Des chercheurs en cybersécurité ont mis en lumière une chaîne d’intrusion jusque-là non documentée, basée sur HollowFrame et Matryoshka. L’objectif : compromettre des postes via un spear-phishing et installer des capacités durables de commande à distance, tout en rendant l’analyse et l’attribution plus difficiles.
Selon l’entreprise Blackpoint Cyber, la campagne commence par un message ciblé contenant un lien vers une archive chiffrée. À l’intérieur se trouve un fichier Windows Shortcut (LNK). Quand la victime l’exécute, l’attaque déclenche une suite d’étapes menant à l’élévation de privilèges, au affaiblissement de la protection Microsoft Defender et au chargement de composants supplémentaires.
Un spear-phishing qui utilise un LNK pour déclencher la chaîne
La première étape repose sur l’ingénierie sociale. Le fichier LNK était notamment présenté comme des “Case Documents”, un intitulé conçu pour pousser le destinataire à cliquer.
Une fois activé, le LNK lance une séquence multi-étapes, incluant l’utilisation de PowerShell afin de récupérer des éléments de la phase suivante depuis un serveur distant référencé dans l’activité (mentionné comme 2.26.252[.]84).
Cette approche permet de segmenter le comportement malveillant : une partie de la logique se trouve dans le document, une autre dans des composants téléchargés ensuite. Ainsi, aucun élément ne fournit à lui seul toute la visibilité nécessaire à une détection simple.
HollowFrame : un chargeur modulaire avec mécanismes d’évitement
Au cœur de la campagne, HollowFrame agit comme un cadre de chargeur modulaire. Construit en Go, il inclut un conteneur chiffré qui est décompressé pour amorcer une deuxième chaîne.
Les chercheurs décrivent également une technique de side-loading via une paire DLL : un binaire légitime python.exe et une DLL frauduleuse python311.dll. Ce choix vise à exploiter la confiance associée au binaire “Python” tout en introduisant un code malveillant dans le flux d’exécution.
En parallèle, HollowFrame effectue des vérifications anti-analyse pour éviter de fonctionner dans des environnements contrôlés ou des bacs à sable. Les éléments pris en compte incluent :
- la durée de disponibilité du système (uptime),
- la quantité de mémoire installée,
- le nombre de fichiers présents dans le profil utilisateur,
- et des observations liées au mouvement du curseur.
Pour assurer la continuité, la persistance est obtenue en mettant en place une tâche planifiée.
Une progression en étapes qui réduit la “visibilité” de l’infection
Un point marquant, relevé par Blackpoint Cyber, est que chaque étape réduit la quantité de comportement malveillant observable par rapport à la phase précédente. Autrement dit, les éléments sont distribués : la logique complète n’est jamais portée par une seule pièce.
Cette séparation complique :
- l’attribution, car la chaîne n’apparaît pas clairement depuis un seul artefact,
- la détection, car une signature basée sur un composant isolé risque de ne pas suffire.
Dans une attaque segmentée, l’analyste doit reconstruire le parcours et corréler plusieurs charges et communications réseau pour comprendre la finalité globale.
Matryoshka : deux variantes pour la commande à distance
La deuxième brique essentielle de l’ensemble est Matryoshka, décrite comme une famille de malware écrite en Rust. Les chercheurs indiquent que Matryoshka existe sous deux variantes capables d’interagir avec le serveur de commande et contrôle (C2) selon des méthodes différentes.
La première variante s’appuie sur une communication HTTP pour recevoir des commandes et les exécuter.
La seconde variante adopte une logique de C2 basée sur GitHub. Dans ce schéma, les actions incluent :
- le beaconing (télémétrie périodique),
- la prise de commandes (tasking),
- la reconnaissance,
- le transfert de fichiers,
- et le déploiement de charges additionnelles.
Dans les deux cas, la logique générale vise à offrir un accès à distance persistant, permettant notamment des tâches telles que la découverte de l’Active Directory et la préparation à des mouvements latéraux via de futurs outils.
Abus de l’API GitHub : “boîtes mail” par hôte
Dans la variante GitHub, une DLL supplémentaire (wtsapi32.dll) a été identifiée comme une variante liée à Matryoshka. Les chercheurs indiquent qu’elle s’appuie sur un dépôt privé : adioziaete/memio.
La particularité décrite : le dépôt fonctionne comme un ensemble de mailboxes dédiées par machine. Chaque victime se voit attribuer un répertoire spécifique au format <computer>_<username>.
Dans ces dossiers, on retrouve des fichiers tels que :
- beacon.json,
- cmd.json,
- result.json,
- et parfois une arborescence upload/ pour transférer des fichiers.
Ce mécanisme permet à l’opérateur de gérer les tâches et de récupérer les résultats pour chaque endpoint, sans maintenir nécessairement un serveur de commande “sur mesure”. Les chercheurs notent aussi que l’historique de versions du dépôt peut laisser des traces, sauf si les commits ou le dépôt associé sont supprimés.
Enfin, la consultation de l’API GitHub via l’identifiant mentionné montre qu’un compte a été créé le 6 janvier 2023, avec une mise à jour du profil aussi récente que le 7 juin 2026. À ce stade, l’identité de l’acteur derrière ces actions reste inconnue.
Quelles capacités l’attaque vise à obtenir ?
D’après les chercheurs Nevan Beal et Sam Decker, HollowFrame et Matryoshka offrent à l’attaquant un point d’appui durable permettant l’exécution de commandes à distance, la reconnaissance de l’Active Directory et le transfert de fichiers.
Ces capacités peuvent servir plusieurs objectifs : vol de secrets potentiels, préparation de mouvements latéraux et, plus largement, compromise du domaine via des outils livrés après l’accès initial.
La campagne décrite visait deux postes d’un cabinet d’avocats non précisé, ce qui renforce l’idée d’une opération ciblée, pensée pour passer par des habitudes d’ouverture de documents crédibles.
Informations clés à retenir pour la détection
Sans conclure à une méthode universelle, l’analyse met en évidence plusieurs signaux à surveiller lors d’une investigation :
- l’utilisation d’un fichier LNK présenté comme un document métier (ici “Case Documents”)
- le déclenchement de PowerShell pour télécharger des composants distants
- la présence de chaînes impliquant un side-loading (python.exe avec python311.dll)
- des tentatives de persistance via tâches planifiées
- et des communications C2, soit en HTTP, soit via GitHub et des répertoires dédiés
Dans une attaque multi-étapes, le contexte et la corrélation sont déterminants : un seul artefact peut sembler insuffisant, alors qu’un ensemble d’indices raconte l’histoire complète.
Conclusion
L’affaire détaillée par Blackpoint Cyber montre comment HollowFrame et Matryoshka s’assemblent pour former une chaîne d’intrusion discrète : un spear-phishing menant à un LNK, des mécanismes d’exécution en plusieurs temps, des vérifications anti-analyse, puis un malware capable de piloter la victime par HTTP ou via GitHub.
En segmentant les responsabilités entre composants et en réduisant la visibilité d’une étape à l’autre, l’attaque rend la détection plus complexe. Pour les équipes sécurité, l’approche la plus efficace consiste à surveiller les enchaînements d’exécution, les indicateurs réseau et les artefacts de persistance, plutôt que de se limiter à une seule signature isolée.
Source: https://thehackernews.com/2026/07/hollowframe-loader-deploys-matryoshka.html
