E4del et PINHOLE : des bannières FTP transformées en canaux dissimulés pour distribuer des RAT Windows

Une campagne active depuis début juillet

Deux chevaux de Troie d’accès à distance pour Windows, baptisés E4del et PINHOLE, utilisent une technique peu courante pour recevoir leurs instructions : les bannières d’accueil exposées par les serveurs FTP.

La campagne a été observée en juillet et, selon des recherches menées sur une infrastructure indexée publiquement, elle était toujours active en août 2026. De nouveaux serveurs sont apparus au cours du mois d’août, signe que les opérateurs continuent de modifier le réseau utilisé pour la distribution.

L’infection commence probablement par un message d’hameçonnage contenant une archive ZIP. Celle-ci renferme une chaîne fondée sur des fichiers de raccourci Windows .LNK, souvent utilisés pour lancer des commandes sans présenter directement à l’utilisateur un exécutable traditionnel.

Le raccourci contacte un serveur FTP et lit le texte renvoyé lors de la connexion. Ce contenu, normalement destiné à afficher un message de service avant l’authentification, est interprété par le malware comme une série d’instructions.

La bannière FTP utilisée comme dead-drop resolver

Cette technique transforme la bannière FTP en dead-drop resolver, ou DDR. Dans ce modèle, le serveur ne doit pas nécessairement fonctionner comme un véritable centre de commande et de contrôle : il suffit qu’il renvoie dans sa bannière les données attendues par le malware.

Le fichier .LNK utilise la réponse du serveur pour récupérer un script PowerShell, qui poursuit la chaîne d’infection et télécharge ou lance les composants suivants. L’utilisation d’un message textuel comme conteneur de commandes permet aux opérateurs de dissocier l’infrastructure de distribution du payload final.

Cette approche présente toutefois une limite. Les connexions FTP vers des serveurs inconnus peuvent être plus visibles que l’utilisation de plateformes légitimes, comme les réseaux sociaux, les services de gestion de code ou les sites vidéo. Lors de campagnes précédentes, les DDR ont notamment été hébergés sur des services tels que X, GitHub et YouTube, où le trafic peut plus facilement se confondre avec les communications ordinaires.

Malgré le risque de détection, cette méthode reste flexible. La même logique pourrait être adaptée à des scénarios d’ingénierie sociale ClickFix, dans lesquels la victime est incitée à exécuter manuellement des commandes ou des procédures présentées comme nécessaires pour résoudre un problème.

E4del se dissimule derrière une fausse application Discord

E4del est un RAT fondé sur Node.js et intégré à une application Electron signée numériquement. Le programme se présente comme Discord, en utilisant un nom et une interface potentiellement crédibles afin de réduire les soupçons de l’utilisateur.

La signature numérique ne prouve pas que l’application est légitime. Dans ce cas, elle est utilisée au sein d’un package malveillant qui intègre le composant Node.js et les fonctions d’accès à distance.

E4del peut :

• exécuter des commandes via des shells persistants ou temporaires ;
• capturer des captures d’écran ;
• transmettre le bureau via WebSockets ;
• télécharger et exécuter d’autres payloads.

Ces fonctions permettent aux opérateurs de passer de la simple exécution initiale au contrôle interactif de la machine. Ils peuvent également recueillir des informations visuelles, transférer de nouveaux outils et installer des composants supplémentaires.

Le module Node.js crypto32.node a également été identifié dans la chaîne d’infection. Il semble lié à une possible tentative d’élévation de privilèges. Le module n’ayant pas été récupéré pour analyse, son comportement réel et le niveau de privilèges accessible restent inconnus.

PINHOLE combine Pinterest, SurveyMonkey et des techniques d’injection

PINHOLE utilise une infrastructure différente pour récupérer la configuration de son serveur de commande et de contrôle. Le malware exploite des épingles Pinterest et des questions de sondages SurveyMonkey comme sources de données.

L’utilisation combinée de plusieurs services complique l’interruption complète des communications. La suppression d’un seul contenu ou domaine peut ne pas suffire, car le malware peut continuer à récupérer une partie de sa configuration depuis une autre plateforme.

Sur l’appareil compromis, PINHOLE limite la quantité de code conservée simultanément en mémoire grâce à une technique appelée shellcode fluctuation. Le payload est fragmenté et une seule section de 4 Ko est conservée en mémoire à la fois, l’assembly final étant reconstruit lorsque nécessaire.

Le code est ensuite injecté dans un processus suspendu ApplicationFrameHost.exe au moyen de l’Early Bird APC injection. Cette méthode permet de préparer les appels asynchrones avant le démarrage normal du processus, en utilisant un processus légitime comme conteneur.

PINHOLE prend en charge 14 commandes, notamment :

• la collecte d’informations sur le système ;
• l’envoi et le téléchargement de fichiers ;
• l’exécution de commandes ;
• la gestion des processus ;
• la capture de captures d’écran ;
• le déploiement d’un module destiné à voler les identifiants enregistrés dans les navigateurs.

Au cours de l’analyse, le script n’avait généré que 11 événements d’exécution. Ce chiffre est compatible avec une campagne encore à ses débuts, sans toutefois permettre à lui seul d’en estimer l’ampleur.

Qui est exposé et quelles données peuvent être compromises

Les victimes potentielles sont les utilisateurs Windows qui ouvrent des archives ZIP reçues par hameçonnage ou lancent des raccourcis .LNK non vérifiés. L’exécution du raccourci peut déclencher PowerShell, établir des connexions FTP et installer le RAT sans demander à l’utilisateur de lancer directement un fichier exécutable identifiable.

Les conséquences dépendent des privilèges disponibles et des payloads installés par la suite. Les capacités observées comprennent le contrôle à distance, l’exécution de commandes, les captures d’écran, la transmission du bureau, le transfert de fichiers et la gestion des processus.

PINHOLE peut également déployer un module destiné à voler les identifiants enregistrés dans les navigateurs. E4del pourrait tenter une élévation de privilèges via crypto32.node, mais cet aspect n’a pas été confirmé, le module n’étant pas disponible pour analyse.

Aucune victime précise, aucun secteur touché ni aucun chiffre global concernant les systèmes compromis n’ont été communiqués.

Contrôles à activer sur les terminaux et le réseau

Les organisations devraient examiner avec une attention particulière :

• les archives ZIP reçues dans des messages inattendus ou provenant d’expéditeurs usurpés ;
• l’exécution de fichiers .LNK, notamment lorsqu’ils invoquent PowerShell ;
• les exécutions PowerShell associées à des connexions FTP ;
• les connexions FTP vers des serveurs externes inconnus ;
• les bannières contenant des chaînes ou des données incompatibles avec un message de service normal ;
• les applications Electron imitant Discord ;
• les comportements anormaux de ApplicationFrameHost.exe ;
• les injections Early Bird APC et les accès inhabituels aux bases de données des navigateurs.

Les indicateurs de compromission permettant d’identifier les serveurs et les hôtes infectés ne sont pas disponibles dans les données publiques examinées. La détection devrait donc combiner la télémétrie réseau, les événements PowerShell, la création de processus et les contrôles portant sur les raccourcis Windows.

Les utilisateurs devraient éviter d’ouvrir les archives ZIP inattendues, ne pas exécuter les fichiers .LNK reçus par courrier électronique et vérifier l’origine des applications Electron avant leur installation. Bloquer ou limiter le trafic FTP sortant lorsqu’il n’est pas nécessaire à l’activité de l’entreprise peut également réduire la surface d’attaque.