Analyse de rétro-ingénierie de RedLine Stealer, un voleur d'informations basé sur .NET qui utilise des domaines C2 (198.46.86.63, tempuri.org), un contournement de Windows Defender et une extraction de charge utile de 7200 Ko.
L'analyse réseau révèle que RedLine Stealer établit une connexion vers l'adresse IP distante 198.46.86.63. Cette IP est probablement le serveur de commande et de contrôle (C2) du maliciel, utilisé pour l'exfiltration de données et la livraison de commandes.
198.46.86.63
Vue du moniteur réseau montrant RedLine Stealer se connectant à 198.46.86.63.
Process Hacker révèle un grand bloc mémoire PAGE_READWRITE (7200 KB) dans le processus RedLine Stealer. Cette région est marquée comme Private et contient le payload du maliciel, incluant probablement des données volées, la configuration et du code exécutable.
Private (non mappé depuis un fichier)PAGE_READWRITE (lecture/écriture, non exécutable)
Vue Process Hacker montrant le bloc mémoire PAGE_READWRITE de 7200 KB contenant le payload.
L'analyse Binary Ninja révèle un second serveur C2 : tempuri.org. Celui-ci sert probablement d'adresse C2 de secours ou alternative au cas où le serveur principal (198.46.86.63) serait indisponible.
tempuri.org – Serveur C2 de secours.Entity/Id9.Result – Point de terminaison pour envoyer les données volées.Id9.Response – Point de terminaison pour recevoir les commandes ou accusés de réception du C2.Entity/Id9.Result est probablement utilisé pour envoyer les identifiants, cookies et portefeuilles de cryptomonnaies volés.
Vue Binary Ninja montrant tempuri.org comme serveur C2 de secours avec le point de terminaison Entity/Id9.Result.
L'analyse Binary Ninja révèle que RedLine Stealer collecte les paramètres de configuration système et les utilise à des fins de persistance et d'évasion.
PSModulePath – Chemin des modules PowerShell pour l'exécution de commandes.HideExclusionsFromLocalAdmins – Masque les exclusions de Windows Defender.RemoteEncryptionProtectionMaxBlockTime – Contrôle la temporisation de la protection par chiffrement.LastMapsDisableHeartbeatReportTime – Rapport de pulsation (heartbeat) pour la communication C2.LastSetupErrorHeartbeatReportTime – Rapport d'erreurs au C2.
Vue Binary Ninja montrant le chemin PowerShell, les paramètres de Windows Defender et les rapports de pulsation.
L'analyse Binary Ninja révèle que RedLine Stealer manipule plusieurs paramètres de Windows Defender Exploit Guard pour désactiver les fonctionnalités de protection et ajouter des exclusions.
Windows Defender Exploit Guard\Network Protection – Désactive la protection réseau (par exemple, le blocage d'IP/domaines malveillants).ASR\ASROnlyExclusions – Ajoute des exclusions aux règles de réduction de la surface d'attaque (ASR), empêchant Defender de bloquer des fichiers ou processus spécifiques.Controlled Folder Access – Modifie l'accès aux dossiers protégés, contournant potentiellement la protection contre les ransomwares.Windows Defender Exploit Guard\Controlled Folder Access\Allowed Applications – Ajoute le maliciel à la liste des applications autorisées, lui permettant de modifier les dossiers protégés.Windows Defender Exploit Guard\Network Protection\Blocked URLs – Supprime ou modifie les URL bloquées pour permettre la communication C2.Windows Defender Exploit Guard\ASR\Rules – Désactive certaines règles ASR susceptibles de détecter le comportement du maliciel.
Vue Binary Ninja montrant plusieurs chaînes Windows Defender Exploit Guard.
Cette analyse a permis de découvrir RedLine Stealer, un voleur d'informations basé sur .NET qui combine des techniques d'évasion avancées, plusieurs serveurs C2 et des capacités complètes de vol de données.
198.46.86.63 et C2 de secours à tempuri.org.PAGE_READWRITE de 7200 KB contient le payload principal.