Le framework malveillant Avalon combine vol d’identifiants, mouvement latéral et rançongiciel

Des chercheurs en sécurité ont identifié un framework malveillant modulaire jusque-là inconnu, baptisé Avalon, qui semble conçu pour prendre en charge l’ensemble du cycle d’intrusion, de l’accès initial et du vol d’identifiants jusqu’au déploiement d’un rançongiciel et à la perturbation de la récupération. La charge utile de rançongiciel intégrée au framework est suivie en interne sous le nom de CrownX.

Selon Blackpoint Cyber, la campagne commence par un e-mail d’hameçonnage se faisant passer pour un document juridique. Le message redirige les victimes vers une archive protégée par mot de passe hébergée sur Proton Drive, tandis que le contenu malveillant est dissimulé dans une image ISO plutôt que joint directement. Si un utilisateur ouvre un raccourci Windows évoquant un document à l’intérieur de l’image montée, le fichier lance une chaîne d’infection par étapes qui finit par installer Avalon.

Le chemin d’exécution utilise MSBuild pour charger un assembly .NET intégré, altère Event Tracing for Windows afin de réduire la visibilité et récupère une charge utile supplémentaire via HTTPS. Les chercheurs ont indiqué que le framework intègre un large éventail de mécanismes de défense visant à contourner la détection de plusieurs produits de sécurité et à réduire les données de télémétrie accessibles aux outils de surveillance des terminaux.

Fonctionnalités observées dans Avalon

• Voler des données de navigateur telles que les identifiants, les cookies, l’historique et les favoris.
• Collecter des informations provenant de portefeuilles de cryptomonnaies, d’outils de collaboration, de clients VPN et du Gestionnaire d’informations d’identification Windows.
• Rassembler des données liées à SSH, RDP, au Wi-Fi et aux stratégies de groupe.
• Exfiltrer des données vers un serveur de commande distant et recevoir des instructions.
• Chiffrer les fichiers liés aux activités de l’entreprise et à l’infrastructure virtuelle.
• Désactiver la récupération en arrêtant le service de cliché instantané des volumes et en supprimant les clichés instantanés.
• Utiliser des routines de nettoyage anti-forensique et manipuler les structures du disque afin de compliquer la récupération.

Blackpoint Cyber a déclaré que la conception du malware suggère que l’étape finale de rançongiciel ne constitue qu’un élément d’une stratégie d’intrusion plus vaste. Au moment où les victimes voient la demande de rançon, le système a peut-être déjà servi à effectuer des reconnaissances, à collecter des identifiants, à communiquer avec l’infrastructure de commande et de contrôle et à préparer un mouvement latéral.

L’entreprise a également relevé des signes indiquant qu’Avalon pourrait avoir été développé avec l’aide de l’intelligence artificielle, en s’appuyant notamment sur la manière dont plusieurs composants ont été assemblés avec relativement peu de rigueur opérationnelle. Selon les chercheurs, cette tendance pourrait réduire la barrière à l’entrée pour les attaquants qui développent des malwares multifonctions.

Cette divulgation intervient alors que d’autres cas récents impliquent des menaces assistées par l’IA. Sysdig a de son côté signalé ce qu’il a décrit comme le premier incident de rançongiciel agentique documenté publiquement, piloté de bout en bout par un grand modèle de langage, tandis que l’Unit 42 de Palo Alto Networks a décrit un malware qui utilise l’API publique d’un LLM pour traduire des instructions d’opérateur en langage courant en commandes shell.