Des attaquants exploitent les messages de bienvenue affichés par les serveurs FTP au début de la connexion afin de dissimuler des commandes malveillantes utilisées pour distribuer deux nouveaux logiciels d’accès à distance sur Windows, E4del et PINHOLE. MalwareHunterTeam a observé cette méthode lors d’une attaque apparue en juillet 2026, avant que la plateforme de renseignement sur les menaces SOCRadar n’approfondisse l’enquête et ne confirme que son utilisation s’est poursuivie jusqu’en août.
Un message de bienvenue FTP est un texte envoyé par le serveur à l’appareil connecté avant l’authentification. Dans cette campagne, les commandes sont intégrées à la réponse initiale reçue par le système compromis, afin qu’un programme initial puisse récupérer des instructions depuis un serveur distant. Cela ressemble à l’utilisation du serveur comme résolveur de dépôt mort (Dead-Drop Resolver), mais au moyen d’un canal FTP plutôt que des services web courants.
Comment l’infection commence-t-elle ?
Selon le rapport de SOCRadar, la chaîne commence par un fichier ZIP, dont les chercheurs estiment que la réception initiale se fait par hameçonnage. L’ouverture de l’archive déclenche une chaîne d’infection reposant sur des fichiers de raccourci .LNK, qui suit deux chemins différents pour installer E4del ou PINHOLE. Dans les deux cas, un programme PowerShell est extrait des messages de bienvenue des serveurs FTP.
Capacités d’E4del et de PINHOLE
E4del est basé sur Node.js au sein d’une application Electron signée numériquement et se fait passer pour l’application Discord. Il prend en charge l’exécution de commandes via des sessions Shell temporaires ou persistantes, la capture d’écran et la diffusion du bureau par WebSockets, ainsi que le téléchargement et l’exécution d’autres charges utiles. Les chercheurs ont également signalé un module Node.js nommé crypto32.node qui tente d’élever les privilèges, mais ils n’ont pas pu l’obtenir pour l’analyser.
PINHOLE, quant à lui, extrait ses paramètres de connexion et de commande depuis des publications Pinterest et des questions de sondages SurveyMonkey. Cette méthode lui confère une certaine flexibilité pour modifier ses sources et rend sa neutralisation plus difficile. Le programme utilise une technique connue sous le nom de fluctuation du shellcode (Shellcode Fluctuation) : il ne conserve en mémoire qu’une section de 4 kilooctets de la charge utile à la fois, puis injecte l’assemblage final dans un processus suspendu nommé ApplicationFrameHost.exe au moyen de la technique Early Bird APC Injection.
PINHOLE prend en charge quatorze commandes, notamment l’inventaire des fichiers, leur téléversement et leur téléchargement, l’exécution de commandes, la gestion des processus, la capture d’écran et le déploiement d’un module destiné à voler les identifiants enregistrés dans les navigateurs. Jusqu’au moment de l’analyse, le programme n’avait enregistré que 11 événements d’exécution, ce qui indique que la campagne en était à un stade précoce.
Pourquoi cette méthode est-elle importante ?
L’utilisation des messages FTP constitue une méthode inhabituelle de transmission des commandes, mais elle n’est pas nécessairement plus furtive que le recours à des services web tels que X, GitHub et YouTube. Les communications avec des serveurs FTP inconnus peuvent être plus visibles pour les équipes de défense, en particulier lorsqu’elles ne correspondent pas au schéma d’utilisation habituel au sein du réseau. Les chercheurs estiment que cette méthode peut être adaptée à des campagnes d’ingénierie sociale de type ClickFix.
SOCRadar a indiqué qu’une recherche effectuée avec FOFA montrait que la technique avait été militarisée dès le début de juillet 2026, avec l’apparition d’une nouvelle infrastructure en août. Son rapport comprend des indicateurs de compromission pouvant être utilisés pour identifier les serveurs malveillants et les appareils infectés au sein des réseaux.