Un couteau suisse de l’attaque, livré clé en main. Les chercheurs de Blackpoint décrivent Avalon, un framework malveillant modulaire qui enchaîne les étapes d’une compromission sans laisser de blancs dans le parcours de l’attaquant. Au bout de la chaîne, un invité de marque : le rançongiciel CrownX.
Points clés
- Avalon enchaîne images ISO, fichiers LNK et MSBuild pour compromettre les machines Windows
- Le framework détourne Proton Drive comme canal de distribution et désactive la journalisation ETW
- La chaîne se termine par le déploiement du rançongiciel CrownX après vol d’identifiants
Une chaîne d’infection soignée
Avalon ne réinvente pas la roue, il assemble les bonnes vieilles pièces avec méthode. L’attaque s’appuie sur des images ISO et des fichiers LNK (les raccourcis Windows) pour amorcer l’exécution, une technique déjà rodée qui contourne certaines protections liées aux pièces jointes classiques.
Pour la distribution, le framework détourne Proton Drive, un service de stockage chiffré à la réputation par ailleurs solide. L’ironie est cruelle : un outil pensé pour protéger la vie privée sert ici de courroie de transmission au chargement des composants malveillants.
MSBuild et ETW dans le viseur
Côté exécution, Avalon abuse de MSBuild, l’outil de compilation légitime de Microsoft, pour faire tourner du code hostile sous une signature de confiance. Ce type de détournement (le « living off the land », l’art d’exploiter des binaires déjà présents sur la machine) complique sérieusement la détection.
Le framework désactive aussi ETW (Event Tracing for Windows), le mécanisme de journalisation du système. En coupant cette source de télémétrie, les attaquants aveuglent une partie des outils de sécurité avant de passer au vol d’identifiants.
CrownX en bout de course
Une fois les défenses neutralisées et les credentials récoltés, Avalon déploie CrownX, sa charge de rançongiciel. L’ensemble forme un pipeline cohérent, de l’intrusion initiale au chiffrement final, ce qui distingue Avalon d’un simple dropper opportuniste.
Pour les défenseurs, la parade tient aux fondamentaux : surveiller les exécutions inhabituelles de MSBuild, se méfier des ISO et LNK arrivant par des canaux inattendus, et garder un œil sur toute tentative de désactivation d’ETW. Rien de révolutionnaire, mais face à un framework qui automatise chaque maillon, la discipline reste la meilleure serrure.
