RedLine-Stealer-C2-Defender-Bypass-Payload-Analysis

1. C2-Verbindung – IP 198.46.86.63

Die Netzwerkanalyse zeigt, dass RedLine Stealer eine Verbindung zur entfernten IP-Adresse 198.46.86.63 herstellt. Diese IP ist wahrscheinlich der Command-&-Control-Server (C2) der Malware, der für Datendiebstahl und Befehlsübermittlung genutzt wird.

Wichtige Beobachtungen:

• IP-Adresse: 198.46.86.63
• Protokoll: Wahrscheinlich HTTP/HTTPS (basierend auf typischem RedLine-Verhalten).
• Zweck: C2-Kommunikation für gestohlene Daten (Anmeldeinformationen, Cookies, Krypto-Wallets).

Warum das wichtig ist:

• C2-Infrastruktur: Die IP kann verwendet werden, um den Ursprung der Malware zu verfolgen.
• Erkennung: Netzwerksicherheitstools können diese IP blockieren.
• Exfiltration: Alle gestohlenen Daten werden an diesen Server gesendet.

Visuelle Referenz:

Netzwerkmonitor-Ansicht, die zeigt, wie RedLine Stealer eine Verbindung zu 198.46.86.63 herstellt.

2. Nutzlast-Speicherblock – 7200 KB RW-Bereich

Process Hacker zeigt einen großen PAGE_READWRITE-Speicherblock (7200 KB) im RedLine-Stealer-Prozess. Dieser Bereich ist als Private markiert und enthält die Nutzlast der Malware, wahrscheinlich einschließlich gestohlener Daten, Konfiguration und ausführbarem Code.

Wichtige Beobachtungen:

• Größe: 7200 KB (7,2 MB)
• Typ: Private (nicht aus einer Datei zugeordnet)
• Schutz: PAGE_READWRITE (lesen/schreiben, nicht ausführbar)
• Zweck: Speichert wahrscheinlich die Hauptnutzlast (Datendiebstahl-Routinen, C2-Kommunikation usw.)

Warum das wichtig ist:

• Nutzlast-Speicher: Dieser Block enthält den zentralen Schadcode.
• Verschleierung: Die Daten können verschlüsselt oder komprimiert sein, um einer Erkennung zu entgehen.
• Speicherforensik: Das Auslesen (Dumpen) dieses Bereichs kann den vollständigen Malware-Code offenlegen.

Visuelle Referenz:

Process-Hacker-Ansicht, die den 7200 KB großen PAGE_READWRITE-Speicherblock mit der Nutzlast zeigt.

3. Backup-C2 – tempuri.org

Die Binary-Ninja-Analyse zeigt einen zweiten C2-Server: tempuri.org. Dieser dient wahrscheinlich als Backup- oder alternativer C2-Server, falls der primäre Server (198.46.86.63) nicht erreichbar ist.

Beobachtete Zeichenketten (Strings):

• tempuri.org – Backup-C2-Server.
• Entity/Id9.Result – Endpunkt zum Senden gestohlener Daten.
• Id9.Response – Endpunkt zum Empfangen von C2-Befehlen oder Bestätigungen.

Warum das wichtig ist:

• Redundanz: Der Backup-C2 stellt sicher, dass die Datenextraktion fortgesetzt wird, selbst wenn der primäre Server blockiert ist.
• Exfiltration: Entity/Id9.Result wird wahrscheinlich verwendet, um gestohlene Anmeldeinformationen, Cookies und Krypto-Wallets zu senden.
• Erkennung: Diese Domain kann blockiert werden, um die Kommunikation der Malware zu stören.

Visuelle Referenz:

Binary-Ninja-Ansicht, die tempuri.org als Backup-C2-Server mit dem Endpunkt Entity/Id9.Result zeigt.

4. Systemkonfiguration & Persistenz

Die Binary-Ninja-Analyse zeigt, dass RedLine Stealer Systemkonfigurationseinstellungen sammelt und diese für Persistenz und Umgehung von Sicherheitsmaßnahmen nutzt.

Beobachtete Zeichenketten (Strings):

• PSModulePath – PowerShell-Modulpfad für die Befehlsausführung.
• HideExclusionsFromLocalAdmins – Blendet Windows-Defender-Ausschlüsse aus.
• RemoteEncryptionProtectionMaxBlockTime – Steuert das Timing des Verschlüsselungsschutzes.
• LastMapsDisableHeartbeatReportTime – Heartbeat-Meldung für die C2-Kommunikation.
• LastSetupErrorHeartbeatReportTime – Fehlermeldung an den C2-Server.

Warum das wichtig ist:

• PowerShell-Ausführung: Die Malware kann PowerShell-Skripte ausführen.
• Umgehung: Das Ausblenden von Ausschlüssen hilft, die Erkennung durch Antivirensoftware zu vermeiden.
• Persistenz: Heartbeat-Meldungen deuten auf eine aktive C2-Kommunikation hin.

Visuelle Referenz:

Binary-Ninja-Ansicht, die PowerShell-Pfad, Windows-Defender-Einstellungen und Heartbeat-Meldungen zeigt.

5. Manipulation von Windows Defender Exploit Guard

Die Binary-Ninja-Analyse zeigt, dass RedLine Stealer mehrere Einstellungen von Windows Defender Exploit Guard manipuliert, um Schutzfunktionen zu deaktivieren und Ausschlüsse hinzuzufügen.

Beobachtete Zeichenketten (Strings):

• Windows Defender Exploit Guard\Network Protection – Deaktiviert den netzwerkbasierten Schutz (z. B. Blockierung bösartiger IPs/Domains).
• ASR\ASROnlyExclusions – Fügt Ausschlüsse zu den Attack-Surface-Reduction-Regeln (ASR) hinzu und verhindert so, dass Defender bestimmte Dateien oder Prozesse blockiert.
• Controlled Folder Access – Ändert den Zugriff auf geschützte Ordner und umgeht möglicherweise den Ransomware-Schutz.
• Windows Defender Exploit Guard\Controlled Folder Access\Allowed Applications – Fügt die Malware zur Liste der zulässigen Anwendungen hinzu und erlaubt ihr, geschützte Ordner zu ändern.
• Windows Defender Exploit Guard\Network Protection\Blocked URLs – Entfernt oder ändert blockierte URLs, um die C2-Kommunikation zu ermöglichen.
• Windows Defender Exploit Guard\ASR\Rules – Deaktiviert bestimmte ASR-Regeln, die das Verhalten der Malware erkennen könnten.

Warum das wichtig ist:

• Umgehung: Das Deaktivieren des Netzwerkschutzes und der ASR-Regeln hilft der Malware, einer Erkennung zu entgehen.
• Persistenz: Das Hinzufügen von Ausschlüssen erlaubt es der Malware, Dateien zu speichern und Systemeinstellungen zu ändern, ohne blockiert zu werden.
• C2-Kommunikation: Das Entfernen blockierter URLs stellt sicher, dass die Malware ununterbrochen eine Verbindung zu ihrem C2-Server herstellen kann.
• Ransomware-Umgehung: Das Ändern von „Controlled Folder Access" hilft, Ransomware-Schutzmechanismen zu umgehen.

Visuelle Referenz:

Binary-Ninja-Ansicht, die mehrere Windows-Defender-Exploit-Guard-Zeichenketten zeigt.

Fazit

Diese Analyse deckte RedLine Stealer auf, einen .NET-basierten Info-Stealer, der fortschrittliche Umgehungstechniken, mehrere C2-Server und umfassende Datendiebstahl-Fähigkeiten kombiniert.

Wichtigste Erkenntnisse:

• C2-Kommunikation: Primärer C2-Server unter 198.46.86.63 und Backup unter tempuri.org.
• Nutzlast-Speicher: Der 7200 KB große PAGE_READWRITE-Speicherblock enthält die Hauptnutzlast.
• Defender-Bypass: Manipuliert Einstellungen von Windows Defender Exploit Guard (Netzwerkschutz, ASR, Zugriff auf geschützte Ordner).
• .NET-Konfiguration: Verwendet standardmäßige .NET-Konfigurationsabschnitte für die Einstellungsverwaltung.
• Datendiebstahl: Stiehlt Anmeldeinformationen, Cookies, Krypto-Wallets und Systeminformationen.

Erkennungsempfehlungen:

• C2-Domains blockieren: 198.46.86.63 und tempuri.org.
• Überwachen Sie auf PAGE_READWRITE-Speicherblöcke größer als 5 MB in verdächtigen Prozessen.
• Erkennen Sie Registrierungsänderungen an Windows Defender Exploit Guard.
• Überwachen Sie auf .NET-Konfigurationsabschnitte (System.Configuration) in ungewöhnlichen Prozessen.

Beispiel-Download

Die analysierte RedLine-Stealer-Probe ist auf MalwareBazaar für alle verfügbar, die eine eigene Analyse durchführen möchten:

🔗 RedLine-Stealer-Probe auf MalwareBazaar

Verwendete Tools: Binary Ninja, Process Hacker, Network Monitor