : la démarche s'appuie sur une reconstruction fonctionnelle validée par auto-test, pas sur une validation de bout en bout contre un vrai upload KONNI.

## 4. Déchiffrer un fichier de configuration local

Si un fichier `wiasvc.ini` (ou équivalent selon la campagne, voir §1) est retrouvé sur une machine touchée avant nettoyage, il est directement déchiffrable hors ligne : il contient la configuration C2 (au minimum une liste de domaines de secours, confirmé sur un exemplaire réel lors de cette analyse).

1. Identifiez le nom du service utilisé par cette instance précise (visible dans le service Windows installé, ex. `wiasvc`) : c'est le matériau de clé.
2. Utilisez `tools/konni_config_crypto.py FICHIER.ini --service-name NOM_DU_SERVICE` (le nom par défaut de l'outil, `wiasvc`, correspond à l'échantillon analysé ; l'adapter si la campagne observée utilise un autre nom de masquerade).
3. Le résultat attendu est une liste de domaines C2 en clair, à ajouter aux règles de blocage réseau.

**Validé sur un exemplaire réel** de ce fichier récupéré via MalwareBazaar (voir `konni-native-rat.md` §6), pas seulement par auto-test : la clé et le format sont confirmés fonctionnellement, pas seulement en théorie.

## 5. Confinement et nettoyage

1. Isolez la machine du réseau dès le constat.
2. Conservez les binaires (`wapsvc.dll`/`wiasvc.dll` et variantes, dropper), le fichier `wiasvc.ini` s'il est présent, et tout journal réseau disponible avant tout nettoyage : nécessaires à la fois pour les pistes de récupération des §3/§4 et pour la caractérisation de l'étendue de l'exfiltration.
3. Vérifiez la persistance service Windows associée au `.bat` d'installation et la supprimer.
4. Considérez comme exfiltrées toutes les données auxquelles le compte compromis avait accès pendant la période d'activité constatée du service : le canal montant transmet documents, captures d'écran et résultats de commandes système sans distinction visible dans le code analysé.

## 6. Signalement

- CERT national, ou fournisseur EDR/antivirus pour confirmation et documentation de l'incident.
- IOCs consolidés dans `konni-native-rat.md` §8, y compris une liste de 21 domaines C2 confirmés par déchiffrement réel.

## 7. Réduire la surface d'attaque

- KONNI est généralement livré via un document/pièce jointe piégé (spearphishing, thème documenté par plusieurs éditeurs comme lié à des sujets géopolitiques ou institutionnels) : sensibilisation ciblée et filtrage des pièces jointes en amont restent la protection la plus efficace, cette analyse ne couvre pas le vecteur de livraison initial.
- Surveillance des connexions sortantes vers des chemins `/dn.php`/`/up.php` peu communs et vers les domaines listés dans `konni-native-rat.md` §8, en complément d'une détection par signature classique.