Lumma-Stealer-dllhost-Hollowing-C2-Domains-Payload-Extraction-Analysis

1. Setup.exe – Chaînes relatives à la confidentialité, aux pilotes et à la mémoire

L'analyse mémoire de setup.exe (le dropper) avec Process Hacker révèle que Lumma Stealer cible les paramètres de confidentialité, installe des pilotes et gère la mémoire.

Chaînes clés observées :

• Privacy Camera – Tente d'accéder aux paramètres de confidentialité de la caméra ou de les désactiver.
• Privacy Microphone – Tente d'accéder aux paramètres de confidentialité du microphone ou de les désactiver.
• PreinstallDriver – Indique l'installation d'un pilote pour la persistance ou l'évasion.
• MapMemoryB0000 – Opération de mappage mémoire (probablement pour l'injection).

Pourquoi c'est important :

• Contournement de la confidentialité : Le malware peut désactiver les paramètres de confidentialité de la caméra/microphone.
• Installation de pilotes : PreinstallDriver suggère un accès au niveau du noyau.
• Mappage mémoire : MapMemoryB0000 indique une manipulation de la mémoire pour l'injection.

Référence visuelle :

Vue Process Hacker montrant les chaînes de setup.exe avec Privacy Camera, Privacy Microphone, PreinstallDriver et MapMemoryB0000.

2. Setup.exe – Liste des domaines C2

L'analyse mémoire de setup.exe (le dropper) avec Process Hacker révèle une liste de domaines probablement utilisés pour la communication C2.

Domaines clés observés :

• zhtytomyr.ua – Domaine C2 potentiel.
• pvt.k12.ma.us – Domaine C2 potentiel.
• adobeaemcloud.com – Domaine à l'apparence légitime (détourné pour le C2).
• adobeaemcloud.net – Domaine à l'apparence légitime (détourné pour le C2).
• us-east-1.amazonaws.com – Domaine AWS (détourné pour l'hébergement).
• elasticbeanstalk.com – AWS Elastic Beanstalk (détourné pour l'hébergement).
• alwaysdata.net – Fournisseur d'hébergement (détourné pour le C2).
• altervista.org – Fournisseur d'hébergement (détourné pour le C2).

Pourquoi c'est important :

• Communication C2 : Ces domaines sont utilisés pour exfiltrer les données volées.
• Détournement de services légitimes : Des domaines comme amazonaws.com et elasticbeanstalk.com sont utilisés pour échapper à la détection.
• Redondance : Plusieurs domaines garantissent que le malware reste opérationnel si certains sont bloqués.

Référence visuelle :

Vue Process Hacker montrant les chaînes de setup.exe avec des domaines de type C2.

3. Adresse C2 – Vagrancy.virus.cc (connexion ALPC)

L'analyse Binary Ninja du fichier .bin extrait des chaînes liées à ALPC dans dllhost.exe révèle une adresse C2 potentielle : Vagrancy.virus.cc.

Observations clés :

• Vagrancy.virus.cc – Serveur C2 potentiel.
• Source : Extraite du dump .bin de dllhost.exe (chaînes ALPC).
• Contexte : Trouvée à côté de NtConnectPort (communication inter-processus).

Pourquoi c'est important :

• Communication C2 : Le malware utilise probablement ce domaine pour exfiltrer les données volées.
• Utilisation d'ALPC : La connexion peut être établie via ALPC pour la discrétion.
• Détection : Ce domaine peut être bloqué pour perturber la communication du malware.

Référence visuelle :

Vue Binary Ninja montrant Vagrancy.virus.cc extrait des données .bin liées à ALPC.

4. dllhost.exe – Process Hollowing et utilisation des API natives

L'analyse mémoire du processus injecté dllhost.exe avec Process Hacker révèle que Lumma Stealer utilise des techniques de Process Hollowing avec des appels aux API natives.

API natives clés observées :

• NtCreateThreadEx – Crée un thread dans un processus distant (injection).
• NtWriteVirtualMemory – Écrit des données dans la mémoire d'un autre processus.
• NtTerminateProcess – Termine des processus (ex. : outils de sécurité).
• NtShutdownSystem – Arrête ou redémarre le système.
• NtSetInformationProcess – Modifie les informations d'un processus (évasion).
• NtAdjustPrivilegesToken – Ajuste les privilèges du jeton (élévation).
• NtSystemDebugControl – Effectue des opérations de débogage système.
• SetClipboardData – Manipule les données du presse-papiers.

Pourquoi c'est important :

• Process Hollowing : Le malware injecte sa charge utile dans dllhost.exe.
• Utilisation des API natives : Contourne les hooks en mode utilisateur (EDR/AV).
• Élévation de privilèges : NtAdjustPrivilegesToken permet d'obtenir un accès supérieur.

Référence visuelle :

Vue Process Hacker montrant les chaînes de dllhost.exe avec les API natives (NtCreateThreadEx, NtWriteVirtualMemory, etc.).

5. Lumma Stealer – Capacités de détournement du presse-papiers et de keylogging

L'analyse Binary Ninja du fichier .bin extrait de dllhost.exe révèle que Lumma Stealer dispose de capacités de détournement du presse-papiers et de keylogging.

Fonctions clés observées :

• SetClipboardData – Écrit des données dans le presse-papiers (détournement).
• NtUserGetClipboardData – Lit les données du presse-papiers.
• NtUserGetKeyState – Obtient l'état du clavier (keylogging).
• NtUserGetAsyncKeyState – Obtient l'état asynchrone des touches (keylogging).
• NtUserPostThreadMessage – Envoie des messages de thread (communication).
• NtUserBlockInput – Bloque la saisie utilisateur (évasion).
• NtUserSetWindowsHookEx – Définit des hooks Windows (keylogging).
• NtUserMoveWindow – Déplace des fenêtres (manipulation de l'interface).

Pourquoi c'est important :

• Vol du presse-papiers : Vole le texte copié (mots de passe, adresses crypto).
• Keylogging : Capture les frappes clavier (mots de passe, messages).
• Évasion : NtUserBlockInput peut geler la saisie de l'utilisateur.
• Persistance : NtUserSetWindowsHookEx peut définir des hooks globaux.

Référence visuelle :

Vue Binary Ninja montrant SetClipboardData, NtUserGetClipboardData et les fonctions de keylogging.

6. dllhost.exe – Gestion ALPC, des sections et des pilotes

L'analyse mémoire du processus injecté dllhost.exe avec Process Hacker révèle que Lumma Stealer utilise ALPC, la gestion des sections et le chargement de pilotes pour la communication et la persistance.

API natives clés observées :