En bref

  • Des chercheurs ont découvert CTRL, un toolkit d'accès distant d'origine russe distribué via des fichiers LNK piégés
  • L'outil combine phishing de credentials, keylogging, détournement RDP et tunneling via Fast Reverse Proxy
  • CTRL illustre la tendance aux toolkits mono-opérateur conçus pour échapper aux détections classiques

Ce qui s'est passé

Les chercheurs de Censys ont identifié un nouveau toolkit d'accès distant baptisé CTRL, développé en .NET et d'origine russe. L'outil a été découvert sur un répertoire ouvert hébergé à l'adresse 146.19.213.155 en février 2026. Il se distingue des RAT traditionnels par son architecture modulaire et son approche orientée discrétion opérationnelle.

La chaîne d'infection repose sur un fichier raccourci Windows (LNK) déguisé en dossier de clé privée, nommé « Private Key #kfxm7p9q_yek.lnk ». Lorsque la victime double-clique sur ce fichier en pensant ouvrir un dossier, le malware s'exécute silencieusement. CTRL embarque plusieurs modules : chargement de payloads chiffrés, collecte de credentials via une interface imitant Windows Hello, enregistrement des frappes clavier, détournement de sessions RDP et tunneling inversé via FRP.

L'opérateur interagit avec les machines compromises exclusivement via des tunnels FRP inversés vers des sessions RDP, évitant ainsi les schémas de communication réseau (beacons) caractéristiques des RAT classiques que les solutions de détection réseau repèrent facilement.

Pourquoi c'est important

CTRL représente une évolution préoccupante dans l'écosystème des outils offensifs. Contrairement aux RAT commerciaux ou open source largement documentés et signaturés par les antivirus, ces toolkits sur-mesure mono-opérateur sont conçus pour passer sous les radars. L'utilisation de FRP pour le tunneling et de RDP comme canal de commande rend la détection plus complexe car le trafic se fond dans les flux légitimes.

L'interface de phishing imitant Windows Hello est particulièrement redoutable. Les utilisateurs habitués à l'authentification biométrique de Windows sont conditionnés à faire confiance à cette interface, ce qui augmente considérablement le taux de succès de la collecte de credentials. Pour les équipes de défense, cela implique de surveiller les connexions RDP inhabituelles et les tunnels FRP sortants.

Ce qu'il faut retenir

  • Bloquer l'exécution de fichiers LNK reçus par email ou téléchargés depuis des sources non fiables
  • Surveiller les connexions sortantes vers des proxys FRP et les sessions RDP non sollicitées
  • Former les utilisateurs à reconnaître les fausses interfaces d'authentification, même celles imitant Windows Hello

Comment détecter la présence de CTRL sur un poste compromis ?

Recherchez des processus .NET inconnus établissant des connexions sortantes vers des serveurs FRP, des fichiers LNK suspects dans les dossiers de téléchargement, et des services de keylogging tournant en arrière-plan. Les IoC publiés par Censys incluent l'adresse IP 146.19.213.155 et le nom de fichier « Private Key #kfxm7p9q_yek.lnk ». Une analyse des logs RDP pour des sessions initiées depuis des sources inhabituelles est également recommandée.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact