# Remédiation et signalements (SalatStealer)

## Détection sur les postes et serveurs

- Journaliser les créations de processus `certutil.exe -decode` dont la sortie est `%TEMP%\vcomp140.exe`, suivies d'un lancement du même fichier.
- Rechercher les fichiers `updater_*.exe` sous `%LOCALAPPDATA%\Microsoft\`.
- Alerter sur l'ajout d'une exclusion Windows Defender par un processus non administrateur dans les secondes qui suivent un premier lancement.
- Alerter sur les requêtes DNS ou connexions TLS vers `tonapi.io` et `ton.access.orbs.network` émises par un processus qui n'est pas un navigateur ni un client TON déclaré.
- Déployer `salatstealer.yar` sur les échantillons et les sauvegardes. Les règles `XBinder_NET_Dropper_Defender_Exclusion` et `Salat_Stealer_UPX_Packed` sont génériques : les valider sur la charge extraite avant d'agir sur un fichier seul.
- Considérer comme suspect tout paquet de contournement de blocage (Discord, YouTube, Telegram) téléchargé hors du dépôt officiel de son auteur, en particulier s'il contient un `.bat` de plus de 10 Mo ou une liste `SHA256SUMS.txt` qui ne correspond pas à son contenu.
- Alerter sur `%TEMP%\ffmpeg.exe` lancé par un processus qui n'est pas une application vidéo, avec un argument `dshow` (capture de webcam ou de bureau par Salat).
- Rechercher `%LOCALAPPDATA%\WinDivert\` (`wdvcache.exe`, `zapret.exe`, `webrat.exe`), un dossier caché `bin\.wd\` dans un paquet de contournement de blocage et des `.bat` dont la troisième ligne lance un exécutable de `bin\.wd\`.
- Alerter sur `Add-MpPreference -ExclusionProcess 'wdvcache.exe'` ou `-ControlledFolderAccessAllowedApplications` lancé depuis un script `.cmd` ou `.bat`, et sur `attrib +h +s` appliqué à un dossier `.wd`.
- Un `stun.bin` de plus de 1 Mo est anormal (le fichier légitime fait 100 octets) : règle `Salat_Release_Package_Stun_Host`.
- Surveiller `%TEMP%\vcomp140.exe`, `%TEMP%\Hackmgr.exe` et `%APPDATA%\Microsoft\Windows\Caches\svchost.exe`.

## Blocage réseau

Domaines (DNS, proxy, pare-feu) : `salator.es`, `wruser.org`, `websalat.top`, `sa1atik.cn`, `salat.cn`, `wrat.in`, `policlinika.top`.

Adresses : `77.239.96.159` (TCP 4444, RAT Python), `196.196.208.17`, `196.196.208.18`, `195.208.21.65`, `46.173.27.15`, `168.222.202.171`, `217.26.28.234`, `91.142.75.172`, `62.109.0.189`. Ces hébergeurs sont mutualisés : bloquer l'adresse seule peut toucher d'autres clients, privilégier le nom de domaine pour `policlinika.top` (derrière Cloudflare) et les adresses d'origine pour les autres.

Les noms `.ton` à surveiller (changement de la valeur « wallet ») sont `webratpanel.ton`, `remoteadministratortool.ton`, `webratxaye1.ton` et `shyetootval.ton`.

## Si un poste a été touché

1. Isoler le poste. Ne pas tenter d'ouvrir les URL GitHub des secondes charges.
2. Considérer comme compromis tout secret présent sur le poste : mots de passe et cookies de navigateurs (Chromium, Gecko, Yandex), jetons Discord, sessions Steam, portefeuilles, clés SSH, jetons d'API. La clé « app-bound » de Chromium a pu être extraite.
3. Révoquer les sessions et changer les mots de passe depuis un autre appareil sain.
4. Rechercher la persistance et les tâches planifiées créées à l'heure du premier lancement ; le programme se supprime lui-même (`selfDelete`), l'absence de fichier ne prouve pas l'absence d'infection.
5. Examiner les accès proxy SOCKS ou shell à distance éventuellement ouverts depuis le poste (`p2pSocks`, `shellCommand`).

## Signalements proposés (rien n'a été envoyé)

- **GitHub (Trust and Safety).** 55 comptes jetables et leurs dépôts : liste dans `osint/github_accounts.csv` (compte, date de création, nombre de dépôts, builds liés). Éléments à joindre : créations par vagues automatisées (6 comptes le 2026-08-18, 22 le 2026-08-23 en 12 minutes, 27 le 2026-09-08 en 34 minutes), aucun abonné, noms de dépôt thématiques à casse aléatoire, descriptions russes quasi identiques, et la concordance avec le marqueur de fabrication de 192 builds de Salat. Les hashs des builds sont dans `osint/pack_markers.csv`. Les deux comptes des secondes charges (`gigaempressclip`, `EmpressRecognize22`) sont déjà inaccessibles.
- **Échange (conformité).** Les quatre portefeuilles que l'explorateur public étiquette « Bybit 7 » à « Bybit 10 » ont reçu environ 106 000 USDT et 40 000 TON du portefeuille conduit `0:0e4d1a5a...` entre 2025-10-03 et 2026-05-21. Une demande formelle d'identification des comptes bénéficiaires est à adresser par les forces de l'ordre ou le CERT compétent, avec le lien établi par Solar 4RAYS entre ce portefeuille et le paiement de WebRat. Je ne tiens pas ce portefeuille pour exclusivement lié à l'opérateur (90 contreparties).
- **Hébergeurs.** SpaceWeb (AS44112), Beget (AS198610), VDSina (AS48282), PacketExchange Orion Network (AS58065), OVH (AS16276, pour `141.95.112.163` et `webr.at`), Frantech (AS53667, `209.141.54.188`), avec les dates de résolution et les chemins `/sa1at/`.
- **Registraires.** Cloudflare (`wruser.org`), Openprovider (`websalat.top`, `webrat.top`), Devexpanse Ltd. (`policlinika.top`).
- **Telegram.** Aucun identifiant de canal n'est connu : rien à signaler en l'état. L'identifiant de bot `nyashsupbot` cité par CYFIRMA peut être transmis à Telegram, sans que je l'aie vérifié.
- **CERT-UA / CERT locaux.** La note CERT-UA#20032 (2026-03-02) est lue à la source ; ses indicateurs Salat sont dans `iocs.csv`. Elle ne cite pas NyashTeam : ne pas présenter UAC-0252 comme l'opérateur de la plateforme, seulement comme un utilisateur.
- **ThreatFox.** Les noms `.ton` et les quatre domaines C2 sont déjà saisis ; le port alternatif `wruser.org:992` l'est depuis le 2026-10-06. Les adresses de repli historiques et les 55 comptes GitHub peuvent être ajoutés.
- Aucune action n'est possible sur la blockchain elle-même ; l'historique public est une source de renseignement.

## Limites

Cette analyse est statique : les capacités de Salat sont déduites des noms de fonctions et des appels, sauf là où des chaînes littérales les confirment. Le contenu des secondes charges est inconnu. Aucun canal, bot, panneau ou compte de l'opérateur n'a été contacté.