StealC-Stealer-RuntimeBroker-Hollowing-C2-Extraction-Payload-Extraction-Analysis

1. تجويف RuntimeBroker.exe وعناوين IP الخاصة بـ C2

يكشف تحليل الذاكرة بواسطة Process Hacker أن StealC Stealer ينفّذ تجويف العملية (process hollowing) على RuntimeBroker.exe ويُنشئ اتصالات بخوادم C2 متعددة.

الملاحظات الرئيسية:

• العملية المستهدفة: RuntimeBroker.exe (PID 14900).
• عناوين IP الخاصة بـ C2:
  • http://87.120.196.171/
  • http://95.85.251.18/
  • http://193.148.56.97/
  • https://31.77.9.121/
• سلاسل Base64: سلاسل متعددة مُرمّزة بـ Base64 (من المحتمل أن تكون بيانات تكوين مشفّرة).

لماذا هذا مهم:

• تجويف العملية: تحقن البرمجية الخبيثة حمولتها داخل عملية Windows موثوقة.
• خوادم C2 متعددة: يضمن التكرار استمرار الاتصال حتى إذا تم حظر أحد الخوادم.
• تسريب البيانات: من المحتمل أن تُستخدم عناوين IP لإرسال البيانات المسروقة.

مرجع مرئي:

عرض Process Hacker يُظهر سلاسل RuntimeBroker.exe مع عناوين IP الخاصة بـ C2.

2. قائمة نطاقات C2 – StealC Stealer

يكشف تحليل الذاكرة بواسطة Process Hacker عن قائمة واسعة من نطاقات C2 التي يستخدمها StealC Stealer لتسريب البيانات وتسليم الأوامر.

النطاقات الرئيسية الملاحظة:

• easyjet.com – نطاق C2.
• easythe.com – نطاق C2.
• ebookers.com – نطاق C2.
• ecomlead.com – نطاق C2.
• ecruises.com – نطاق C2.
• egroupware-italia.it – نطاق C2.
• egroupware.de – نطاق C2.
• egroupware.net – نطاق C2.
• egroupware.org – نطاق C2.
• einheiten-umrechnen.de – نطاق C2.
• einmalmitprofits.at – نطاق C2.
• elmerchocolate.net – نطاق C2.
• elsevierfctch.com – نطاق C2.
• emedixus.com – نطاق C2.
• enverity.com – نطاق C2.

لماذا هذا مهم:

• التكرار: تضمن النطاقات المتعددة بقاء البرمجية الخبيثة عاملة إذا تم حظر بعضها.
• التهرّب: تساعد النطاقات التي تبدو شرعية (مثل easyjet.com) على تجنّب الكشف.
• التسريب: تُرسَل البيانات المسروقة إلى هذه النطاقات.

مرجع مرئي:

عرض Process Hacker يُظهر نطاقات C2 التي يستخدمها StealC Stealer.

3. سرقة ملفات تعريف الارتباط والتلاعب بالنظام

يكشف تحليل الذاكرة بواسطة Process Hacker لـ RuntimeBroker.exe أن StealC Stealer يستهدف ملفات تعريف الارتباط الخاصة بالمتصفح ويستخدم واجهات برمجة تطبيقات التلاعب بالنظام.

السلاسل الرئيسية الملاحظة:

• cookies.sqlite – يستهدف قواعد بيانات ملفات تعريف الارتباط الخاصة بالمتصفح (Firefox).
• ShellExecuteExA – ينفّذ البرامج أو يفتح الملفات.
• GetSystemTimes – يسترجع معلومات توقيت النظام.
• wow64base.dll – طبقة التوافق 32-بت (التهرّب).
• agent_version – معرّف إصدار البرمجية الخبيثة.
• browser_type – يحدّد المتصفح المستهدف.
• FindWindowA – يحدّد موقع النوافذ (التفاعل مع واجهة المستخدم).
• CreatePipe – يُنشئ أنابيب للتواصل بين العمليات.
• LoadLibraryA – يحمّل مكتبات DLL إضافية.

لماذا هذا مهم:

• سرقة ملفات تعريف الارتباط: يؤكد cookies.sqlite سرقة بيانات ملفات تعريف الارتباط.
• التلاعب بالنظام: يشير ShellExecuteExA وCreatePipe إلى تنفيذ الأوامر.
• التهرّب: يساعد wow64base.dll على تجاوز ضوابط الأمان الخاصة بـ 64-بت.

مرجع مرئي:

عرض Process Hacker يُظهر cookies.sqlite وShellExecuteExA وواجهات نظام أخرى.

4. cookies.sqlite – واجهات برمجة التطبيقات والتلاعب بالنظام

يكشف تحليل Binary Ninja لملف cookies.sqlite عن قائمة باستدعاءات واجهات برمجة التطبيقات ووظائف النظام التي يستخدمها StealC Stealer.

واجهات برمجة التطبيقات الرئيسية الملاحظة:

• GetClassNameA – يسترجع أسماء فئات النوافذ (التفاعل مع واجهة المستخدم).
• ShellExecuteExW – ينفّذ البرامج أو يفتح الملفات.
• VirtualAlloc – يخصّص الذاكرة (الحقن).
• VirtualFree – يحرّر الذاكرة (التنظيف).
• GetMenuItemID – يسترجع معرّفات عناصر القائمة (التلاعب بواجهة المستخدم).
• IsWow64Process – يكتشف عملية 32-بت على نظام تشغيل 64-بت (التهرّب).
• upload_file – يرفع البيانات المسروقة إلى C2.
• update_cookies – يحدّث بيانات ملفات تعريف الارتباط (الاستمرارية).

لماذا هذا مهم:

• التلاعب بالنظام: يتيح ShellExecuteExW وVirtualAlloc تنفيذ التعليمات البرمجية.
• التهرّب: يساعد IsWow64Process على تجاوز أمان 64-بت.
• تسريب البيانات: يؤكد upload_file سرقة البيانات.

مرجع مرئي:

عرض Binary Ninja يُظهر ShellExecuteExW وVirtualAlloc وواجهات برمجة تطبيقات أخرى في cookies.sqlite.

5. ShellExecuteEx – سرقة النظام والبيانات

يكشف تحليل Binary Ninja لدالة ShellExecuteEx عن قائمة من عمليات النظام، ودوال الاتصال بخادم C2، وواجهات برمجة تطبيقات سرقة البيانات التي يستخدمها StealC Stealer.

السلاسل النصية الرئيسية الملاحظة:

• winlogon.exe – يستهدف عملية تسجيل الدخول في Windows (تصعيد الامتيازات).
• vdrsvc.exe – يستهدف عملية خدمة (التهرّب).
• HttpQueryInfoA – يسترجع ترويسات HTTP (الاتصال بخادم C2).
• cookies.sqlite – يستهدف ملفات تعريف ارتباط المتصفح (سرقة البيانات).
• vncdll – مكتبة DLL مرتبطة بـ VNC (الوصول عن بُعد).
• PeekNamedPipe – يقرأ البيانات من الأنابيب المسماة (IPC).
• VirtualFree – يحرر الذاكرة (التنظيف).
• UnmapViewOfFile – يلغي تعيين الملفات (التنظيف).
• GetSystemTimes – يسترجع أوقات النظام (مكافحة التنقيح).

لماذا هذا مهم:

• تصعيد الامتيازات: يُعد winlogon.exe هدفًا عالي القيمة.
• الاتصال بخادم C2: يُستخدم HttpQueryInfoA للاتصال بخادم C2 عبر HTTP.
• سرقة البيانات: يؤكد cookies.sqlite سرقة ملفات تعريف الارتباط.
• التهرّب: يساعد vdrsvc.exe وGetSystemTimes على تجنّب الكشف.

مرجع مرئي:

عرض Binary Ninja يُظهر winlogon.exe وHttpQueryInfoA وcookies.sqlite وواجهات برمجة تطبيقات أخرى.

الخاتمة

كشف هذا التحليل عن StealC Stealer، وهو أداة سرقة معلومات متطورة تستخدم تقنية process hollowing على RuntimeBroker.exe، وخوادم C2 متعددة، وقدرات واسعة لسرقة البيانات.

النقاط الرئيسية:

• Process Hollowing: يحقن التعليمات البرمجية في RuntimeBroker.exe (PID 14900).
• البنية التحتية لـ C2: عناوين IP متعددة (87.120.196.171، 95.85.251.18، 193.148.56.97، 31.77.9.121) ونطاقات (easyjet.com، ebookers.com، ecomlead.com، إلخ).
• سرقة ملفات تعريف الارتباط: يستهدف cookies.sqlite للحصول على بيانات ملفات تعريف ارتباط المتصفح.
• التلاعب بالنظام: يستخدم ShellExecuteExA وVirtualAlloc وIsWow64Process وGetSystemTimes.
• تسريب البيانات: يستخدم upload_file وupdate_cookies لإرسال البيانات المسروقة.

توصيات الكشف:

• احظر عناوين IP الخاصة بـ C2: 87.120.196.171، 95.85.251.18، 193.148.56.97، 31.77.9.121.
• احظر نطاقات C2: easyjet.com، ebookers.com، ecomlead.com، إلخ.
• راقب الوصول إلى cookies.sqlite من عمليات غير معتادة.
• اكتشف استدعاءات ShellExecuteExA وVirtualAlloc في RuntimeBroker.exe.

تنزيل العينة

عينة StealC Stealer التي تم تحليلها متاحة على MalwareBazaar لمن يرغب في إجراء تحليله الخاص: