Remédiation et signalements (SalatStealer)

Détection sur les postes et serveurs#

• Journaliser les créations de processus certutil.exe -decode dont la sortie est %TEMP%\vcomp140.exe, suivies d'un lancement du même fichier.
• Rechercher les fichiers updater_*.exe sous %LOCALAPPDATA%\Microsoft\.
• Alerter sur l'ajout d'une exclusion Windows Defender par un processus non administrateur dans les secondes qui suivent un premier lancement.
• Alerter sur les requêtes DNS ou connexions TLS vers tonapi.io et ton.access.orbs.network émises par un processus qui n'est pas un navigateur ni un client TON déclaré.
• Déployer salatstealer.yar sur les échantillons et les sauvegardes. Les règles XBinder_NET_Dropper_Defender_Exclusion et Salat_Stealer_UPX_Packed sont génériques : les valider sur la charge extraite avant d'agir sur un fichier seul.
• Considérer comme suspect tout paquet de contournement de blocage (Discord, YouTube, Telegram) téléchargé hors du dépôt officiel de son auteur, en particulier s'il contient un .bat de plus de 10 Mo ou une liste SHA256SUMS.txt qui ne correspond pas à son contenu.
• Alerter sur %TEMP%\ffmpeg.exe lancé par un processus qui n'est pas une application vidéo, avec un argument dshow (capture de webcam ou de bureau par Salat).
• Rechercher %LOCALAPPDATA%\WinDivert\ (wdvcache.exe, zapret.exe, webrat.exe), un dossier caché bin\.wd\ dans un paquet de contournement de blocage et des .bat dont la troisième ligne lance un exécutable de bin\.wd\.
• Alerter sur Add-MpPreference -ExclusionProcess 'wdvcache.exe' ou -ControlledFolderAccessAllowedApplications lancé depuis un script .cmd ou .bat, et sur attrib +h +s appliqué à un dossier .wd.
• Un stun.bin de plus de 1 Mo est anormal (le fichier légitime fait 100 octets) : règle Salat_Release_Package_Stun_Host.
• Surveiller %TEMP%\vcomp140.exe, %TEMP%\Hackmgr.exe et %APPDATA%\Microsoft\Windows\Caches\svchost.exe.

Blocage réseau#

Domaines (DNS, proxy, pare-feu) : salator.es, wruser.org, websalat.top, sa1atik.cn, salat.cn, wrat.in, policlinika.top.

Adresses : 77.239.96.159 (TCP 4444, RAT Python), 196.196.208.17, 196.196.208.18, 195.208.21.65, 46.173.27.15, 168.222.202.171, 217.26.28.234, 91.142.75.172, 62.109.0.189. Ces hébergeurs sont mutualisés : bloquer l'adresse seule peut toucher d'autres clients, privilégier le nom de domaine pour policlinika.top (derrière Cloudflare) et les adresses d'origine pour les autres.

Les noms .ton à surveiller (changement de la valeur « wallet ») sont webratpanel.ton, remoteadministratortool.ton, webratxaye1.ton et shyetootval.ton.

Si un poste a été touché#

1. Isoler le poste. Ne pas tenter d'ouvrir les URL GitHub des secondes charges.
2. Considérer comme compromis tout secret présent sur le poste : mots de passe et cookies de navigateurs (Chromium, Gecko, Yandex), jetons Discord, sessions Steam, portefeuilles, clés SSH, jetons d'API. La clé « app-bound » de Chromium a pu être extraite.
3. Révoquer les sessions et changer les mots de passe depuis un autre appareil sain.
4. Rechercher la persistance et les tâches planifiées créées à l'heure du premier lancement ; le programme se supprime lui-même (selfDelete), l'absence de fichier ne prouve pas l'absence d'infection.
5. Examiner les accès proxy SOCKS ou shell à distance éventuellement ouverts depuis le poste (p2pSocks, shellCommand).

Signalements proposés (rien n'a été envoyé)#

• GitHub (Trust and Safety). 55 comptes jetables et leurs dépôts : liste dans osint/github_accounts.csv (compte, date de création, nombre de dépôts, builds liés). Éléments à joindre : créations par vagues automatisées (6 comptes le 2026-08-18, 22 le 2026-08-23 en 12 minutes, 27 le 2026-09-08 en 34 minutes), aucun abonné, noms de dépôt thématiques à casse aléatoire, descriptions russes quasi identiques, et la concordance avec le marqueur de fabrication de 192 builds de Salat. Les hashs des builds sont dans osint/pack_markers.csv. Les deux comptes des secondes charges (gigaempressclip, EmpressRecognize22) sont déjà inaccessibles.
• Échange (conformité). Les quatre portefeuilles que l'explorateur public étiquette « Bybit 7 » à « Bybit 10 » ont reçu environ 106 000 USDT et 40 000 TON du portefeuille conduit 0:0e4d1a5a... entre 2025-10-03 et 2026-05-21. Une demande formelle d'identification des comptes bénéficiaires est à adresser par les forces de l'ordre ou le CERT compétent, avec le lien établi par Solar 4RAYS entre ce portefeuille et le paiement de WebRat. Je ne tiens pas ce portefeuille pour exclusivement lié à l'opérateur (90 contreparties).
• Hébergeurs. SpaceWeb (AS44112), Beget (AS198610), VDSina (AS48282), PacketExchange Orion Network (AS58065), OVH (AS16276, pour 141.95.112.163 et webr.at), Frantech (AS53667, 209.141.54.188), avec les dates de résolution et les chemins /sa1at/.
• Registraires. Cloudflare (wruser.org), Openprovider (websalat.top, webrat.top), Devexpanse Ltd. (policlinika.top).
• Telegram. Aucun identifiant de canal n'est connu : rien à signaler en l'état. L'identifiant de bot nyashsupbot cité par CYFIRMA peut être transmis à Telegram, sans que je l'aie vérifié.
• CERT-UA / CERT locaux. La note CERT-UA#20032 (2026-03-02) est lue à la source ; ses indicateurs Salat sont dans iocs.csv. Elle ne cite pas NyashTeam : ne pas présenter UAC-0252 comme l'opérateur de la plateforme, seulement comme un utilisateur.
• ThreatFox. Les noms .ton et les quatre domaines C2 sont déjà saisis ; le port alternatif wruser.org:992 l'est depuis le 2026-10-06. Les adresses de repli historiques et les 55 comptes GitHub peuvent être ajoutés.
• Aucune action n'est possible sur la blockchain elle-même ; l'historique public est une source de renseignement.

Limites#

Cette analyse est statique : les capacités de Salat sont déduites des noms de fonctions et des appels, sauf là où des chaînes littérales les confirment. Le contenu des secondes charges est inconnu. Aucun canal, bot, panneau ou compte de l'opérateur n'a été contacté.