Lumma-Stealer-dllhost-Hollowing-C2-Domains-Payload-Extraction-Analysis

1. Setup.exe – Datenschutz-, Treiber- und Speicher-Strings

Die Prozess-Hacker-Speicheranalyse des setup.exe-Droppers zeigt, dass Lumma Stealer auf Datenschutzeinstellungen abzielt, Treiber installiert und Speicher verwaltet.

Beobachtete Schlüssel-Strings:

• Privacy Camera – Versucht, auf Kamera-Datenschutzeinstellungen zuzugreifen oder diese zu deaktivieren.
• Privacy Microphone – Versucht, auf Mikrofon-Datenschutzeinstellungen zuzugreifen oder diese zu deaktivieren.
• PreinstallDriver – Deutet auf Treiberinstallation für Persistenz oder Umgehung hin.
• MapMemoryB0000 – Speicherzuordnungsvorgang (wahrscheinlich für Injection).

Warum das wichtig ist:

• Datenschutzumgehung: Die Malware kann Kamera-/Mikrofon-Datenschutzeinstellungen deaktivieren.
• Treiberinstallation: PreinstallDriver deutet auf Kernel-Level-Zugriff hin.
• Speicherzuordnung: MapMemoryB0000 weist auf Speichermanipulation für Injection hin.

Visuelle Referenz:

Prozess-Hacker-Ansicht mit setup.exe-Strings einschließlich Privacy Camera, Privacy Microphone, PreinstallDriver und MapMemoryB0000.

2. Setup.exe – C2-Domainliste

Die Prozess-Hacker-Speicheranalyse des setup.exe-Droppers zeigt eine Liste von Domains, die wahrscheinlich für die C2-Kommunikation verwendet werden.

Beobachtete Schlüssel-Domains:

• zhtytomyr.ua – Potenzielle C2-Domain.
• pvt.k12.ma.us – Potenzielle C2-Domain.
• adobeaemcloud.com – Legitim aussehende Domain (für C2 missbraucht).
• adobeaemcloud.net – Legitim aussehende Domain (für C2 missbraucht).
• us-east-1.amazonaws.com – AWS-Domain (für Hosting missbraucht).
• elasticbeanstalk.com – AWS Elastic Beanstalk (für Hosting missbraucht).
• alwaysdata.net – Hosting-Anbieter (für C2 missbraucht).
• altervista.org – Hosting-Anbieter (für C2 missbraucht).

Warum das wichtig ist:

• C2-Kommunikation: Diese Domains werden verwendet, um gestohlene Daten zu exfiltrieren.
• Missbrauch legitimer Dienste: Domains wie amazonaws.com und elasticbeanstalk.com werden verwendet, um der Erkennung zu entgehen.
• Redundanz: Mehrere Domains stellen sicher, dass die Malware betriebsbereit bleibt, wenn einige blockiert werden.

Visuelle Referenz:

Prozess-Hacker-Ansicht mit setup.exe-Strings und C2-ähnlichen Domains.

3. C2-Adresse – Vagrancy.virus.cc (ALPC-Verbindung)

Die Binary-Ninja-Analyse der .bin-Datei, die aus den ALPC-bezogenen Strings in dllhost.exe extrahiert wurde, zeigt eine potenzielle C2-Adresse: Vagrancy.virus.cc.

Wichtige Beobachtungen:

• Vagrancy.virus.cc – Potenzieller C2-Server.
• Quelle: Extrahiert aus dem .bin-Dump von dllhost.exe (ALPC-Strings).
• Kontext: Gefunden zusammen mit NtConnectPort (Interprozesskommunikation).

Warum das wichtig ist:

• C2-Kommunikation: Die Malware verwendet diese Domain wahrscheinlich, um gestohlene Daten zu exfiltrieren.
• ALPC-Nutzung: Die Verbindung kann über ALPC zur Tarnung hergestellt werden.
• Erkennung: Diese Domain kann blockiert werden, um die Kommunikation der Malware zu unterbrechen.

Visuelle Referenz:

Binary-Ninja-Ansicht mit Vagrancy.virus.cc, extrahiert aus ALPC-bezogenen .bin-Daten.

4. dllhost.exe – Process Hollowing & Native-API-Nutzung

Die Prozess-Hacker-Speicheranalyse des injizierten dllhost.exe-Prozesses zeigt, dass Lumma Stealer Process-Hollowing-Techniken mit Native-API-Aufrufen verwendet.

Beobachtete Native-APIs:

• NtCreateThreadEx – Erstellt einen Thread in einem Remote-Prozess (Injection).
• NtWriteVirtualMemory – Schreibt Daten in den Speicher eines anderen Prozesses.
• NtTerminateProcess – Beendet Prozesse (z. B. Sicherheitstools).
• NtShutdownSystem – Fährt das System herunter oder startet es neu.
• NtSetInformationProcess – Ändert Prozessinformationen (Umgehung).
• NtAdjustPrivilegesToken – Passt Token-Berechtigungen an (Eskalation).
• NtSystemDebugControl – Führt System-Debug-Vorgänge aus.
• SetClipboardData – Manipuliert Zwischenablagedaten.

Warum das wichtig ist:

• Process Hollowing: Die Malware injiziert ihre Nutzlast in dllhost.exe.
• Native-API-Nutzung: Umgeht User-Mode-Hooks (EDR/AV).
• Rechteausweitung: NtAdjustPrivilegesToken ermöglicht höheren Zugriff.

Visuelle Referenz:

Prozess-Hacker-Ansicht mit dllhost.exe-Strings und Native-APIs (NtCreateThreadEx, NtWriteVirtualMemory usw.).

5. Lumma Stealer – Zwischenablage- & Keylogger-Fähigkeiten

Die Binary-Ninja-Analyse der extrahierten .bin-Datei aus dllhost.exe zeigt, dass Lumma Stealer über Zwischenablage-Hijacking- und Keylogging-Fähigkeiten verfügt.

Beobachtete Schlüsselfunktionen:

• SetClipboardData – Schreibt Daten in die Zwischenablage (Hijacking).
• NtUserGetClipboardData – Liest Daten aus der Zwischenablage.
• NtUserGetKeyState – Ruft den Tastaturstatus ab (Keylogging).
• NtUserGetAsyncKeyState – Ruft den asynchronen Tastenstatus ab (Keylogging).
• NtUserPostThreadMessage – Sendet Thread-Nachrichten (Kommunikation).
• NtUserBlockInput – Blockiert Benutzereingaben (Umgehung).
• NtUserSetWindowsHookEx – Setzt Windows-Hooks (Keylogging).
• NtUserMoveWindow – Bewegt Fenster (UI-Manipulation).

Warum das wichtig ist:

• Zwischenablage-Diebstahl: Stiehlt kopierten Text (Passwörter, Krypto-Adressen).
• Keylogging: Erfasst Tastatureingaben (Passwörter, Nachrichten).
• Umgehung: NtUserBlockInput kann die Benutzereingabe einfrieren.
• Persistenz: NtUserSetWindowsHookEx kann globale Hooks setzen.

Visuelle Referenz:

Binary-Ninja-Ansicht mit SetClipboardData, NtUserGetClipboardData und Keylogging-Funktionen.

6. dllhost.exe – ALPC-, Section- & Treiberverwaltung

Die Prozess-Hacker-Speicheranalyse des injizierten dllhost.exe-Prozesses zeigt, dass Lumma Stealer ALPC, Section-Verwaltung und Treiberladung für Kommunikation und Persistenz verwendet.

Beobachtete Native-APIs:

• NtAlpcSendWaitReceivePort – ALPC-Kommunikation (Interprozesskommunikation).
• NtConnectPort – Verbindet sich mit einem Port (wahrscheinlich C2 oder System).
• NtCreateSection – Erstellt einen Speicher-Section (für Code-Injection).
• NtOpenSection – Öffnet eine vorhandene Speicher-Section.
• NtLoadDriver – Lädt einen Kernel-Treiber (tiefer Systemzugriff).
• NtCreateThread – Erstellt einen Thread (für die Nutzlastausführung).
• NtCreateEvent – Erstellt ein Ereignisobjekt (Synchronisierung).
• NtCreateMutant – Erstellt einen Mutex (um doppelte Ausführung zu vermeiden).

Warum das wichtig ist:

• Interprozesskommunikation: ALPC wird für verdeckte Kommunikation verwendet.
• Speichermanipulation: NtCreateSection und NtOpenSection werden für Injection verwendet.
• Kernel-Zugriff: NtLoadDriver bietet tiefen Systemzugriff.
• Persistenz: Mutex verhindert mehrere Instanzen.

Visuelle Referenz:

Prozess-Hacker-Ansicht mit dllhost.exe-Strings einschließlich NtAlpcSendWaitReceivePort, NtCreateSection und NtLoadDriver.

Fazit

Diese Analyse deckte Lumma Stealer auf, einen ausgeklügelten Info-Stealer, der eine mehrstufige Infektionskette mit einem Dropper (setup.exe) und Prozess-Injection in dllhost.exe verwendet.

Wichtigste Erkenntnisse:

• Dropper (setup.exe): Enthält datenschutzbezogene Strings (Privacy Camera, Privacy Microphone), Treiberinstallation (PreinstallDriver) und C2-Domain-Kandidaten (z. B. zhtytomyr.ua, adobeaemcloud.com).
• Prozess-Injection (dllhost.exe): Verwendet Process Hollowing mit Native-APIs (NtCreateThreadEx, NtWriteVirtualMemory).
• Erweiterte Kommunikation: Nutzt ALPC (NtAlpcSendWaitReceivePort), Section-Verwaltung (NtCreateSection) und Treiberladung (NtLoadDriver).
• Datendiebstahl-Fähigkeiten: Umfasst Zwischenablage-Hijacking (SetClipboardData) und Keylogging ().

Erkennungsempfehlungen:

• C2-Domains blockieren: zhtytomyr.ua, adobeaemcloud.com, Vagrancy.virus.cc.
• Auf NtCreateThreadEx- und NtWriteVirtualMemory-Aufrufe in dllhost.exe überwachen.
• NtAlpcSendWaitReceivePort- und NtLoadDriver-Nutzung erkennen.
• Auf Zwischenablage- und Keylogging-API-Aufrufe überwachen (SetClipboardData, NtUserGetKeyState).

Beispiel-Download

Die analysierte Lumma-Stealer-Probe ist auf MalwareBazaar für alle verfügbar, die ihre eigene Analyse durchführen möchten:

🔗 Lumma Stealer Sample auf MalwareBazaar

Verwendete Tools: Process Hacker, Binary Ninja, x64dbg