Lumma-Stealer-dllhost-Hollowing-C2-Domains-Payload-Extraction-Analysis

1. Setup.exe – Cadenas de Privacidad, Controladores y Memoria

El análisis de memoria con Process Hacker del dropper setup.exe revela que Lumma Stealer apunta a configuraciones de privacidad, instala controladores y gestiona memoria.

Cadenas clave observadas:

• Privacy Camera – Intenta acceder o deshabilitar la configuración de privacidad de la cámara.
• Privacy Microphone – Intenta acceder o deshabilitar la configuración de privacidad del micrófono.
• PreinstallDriver – Indica la instalación de controladores para persistencia o evasión.
• MapMemoryB0000 – Operación de mapeo de memoria (probablemente para inyección).

Por qué es importante:

• Omisión de privacidad: El malware puede deshabilitar la configuración de privacidad de cámara/micrófono.
• Instalación de controladores: PreinstallDriver sugiere acceso a nivel de kernel.
• Mapeo de memoria: MapMemoryB0000 indica manipulación de memoria para inyección.

Referencia visual:

Vista de Process Hacker que muestra las cadenas de setup.exe con Privacy Camera, Privacy Microphone, PreinstallDriver y MapMemoryB0000.

2. Setup.exe – Lista de dominios C2

El análisis de memoria con Process Hacker del dropper setup.exe revela una lista de dominios que probablemente se utilizan para la comunicación C2.

Dominios clave observados:

• zhtytomyr.ua – Posible dominio C2.
• pvt.k12.ma.us – Posible dominio C2.
• adobeaemcloud.com – Dominio de apariencia legítima (abusado para C2).
• adobeaemcloud.net – Dominio de apariencia legítima (abusado para C2).
• us-east-1.amazonaws.com – Dominio de AWS (abusado para alojamiento).
• elasticbeanstalk.com – AWS Elastic Beanstalk (abusado para alojamiento).
• alwaysdata.net – Proveedor de alojamiento (abusado para C2).
• altervista.org – Proveedor de alojamiento (abusado para C2).

Por qué es importante:

• Comunicación C2: Estos dominios se utilizan para exfiltrar datos robados.
• Abuso de servicios legítimos: Dominios como amazonaws.com y elasticbeanstalk.com se utilizan para evadir la detección.
• Redundancia: Múltiples dominios garantizan que el malware siga operativo si algunos son bloqueados.

Referencia visual:

Vista de Process Hacker que muestra las cadenas de setup.exe con dominios similares a C2.

3. Dirección C2 – Vagrancy.virus.cc (Conexión ALPC)

El análisis con Binary Ninja del archivo .bin extraído de las cadenas relacionadas con ALPC en dllhost.exe revela una posible dirección C2: Vagrancy.virus.cc.

Observaciones clave:

• Vagrancy.virus.cc – Posible servidor C2.
• Fuente: Extraído del volcado .bin de dllhost.exe (cadenas ALPC).
• Contexto: Encontrado junto a NtConnectPort (comunicación entre procesos).

Por qué es importante:

• Comunicación C2: El malware probablemente utiliza este dominio para exfiltrar datos robados.
• Uso de ALPC: La conexión puede establecerse mediante ALPC para pasar desapercibido.
• Detección: Este dominio puede bloquearse para interrumpir la comunicación del malware.

Referencia visual:

Vista de Binary Ninja que muestra Vagrancy.virus.cc extraído de los datos .bin relacionados con ALPC.

4. dllhost.exe – Process Hollowing y uso de API nativas

El análisis de memoria con Process Hacker del proceso inyectado dllhost.exe revela que Lumma Stealer utiliza técnicas de Process Hollowing con llamadas a API nativas.

API nativas clave observadas:

• NtCreateThreadEx – Crea un hilo en un proceso remoto (inyección).
• NtWriteVirtualMemory – Escribe datos en la memoria de otro proceso.
• NtTerminateProcess – Termina procesos (por ejemplo, herramientas de seguridad).
• NtShutdownSystem – Apaga o reinicia el sistema.
• NtSetInformationProcess – Modifica la información del proceso (evasión).
• NtAdjustPrivilegesToken – Ajusta los privilegios del token (escalada).
• NtSystemDebugControl – Realiza operaciones de depuración del sistema.
• SetClipboardData – Manipula los datos del portapapeles.

Por qué es importante:

• Process Hollowing: El malware inyecta su carga útil en dllhost.exe.
• Uso de API nativas: Omite los hooks en modo usuario (EDR/AV).
• Escalada de privilegios: NtAdjustPrivilegesToken permite un mayor acceso.

Referencia visual:

Vista de Process Hacker que muestra las cadenas de dllhost.exe con API nativas (NtCreateThreadEx, NtWriteVirtualMemory, etc.).

5. Lumma Stealer – Capacidades de portapapeles y keylogger

El análisis con Binary Ninja del archivo .bin extraído de dllhost.exe revela que Lumma Stealer tiene capacidades de secuestro del portapapeles y keylogging.

Funciones clave observadas:

• SetClipboardData – Escribe datos en el portapapeles (secuestro).
• NtUserGetClipboardData – Lee datos del portapapeles.
• NtUserGetKeyState – Obtiene el estado del teclado (keylogging).
• NtUserGetAsyncKeyState – Obtiene el estado asíncrono de las teclas (keylogging).
• NtUserPostThreadMessage – Publica mensajes de hilo (comunicación).
• NtUserBlockInput – Bloquea la entrada del usuario (evasión).
• NtUserSetWindowsHookEx – Establece hooks de Windows (keylogging).
• NtUserMoveWindow – Mueve ventanas (manipulación de la interfaz).

Por qué es importante:

• Robo de portapapeles: Roba texto copiado (contraseñas, direcciones de criptomonedas).
• Keylogging: Captura pulsaciones de teclas (contraseñas, mensajes).
• Evasión: NtUserBlockInput puede congelar la entrada del usuario.
• Persistencia: NtUserSetWindowsHookEx puede establecer hooks globales.

Referencia visual:

Vista de Binary Ninja que muestra SetClipboardData, NtUserGetClipboardData y funciones de keylogging.

6. dllhost.exe – Gestión de ALPC, secciones y controladores

El análisis de memoria con Process Hacker del proceso inyectado dllhost.exe revela que Lumma Stealer utiliza ALPC, gestión de secciones y carga de controladores para comunicación y persistencia.

API nativas clave observadas: