# Guide de détection et remédiation : TAG-150 / NightshadeC2

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur [`tag150-denorat-killchain.md`](tag150-denorat-killchain.md) ; ce que je n'ai pas observé directement (je n'ai exécuté aucun échantillon) est signalé comme tel.

## 1. Suis-je concerné ?

**Indicateur réseau direct** : une connexion sortante persistante vers `85.208.84.115` port `7777` (protocole TCP brut, pas HTTP/TLS) est le signe le plus fiable trouvé dans cette analyse (`tag150-denorat-killchain.md` §6bis). Vérifiez les journaux pare-feu/proxy pour cette adresse.

**Indicateur de persistance** : une tâche planifiée Windows nommée `JAVA_V3`, déclenchée à la connexion utilisateur et toutes les 2 minutes (`Get-ScheduledTask -TaskName JAVA_V3` en PowerShell pour vérifier).

Deux signes supplémentaires selon le mécanisme de livraison rencontré (`tag150-denorat-killchain.md` §2-3) :

- **Un dossier contenant `cnt.exe`/`cns.exe` accompagné d'une `wmsgapi.dll`** et de plusieurs fichiers Visual Studio 2010 (`c1.dll`, `c1xx.dll`, `c2.dll`, `atlprov.dll`, `disco.exe`). `cnt.exe`/`cns.exe` est le vrai `consent.exe` de Windows, renommé : sa présence dans un dossier autre que `C:\Windows\System32` est en soi suspecte.
- **Un installeur téléchargé se présentant comme un « Bootstrapper for DeepL »** (ou similaire) dont le fichier de propriétés Windows affiche un éditeur « DeepL SE » : si l'installeur ne provient pas du site officiel `deepl.com`, méfiez-vous même si Windows affiche un nom d'éditeur signé, la vérification cryptographique de cette signature échoue (§2 ci-dessous).

## 2. Vérifiez une signature suspecte

Un fichier peut afficher un nom d'éditeur dans les propriétés Windows (clic droit -> Propriétés -> Signatures numériques) **sans que la signature soit valide** si elle n'est pas vérifiée jusqu'au bout (clic sur « Détails », puis « Voir le certificat »). Sur les échantillons de cette analyse, la table de certificat pointait vers de vraies entités (DeepL SE, une société chinoise nommée Shenzhen Tuozhu Technology) mais la signature elle-même échouait en vérification cryptographique stricte (`tag150-denorat-killchain.md` §4).

Pour vérifier sans dépendre de l'interface Windows, sur un système avec Python :
```
pip install signify
python -c "
from signify.authenticode.signed_file import SignedPEFile
with open('FICHIER.exe', 'rb') as f:
    result, e = SignedPEFile(f).explain_verify()
    print(result, e)
"
```
`INVALID_DIGEST` = signature invalide malgré la présence d'un certificat à un nom connu.

## 3. Confinement et nettoyage

1. Isolez la machine du réseau dès le constat.
2. Ne vous fiez pas au nom d'éditeur affiché sans vérification cryptographique complète (§2).
3. Conservez le(s) binaire(s) suspect(s) avant nettoyage : nécessaires pour distinguer le mécanisme exact rencontré (kit de sideloading vs loader Go) et donc la suite de la chaîne d'infection probable.
4. Recherchez spécifiquement un fichier `wmsgapi.dll` en dehors de `C:\Windows\System32`, à côté d'un exécutable qui n'est pas censé s'y trouver : signe fort du sideloading décrit en `tag150-denorat-killchain.md` §2.
5. Réinstallez depuis une image saine si l'étendue de la compromission n'est pas entièrement caractérisée : le payload final a des capacités complètes (`tag150-denorat-killchain.md` §6bis) : shell distant interactif (cmd.exe/PowerShell), exfiltration et dépôt de fichiers (avec exécution automatique possible), enregistrement webcam/micro, bureau à distance interactif avec injection souris/clavier/presse-papiers, capture d'écran (unique ou en direct), keylogger, et un **relais réseau de type SOCKS5** qui permet à l'opérateur de faire transiter du trafic arbitraire à travers la machine infectée (pas seulement d'agir sur elle). À traitez-le comme une compromission complète de la confidentialité des données de la machine (mots de passe tapés au clavier compris) et comme un point de rebond potentiel vers d'autres machines du réseau, pas comme un simple nettoyage de fichier.
6. Cherchez les artefacts suivants pour évaluer l'étendue des données déjà capturées avant nettoyage : fichier de log du keylogger (`%LOCALAPPDATA%\...\JavaFilee6` ou `...\PythonFilee6`, chemin exact non entièrement résolu, exfiltré sous le nom `keylog.txt`) et enregistrement webcam/micro temporaire (`%TEMP%\Vidosik.mp4`).

## 4. Ce que cette analyse ne couvre pas

- Le `DllMain` de `wmsgapi.dll` a été tracé jusqu'au bout : il n'exécute aucune action malveillante au-delà du sideloading lui-même (`tag150-denorat-killchain.md` §2). Le rôle exact de ce kit dans la chaîne d'infection reste incertain (leurre/bourrage, ou composant en attente d'une mise à jour ultérieure non capturée) : sa seule présence sur une machine reste un signe d'intrusion à traiter sérieusement, même sans comportement actif observé dans le fichier lui-même.
- L'adresse C2 (`85.208.84.115:7777`) a été confirmée identique dans les deux loaders Go analysés (`050d061d...` et `df4425b4...`). Les deux modules à bootstrap DXGI (§6ter du writeup) n'ont montré aucune capacité réseau propre lors de l'analyse : s'ils communiquent avec un C2, ce n'est pas par un canal identifié dans cette analyse.
- Le vecteur d'infection initial (probablement une page ClickFix d'après les sources publiques consultées) n'a pas été observé directement dans cette analyse, qui part des binaires déjà déposés.

## 5. Signalement

- CERT national, plateforme de signalement type cybermalveillance.gouv.fr.
- Si un certificat au nom d'une société tierce (comme observé ici pour DeepL SE ou Shenzhen Tuozhu Technology) est rencontré sur un fichier malveillant, pensez à le signaler à l'autorité de certification concernée (GlobalSign dans les cas observés ici) : une signature invalide grefée sur un nom réel peut aussi indiquer que le binaire "donneur" original (dont la table de certificat a été copiée) mérite d'être recherché/signalé séparément.

## 6. Réduire la surface d'attaque

- Vérification systématique des signatures jusqu'au niveau cryptographique (§2) avant de faire confiance à un installeur téléchargé, en particulier via un lien reçu par message/pop-up (schéma ClickFix).
- Surveillance des créations de fichiers nommés comme des DLL système connues (`wmsgapi.dll` et autres) en dehors de `C:\Windows\System32`.
- Détection via [`nightshadec2_tag150.yar`](nightshadec2_tag150.yar) sur un binaire suspect ou dans un dump mémoire.