Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. Infrastruttura C2 – Server Resilienti e Ridondanti

L'analisi della memoria di Process Hacker rivela un elenco completo di domini utilizzati dal Dropper GCleaner per la comunicazione C2. Questi domini sono ospitati su varie piattaforme (Scaleway, Render, Replit, ecc.), indicando un'infrastruttura robusta e ridondante.

Osservazioni Chiave:

• Provider di Hosting: Scaleway (scw.cloud), Render (onrender.com), Replit (repl.co) e altri.
• Domini: readthedocs.io, rhcloud.com, app.render.com, id.repl.co, resindevice.io, ecc.
• Scopo: Probabilmente utilizzati per la consegna del payload, l'esfiltrazione dei dati o l'esecuzione di comandi.

Perché è Importante:

• Resilienza: Molteplici domini garantiscono che il malware rimanga operativo anche se alcuni vengono bloccati.
• Evasione: L'uso di provider di hosting legittimi aiuta a evitare il rilevamento.
• Ridondanza: I domini di backup garantiscono una comunicazione C2 continua.

Riferimento Visivo:

Vista di Process Hacker che mostra l'ampio elenco di domini C2 utilizzati dal Dropper GCleaner.

2. Stringhe dei Processi PowerShell e Conhost

L'analisi della memoria di Process Hacker sul processo PowerShell rivela che il Dropper GCleaner utilizza conhost.exe e powershell.exe per l'esecuzione. Le stringhe mostrano chiamate critiche alle API di Windows utilizzate per la manipolazione degli appunti e la gestione delle finestre.

Funzioni Chiave Osservate:

• NtUserGetClipboardData – Legge i dati dagli appunti.
• SetClipboardData – Scrive i dati negli appunti.
• NtUserRegisterHotKey – Registra hotkey globali.
• NtUserSwitchDesktop – Commuta il desktop (potenziale evasione).
• NtUserSetWindowLongPtr – Modifica le proprietà delle finestre.
• NtReadVirtualMemory – Legge la memoria da altri processi.
• NtCreateFile – Crea o apre file.

Perché è Importante:

• Furto dagli Appunti: Il malware può rubare testo copiato (password, indirizzi crypto).
• Evasione: NtUserSwitchDesktop può essere utilizzato per nascondere finestre dannose.
• Persistenza: Le hotkey possono essere utilizzate per attivare azioni dannose.

Riferimento Visivo:

Vista di Process Hacker che mostra le stringhe del processo PowerShell con NtUserGetClipboardData, SetClipboardData e altre API.

3. Driver del Kernel ed Escalation dei Privilegi

Un'ulteriore analisi delle stringhe del processo PowerShell rivela che il Dropper GCleaner dispone di capacità avanzate a livello di sistema, inclusi il caricamento di driver del kernel e l'escalation dei privilegi.

Funzioni Chiave Osservate:

• NtLoadDriver – Carica un driver del kernel.
• NtAdjustPrivilegesToken – Regola i privilegi del token per l'escalation.
• NtSetSystemInformation – Modifica le informazioni di sistema (potenziale evasione).
• NtTerminateProcess – Termina i processi (ad es., strumenti di sicurezza).
• CoCreateInstance – Crea oggetti COM per l'interazione con il sistema.
• RegOpenKeyExW – Apre chiavi di registro per la persistenza.

Perché è Importante:

• Accesso al Kernel: NtLoadDriver consente al malware di caricare driver, garantendogli un accesso profondo al sistema.
• Escalation dei Privilegi: NtAdjustPrivilegesToken consente al malware di ottenere privilegi più elevati.
• Evasione: NtSetSystemInformation può essere utilizzato per nascondersi dagli strumenti di sicurezza.

Riferimento Visivo:

Vista di Process Hacker che mostra le stringhe di PowerShell con NtLoadDriver, NtAdjustPrivilegesToken e NtSetSystemInformation.

4. Controllo del Kernel e di Sistema – Stringhe di Conhost

L'analisi delle stringhe del processo conhost rivela che il Dropper GCleaner possiede capacità avanzate a livello di kernel, inclusi caricamento di driver, spegnimento del sistema e controllo del debug.

Funzioni Chiave Osservate:

• NtLoadDriver – Carica un driver del kernel.
• NtShutdownSystem – Spegne o riavvia il sistema.
• NtSystemDebugControl – Esegue operazioni di debug di sistema.
• NtCreateThread – Crea thread in altri processi.
• NtTerminateProcess – Termina i processi (ad es., strumenti di sicurezza).
• NtSetSystemInformation – Modifica le informazioni di sistema.
• NtCreateSection – Crea sezioni di memoria (per l'iniezione di codice).

Perché è Importante:

• Controllo del Sistema: NtShutdownSystem consente al malware di interrompere il sistema.
• Accesso al Kernel: NtLoadDriver e NtSystemDebugControl garantiscono un accesso profondo al sistema.
• Iniezione: NtCreateSection e NtCreateThread vengono utilizzati per l'iniezione di codice.

Riferimento Visivo:

Vista di Process Hacker che mostra le stringhe di conhost con NtLoadDriver, NtShutdownSystem e NtSystemDebugControl.

5. Payload .rdata – Elenco API Completo

L'analisi di Binary Ninja della sezione .rdata rivela il payload completo del Dropper GCleaner. L'elenco delle API conferma le sue capacità di info-stealer completo e manipolatore di sistema.

Categorie API Chiave:

• Gestione di Token e Privilegi: GetTokenInformation, AdjustTokenPrivileges, OpenProcessToken
• Operazioni sul Registro: RegOpenKeyExA, RegSetValueExA, RegDeleteValueA, RegCreateKeyExA
• Operazioni su File e Directory: CreateFileA, DeleteFileA, FindFirstFileA, SetFileAttributesA
• Gestione di Processi e Thread: CreateThread, TerminateThread, GetCurrentProcess

Perché è Importante:

• Furto di Dati: Le API coprono operazioni su token, registro e file.
• Persistenza: Le operazioni su registro e file consentono al malware di mantenere il controllo.
• Evasione: La manipolazione dei token e l'escalation dei privilegi aiutano a evitare il rilevamento.

Riferimento Visivo:

Vista di Binary Ninja che mostra l'elenco completo delle API di Windows dalla sezione .rdata.

Conclusione

Questa analisi ha portato alla luce Dropper GCleaner, un malware sofisticato che combina un'infrastruttura C2 resiliente, il caricamento di driver del kernel, l'esecuzione tramite PowerShell/Conhost e un ricco payload .rdata.

Punti Chiave:

• Infrastruttura C2: 30+ domini (readthedocs.io, scw.cloud, onrender.com, ecc.) per una comunicazione resiliente.
• Driver del Kernel: NtLoadDriver per un accesso profondo al sistema.
• PowerShell/Conhost: Esegue tramite sia powershell.exe che conhost.exe per la furtività.
• Payload .rdata: Elenco API completo estratto dalla sezione .rdata (manipolazione dei token, operazioni sul registro, gestione dei file).
• Evasione Avanzata: Utilizza NtAdjustPrivilegesToken, NtSetSystemInformation e NtSystemDebugControl.

Raccomandazioni per il Rilevamento:

• Bloccare i domini C2 identificati (vedere l'elenco completo nell'analisi).
• Monitorare le chiamate a NtLoadDriver e NtAdjustPrivilegesToken.
• Rilevare processi PowerShell e Conhost con righe di comando sospette.
• Monitorare le sezioni .rdata per elenchi API di grandi dimensioni.

Download del Campione

Il campione analizzato del Dropper GCleaner è disponibile su MalwareBazaar per chi desidera condurre la propria analisi:

🔗 Campione del Dropper GCleaner su MalwareBazaar

Strumenti Utilizzati: Process Hacker, Binary Ninja, x64dbg