Notas de ingeniería inversa, código fuente desofuscado, IOCs y reglas YARA para el RAT Python Tourmaline ClickFix, que abarca su túnel DNS y su C2 de dead-drop en blockchain.
Recientemente me topé con una pieza de malware ingeniosamente diseñada que se hace llamar "Tourmaline".
Este README fue escrito muy amablemente por Claude, ya que estaba muy ocupado con los exámenes en el momento en que se creó este repositorio.
¡Explotar y descifrar este malware me llevó una gran parte de mi tiempo de preparación para matemáticas!
Lee la entrada del blog.
SOLO CON FINES EDUCATIVOS Y DE INVESTIGACIÓN
Todas las muestras se proporcionan para análisis de malware e investigación defensiva. No las ejecutes fuera de un entorno aislado (sandbox) y sin conexión a la red.
Tourmaline (Tourmaline.exe) es un sofisticado infostealer/backdoor de Windows de múltiples etapas distribuido mediante una campaña ClickFix: una ventana emergente falsa de Cloudflare que dice "Verify you are human" y que engaña a los usuarios para que ejecuten manualmente un comando o instalador malicioso.
El binario es un instalador Inno Setup 6.7.0 (Revisión 2, offsets de 64 bits) de creación personalizada que incluye un runtime completo de Python 3.11 y dos etapas de payload en Python ofuscado. Establece un backdoor persistente con:
microsoft.com)tourmaline/
├── README.md # This file
├── LICENSE # Research use license
├── .gitignore
│
├── src/ # Extracted & deobfuscated source code
│ ├── stage1_loader.py # Stage 1: Original obfuscated XOR time-lock loader (main.py)
│ ├── stage2_backdoor.py # Stage 2: Deobfuscated core backdoor (from QGBdu.dxf)
│ └── decrypt_payload.py # Utility: O(1) payload key recovery & decryption
│
├── iocs/ # Indicators of Compromise
│ ├── indicators.json # Structured IOC data (IPs, hashes, domains, registry)
│ ├── indicators.csv # Flat CSV for SIEM import
│ └── rules.yar # YARA detection rules
│
└── samples/ # Malware samples (password-protected)
├── README.md # Sample archive instructions
├── Tourmaline_sample.zip # Password: infected - contains Tourmaline.exe
└── QGBdu.dxf # Raw encrypted Stage 2 payload blob
El malware se distribuye mediante ClickFix, una técnica de ingeniería social en la que un sitio web comprometido o controlado por el atacante superpone una página falsa de CAPTCHA de Cloudflare o de verificación del navegador. La superposición indica a la víctima que:
Win+REl comando pegado descarga y ejecuta silenciosamente Tourmaline.exe. El instalador se ejecuta con /VERYSILENT /SUPPRESSMSGBOXES /NORESTART.
| Propiedad | Valor |
|---|---|
| Nombre del archivo | Tourmaline.exe |
| Tamaño | 11.341.339 bytes (~10,8 MB) |
| MD5 | b74ac808dea2de31caf024310694ef0c |
| SHA256 | c9b390b3b7148f549df86503858d52e030b2b5e78fed0bc525ded5927f9265d6 |
| Formato | Inno Setup 6.7.0 Unicode (Revisión 2, offsets de 64 bits) |
| Tipo de PE | PE de 32 bits, 11 secciones |
| Tamaño del overlay | 10.447.387 bytes |
| Offset mágico de Inno | 0xD9864 (890.148 bytes) |
| Nombre de la aplicación | Tourmaline |
| Versión de la aplicación | 2.63.519 |
| GUID de la aplicación | {2C25872D-85FC-44C7-9B16-844E39E50A44} |
| Ruta de instalación | {commonappdata}\Tourmaline |
| Runtime incluido | Python 3.11 (embed completo) |
| Archivos de payload | 36 archivos en un flujo LZMA2 sólido |
Nota: El
innoextract 1.9estándar no puede extraer este binario: solo admite la Revisión 1. La Revisión 2 utiliza offsets de 64 bits y requiere un análisis personalizado (consultesrc/decrypt_payload.py).
Tourmaline.exe
│
├─ Inno Setup installer runs silently
│ ├─ Extracts Python 3.11 runtime to %APPDATA%\Tourmaline\
│ ├─ Extracts main.py (Stage 1 loader)
│ ├─ Extracts QGBdu.dxf (encrypted Stage 2 blob)
│ ├─ Kills any existing pythonw.exe instances
│ └─ Registers persistence (Task Scheduler / registry)
│ └─ Name: "TourmalineUpdate" / "Hardware monitoring service"
│
├─ Stage 1: main.py (XOR Time-Lock Loader)
│ ├─ Counts _n from 99,999,999 → 0 (anti-sandbox delay ~hours on slow VMs)
│ ├─ At each _n, constructs 33-byte XOR key: struct.pack('>I', _n) + hardcoded_suffix
│ ├─ Tests key against known plaintext header of QGBdu.dxf
│ └─ On match: decrypts QGBdu.dxf entirely and exec()s the result
│ └─ O(1) bypass: known-plaintext attack on first 4 bytes (see below)
│
└─ Stage 2: QGBdu.dxf → Python backdoor
├─ Reads MachineGuid from HKLM\SOFTWARE\Microsoft\Cryptography
├─ Derives mutex Global\Tourmaline_<hash>
├─ Resolves C2 IP via Ethereum dead-drop (Sepolia testnet)
├─ Establishes DNS tunnel to C2
└─ Poll-execute loop: fetches tasks, exec()s Python, returns output
El cargador (main.py) utiliza una cuenta regresiva desde 99,999,999 para encontrar la clave de descifrado XOR. En una máquina real esto se completa en segundos (porque _n comienza alto y el valor verdadero está cerca de 14,511,188). En un sandbox con un límite de tiempo corto, el bucle nunca se completa.
Estructura de la clave:
full_key = struct.pack('>I', _n) + bytes.fromhex('2b0cffe07b06ac25793b3f00cfaa2dd5881c2d6378165247539dbbdaeb')
Como conocemos los primeros 16 bytes del texto plano (g1 = lambda l6, ), podemos recuperar _n al instante mediante un ataque XOR de texto plano conocido:
key_prefix = bytes(ciphertext[i] ^ known_plaintext[i] for i in range(4))
# Result: key_prefix = 00dd6c54 → _n = 14,511,188
Usa src/decrypt_payload.py para reproducir esto.
| Parámetro | Valor |
|---|---|
| IP del C2 | 158.94.211.185 |
| Puerto del C2 | 53 (UDP) |
| Protocolo | Túnel DNS-sobre-UDP personalizado |
| Dominio suplantado | microsoft.com |
| Clave ChaCha20 | 36f555c87f71581f57d83576c88193fdc00a0173f741a3e198e2d7abdc9cda59 |
| Contrato de blockchain | 0x2d7a04cca0c34005f58393f30ac725e25f19e5f5 (Sepolia) |
| Clave pública ECDSA | MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEt17l3rGHHR9sYdHEvV8S+JRRCUHQQveSadlGk04xM/8WClDf/67Tyritt2+T18SY8n0xv1TKKl0AgnNFuboEEQ== |
| Nombre del servicio | SystemService / TourmalineUpdate |
| Mutex | Global\Tourmaline_<MachineGuid-hash> |
El malware llama a un contrato inteligente de Ethereum en la red de pruebas Sepolia para recuperar la dirección IP activa del C2. Esto significa que el atacante puede cambiar la IP del C2 en cualquier momento actualizando el contrato — la interrupción tradicional del C2 basada en listas de bloqueo de IP resulta ineficaz.
Contract : 0x2d7a04cca0c34005f58393f30ac725e25f19e5f5
Selector : 0xeb9fd6fe
Network : Ethereum Sepolia (chainId 11155111)
RPC : https://ethereum-sepolia-rpc.publicnode.com
Result : ChaCha20-encrypted blob containing current C2 IP