Bitdefender + CERT géorgien - Curly COMrades #2 : quand Hyper-V devient la cachette parfaite des APT

La poursuite de l’enquête de Bitdefender sur le groupe Curly COMrades - déjà documentée une première fois en août 2025 - révèle les nouveaux outils et techniques utilisés par le groupe affilié à la Russie pour renforcer la furtivité et la persistance au sein des réseaux compromis.

Conduite avec le soutien du CERT géorgien, elle démontre comment le groupe établit un accès durable aux environnements victimes, en détournant des fonctions légitimes de virtualisation afin de dissimuler son activité aux solutions traditionnelles de détection et de réponse sur les terminaux (EDR).
Grâce à leur faible empreinte et leur isolement du système hôte, ces VM échappent en effet plus facilement aux solutions de sécurité traditionnelles.
Le groupe Curly COMrades exploite aussi un script PowerShell abusant des tickets Kerberos pour exécuter des commandes à distance, renforçant ses capacités de mouvement latéral et sa persistance dans les environnements compromis.

Collaboration internationale et analyse du C2
La cartographie de qualité et l’analyse détaillée du canal de communication CurlCat ont été rendues possibles grâce à une coopération internationale rapide avec le CERT national de Géorgie (CERT.GOV.GE). Cette collaboration a démontré la valeur cruciale du partage du renseignement sur les menaces pour défaire des opérations sophistiquées.

Bitdefender estime que cette opération est étendue et appelle entreprises et administrations à appliquer les recommandations et indicateurs de compromission détaillés dans la recherche qui suit.

L’analyse réalisée avec le soutien du CERT Géorgien :

Curly COMrades : Évasion et persistance via des machines virtuelles Hyper-V cachées

En bref - Cette enquête, conduite avec le soutien du CERT géorgien, a permis de découvrir de nouveaux outils et techniques utilisés par l’acteur menaçant Curly COMrades. Ils ont établi un accès caché et de long terme aux réseaux victimes en détournant des fonctions de virtualisation (Hyper-V) pour créer un environnement d’exploitation distant dissimulé.

Nous avons documenté pour la première fois l’acteur Curly COMrades, opérant au service d’intérêts russes dans des zones géopolitiques sensibles, en août 2025. Depuis cette découverte initiale, des analyses forensiques et des opérations de réponse aux incidents ont révélé des outils et techniques critiques supplémentaires. Le CERT géorgien a apporté un soutien précieux : il nous a alertés sur un échantillon détecté communiquant avec un site compromis que nous surveillions, ce qui a permis une analyse conjointe. Le CERT géorgien a ensuite joué un rôle clé dans l’acquisition de preuves et l’analyse forensique du site compromis lui-même, que les attaquants ont utilisé comme proxy vers leur infrastructure réelle.

La découverte la plus marquante de cette campagne est l’exploitation de technologies de virtualisation légitimes, démontrant comment les acteurs menaçants innovent pour contourner les solutions EDR standard alors que celles-ci deviennent des outils banalisés. Les attaquants ont activé le rôle Hyper-V sur des systèmes victimes sélectionnés pour déployer une machine virtuelle minimaliste basée sur Alpine Linux. Cet environnement caché, à l’empreinte très légère (seulement 120 Mo d’espace disque et 256 Mo de mémoire), hébergeait leur reverse shell personnalisé, CurlyShell, et un reverse proxy, CurlCat. En isolant le malware et son environnement d’exécution dans une VM, les attaquants ont contourné de nombreuses détections EDR basées sur l’hôte. L’EDR doit être complété par une inspection réseau côté hôte pour détecter le trafic C2 qui s’échappe de la VM, ainsi que par des outils de durcissement proactif pour limiter l’abus initial des binaires natifs du système. (Exemples Bitdefender : cette exigence fonctionnelle est adressée par l’intégration de capacités telles que Network Attack Defense (NAD) et Proactive Hardening and Attack Surface Reduction (PHASR).)

L’acteur a montré une volonté nette de maintenir une capacité de reverse proxy, en introduisant de façon répétée de nouveaux outils dans l’environnement. Les artefacts identifiés incluent un large éventail d’échantillons de proxy et de tunneling : Resocks, Rsockstun, Ligolo-ng, CCProxy, TStunnel, ainsi que des méthodes basées sur SSH. Cette approche flexible et empilée a été essentielle pour garder l’accès.

L’enquête a aussi mis au jour un script PowerShell conçu pour l’exécution de commandes à distance qui abuse des tickets Kerberos, élargissant encore la boîte à outils opérationnelle de l’adversaire. De plus, plusieurs scripts PowerShell déployés via les GPO indiquent un mécanisme de persistance à première vue simple mais efficace, lié à la création de comptes locaux.

Conclusion et recommandations
L’enquête montre que les attaquants se reposent sur une combinaison de malwares personnalisés et de techniques furtives pour établir et maintenir une persistance dans l’environnement victime. Les deux familles custom — CurlyShell et CurlCat — étaient au cœur de l’activité, partageant une base de code quasi identique mais différant par leur traitement des données reçues : CurlyShell exécute les commandes, CurlCat relaie le trafic via SSH. Ces outils ont été déployés et opérés de manière à offrir un contrôle flexible et adaptable.

L’abus des technologies de virtualisation a été un élément clé de la campagne. En activant Hyper-V et en exécutant des machines virtuelles légères, les attaquants ont créé des environnements isolés depuis lesquels les reverse shells, proxies et malwares pouvaient opérer. Cette isolation protégeait les malwares contre l’analyse comportementale, l’EDR et le scanning statique qui s’exécutent normalement sur le système hôte. Toutefois, le trafic C2 et les reverse shells devaient toujours sortir via la pile réseau de l’hôte : en pratique, une couche de sécurité comme Network Attack Defense (NAD) opérant sur l’hôte peut intercepter et détecter les schémas de communication malveillante au passage par les interfaces réseau. NAD inclut des algorithmes d’identification générique de contenu, capables de reconnaître des objets tels que des exécutables ou des adresses URL même pour des protocoles inconnus ou faits maison.

Durant toute l’opération, l’acteur a montré un accent fort sur la furtivité et la sécurité opérationnelle : payloads chiffrés, abus des capacités natives de PowerShell, et minimisation des traces forensiques. Pour contrer les mouvements latéraux furtifs, les organisations doivent détecter les accès anormaux au processus LSASS et les créations/injections de tickets Kerberos suspectes, qui se produisent hors de la VM et sont détectables. Utilisez les capacités EDR/XDR (ex. GravityZone) pour repérer l’accès malveillant aux processus de gestion des identifiants et mitiger les attaques mémoire. Pour les organisations à effectif sécurité restreint, l’adoption d’un service MDR reste une solution efficace.

La sophistication démontrée par Curly COMrades confirme une tendance clé : alors que les solutions EDR/XDR deviennent des outils banalisés, les acteurs menaçants améliorent leurs techniques pour les contourner (p. ex. via l’isolation en VM). Pour contrer cela, il faut aller au-delà d’une couche de sécurité unique et implémenter une défense en profondeur multi-couches. Il est crucial de concevoir l’environnement pour qu’il soit hostile aux attaquants : utiliser des solutions qui restreignent l’espace opérationnel de l’adversaire, telles que PHASR (Proactive Hardening and Attack Surface Reduction), qui empêche l’abus des outils natifs et force l’attaquant à des actions plus risquées et donc plus détectables, augmentant ainsi le coût opérationnel d’une attaque et sécurisant l’environnement à tous les niveaux.