Cruciferra : le crypter à 2 000 $/mois qui aveugle les EDR

Cruciferra : un service clé en main pour neutraliser les EDR Windows

Les chercheurs de Proofpoint ont publié le 28 juillet 2026 une analyse approfondie de Cruciferra, un service de cryptage malveillant de type Crypter-as-a-Service (CaaS) qui anime depuis plusieurs mois des dizaines de campagnes de diffusion de malware à travers le monde. Apparu pour la première fois sur le forum underground Exploit à l'automne 2025, Cruciferra propose à ses abonnés un service clé en main pour dissimuler leurs charges virales — chevaux de Troie d'accès distant, infostealers, keyloggers — derrière une couche de chiffrement et d'évasion suffisamment sophistiquée pour contourner la plupart des solutions de détection et de réponse aux points de terminaison (EDR) sur Windows.

Le service est proposé par abonnement mensuel, avec des formules tarifées entre 450 et 2 000 dollars selon le niveau de fonctionnalités et les volumes de campagnes. Ce modèle économique, calqué sur les services SaaS légitimes, est symptomatique de la professionnalisation du cybercrime : les opérateurs de Cruciferra se comportent comme un véritable éditeur de logiciels, avec des mises à jour régulières, un support sur les forums privés, et des variants en développement actif. Proofpoint a d'ailleurs identifié à la fois des versions de production et des versions de test, confirmant que le service est en amélioration continue visant à répondre aux contre-mesures déployées par les éditeurs de sécurité.

Techniquement, Cruciferra emploie plusieurs techniques d'évasion avancées qui se combinent pour maximiser les chances de contournement des solutions de sécurité modernes. La technique dite BYOVD (Bring Your Own Vulnerable Driver) consiste à charger un pilote Windows légitime mais vulnérable dans le système, puis à exploiter cette vulnérabilité pour obtenir des privilèges noyau et désactiver les composants de surveillance des EDR depuis le mode kernel. Cette technique est particulièrement redoutable car elle exploite des drivers signés numériquement par Microsoft ou des éditeurs reconnus : les solutions de sécurité ne peuvent pas les bloquer sans risquer de casser des fonctionnalités système légitimes.

La deuxième technique phare est le Process Ghosting, une variante avancée de l'injection de processus. Le Process Ghosting crée un fichier exécutable sur disque, puis supprime immédiatement ce fichier (ou le marque pour suppression via un handle FILE_DELETE_ON_CLOSE), avant de mapper le contenu en mémoire et de lancer l'exécution. Le résultat : un processus actif en mémoire sans fichier correspondant sur le disque, invisible aux scanners antivirus basés sur l'analyse de fichiers. Documentée depuis 2021 mais encore mal couverte par de nombreuses solutions EDR, cette technique reste particulièrement efficace pour déjouer les analyses forensiques en temps réel et les outils d'investigation post-incident.

Cruciferra combine ces deux techniques avec des appels système indirects (indirect syscalls) et l'API unhooking. Les appels système indirects permettent d'invoquer des fonctions Windows à bas niveau en contournant les hooks que les EDR placent dans l'espace utilisateur pour surveiller les comportements suspects. L'API unhooking consiste quant à lui à retirer ces mêmes hooks en restaurant la mémoire des DLL système à leur état original chargé depuis le disque. Ensemble, ces quatre techniques créent une chaîne d'évasion particulièrement complète, capable de neutraliser la grande majorité des EDR commerciaux déployés en entreprise.

La diversité des charges virales livrées par Cruciferra est révélatrice de sa nature de service généraliste. Proofpoint a observé la distribution de : AsyncRAT (cheval de Troie d'accès à distance open-source très populaire dans la cybercriminalité), Agent Tesla (infostealer ciblant les mots de passe de navigateurs, clients de messagerie et applications FTP), Remcos (RAT commercial détourné à des fins malveillantes), XWorm (RAT multifonctionnel apparu en 2022), ValleyRAT (RAT attribué à des acteurs de langue chinoise) et Snake Keylogger. Cet arsenal varié suggère que Cruciferra est utilisé par de nombreux groupes cybercriminels distincts, aux profils et objectifs différents, qui louent le crypter comme une infrastructure partagée.

Plus de 90 variations de fonctions cryptographiques ont été identifiées dans les différents échantillons analysés. Cette variabilité rend extrêmement difficile la création de signatures statiques pour détecter Cruciferra, car chaque campagne peut générer des hachages de fichiers uniques. Proofpoint note que le ciblage est globalement opportuniste, mais que certains secteurs apparaissent de manière disproportionnée dans les campagnes observées : la finance, la santé et les administrations publiques. Les volumes par campagne varient de quelques centaines à plusieurs milliers de messages malveillants distribués par courriel, avec des pièces jointes ou des liens pointant vers des fichiers cryptés par le service.

L'analyse de Proofpoint confirme que Cruciferra est en développement actif et permanent. De nouvelles fonctionnalités sont régulièrement ajoutées, et les techniques sont adaptées pour répondre aux mises à jour des solutions EDR des principaux éditeurs du marché. Ce niveau de maintenance distingue Cruciferra des outils crypter moins sophistiqués disponibles sur les forums underground, et signale un acteur ou un groupe disposant d'une expertise technique solide en développement Windows bas niveau et en anti-analyse. Plusieurs clusters de menace distincts et sans lien apparent utilisent simultanément le service, ce qui est caractéristique d'un CaaS établi sur le marché cybercriminel souterrain.

Le marché CaaS : une menace structurelle pour la défense des entreprises

L'existence de services comme Cruciferra illustre une tendance de fond dans l'économie souterraine du cybercrime : la spécialisation et la division du travail. Tout comme les entreprises légitimes externalisent des fonctions non-core, les cybercriminels externalisent désormais les aspects techniques les plus complexes de leurs opérations. Le Crypter-as-a-Service est le pendant malveillant des services de packaging logiciel légitimes : il permet à des acteurs sans compétences de développement avancées de lancer des campagnes techniquement sophistiquées en payant simplement un abonnement mensuel.

Cette économie de services permet une montée en puissance significative du volume global d'attaques. Des groupes qui auraient été incapables de développer eux-mêmes des techniques BYOVD ou Process Ghosting peuvent désormais les louer pour 2 000 dollars par mois. Pour les équipes de sécurité des entreprises, cela signifie que des techniques jadis réservées aux acteurs étatiques ou aux groupes les plus sophistiqués sont désormais accessibles à une menace cybercriminelle bien plus large. L'hypothèse défensive selon laquelle les attaquants ne sont pas assez sophistiqués pour contourner un EDR moderne devient de plus en plus fragile face à cette réalité du marché souterrain.

Du point de vue défensif, Cruciferra met en lumière les limites des stratégies de sécurité reposant exclusivement sur la détection par agents EDR. Les détections comportementales ciblant le chargement de drivers vulnérables, les accès mémoire cross-process inhabituels, et les appels système directs atypiques offrent de meilleures chances de succès que les signatures fichiers. La mise en place de Windows Defender Application Control (WDAC) avec la liste officielle de blocage des drivers vulnérables maintenue par Microsoft constitue une mesure préventive efficace contre le vecteur BYOVD. Cette liste, régulièrement mise à jour par l'équipe sécurité de Microsoft, bloque le chargement des drivers connus pour être exploités dans des attaques BYOVD.

Sur le plan de la threat intelligence, la publication de l'analyse par Proofpoint permet aux équipes SOC et aux fournisseurs de sécurité de mettre à jour leurs règles de détection YARA et Sigma, notamment en ciblant les comportements caractéristiques du BYOVD et du Process Ghosting plutôt que les hachages de fichiers. Les indicateurs de compromission publiés — hachages d'échantillons, noms de drivers vulnérables utilisés, patterns réseau — constituent un point de départ pour les équipes souhaitant auditer leurs journaux à la recherche de campagnes Cruciferra passées inaperçues.

Ce qu'il faut retenir

• Cruciferra est un CaaS vendu jusqu'à 2 000 $/mois combinant BYOVD, Process Ghosting et syscalls indirects pour neutraliser les EDR Windows lors de campagnes d'emails malveillants.
• Les charges livrées incluent AsyncRAT, Agent Tesla, Remcos et Snake Keylogger, avec un ciblage prioritaire des secteurs finance, santé et administrations publiques.
• Appliquez la politique de blocage des drivers vulnérables Microsoft (Vulnerable Driver Blocklist via WDAC) et renforcez la surveillance comportementale réseau, car les signatures fichiers sont inopérantes contre ce service.