Analisi di Reverse Engineering di Vidar Stealer 2.0

Panoramica

Questa analisi copre un approfondito reverse engineering di Vidar Stealer 2.0, un sofisticato information stealer che utilizza tecniche di evasione avanzate per rimanere non rilevato. I risultati principali includono:

• Manipolazione dell'Utilità di Pianificazione: Modifica i timestamp delle attività di sistema al 1999 per eludere l'analisi forense.
• Process Hollowing di Explorer.exe: Inietta shellcode nel processo legittimo di Windows Explorer.
• Iniezione in Microsoft Copilot: Prende di mira il nuovo processo di Microsoft Copilot per un'esecuzione furtiva.
• Persistenza: Mantiene la presenza tramite attività pianificate e hijacking di processi di sistema.

1. Manipolazione dell'Utilità di Pianificazione (Timestamp del 1999)

Uno dei comportamenti più insoliti e sofisticati osservati in Vidar Stealer 2.0 è la sua interazione con l'Utilità di Pianificazione di Windows. Il malware non si limita a creare una nuova attività per la persistenza: manipola attivamente i timestamp delle attività di sistema esistenti, impostandoli all'anno 1990.

Perché è significativo?

• Tecnica Anti-Forense: Modificare i timestamp a una data passata (come il 1990) ostacola l'analisi forense e la revisione dei log, rendendo più difficile determinare quando il malware è apparso per la prima volta.
• Evasione: Alterando i timestamp delle attività di sistema legittime, Vidar si mimetizza, rendendo meno sospetta la propria attività pianificata.
• Persistenza: Una volta creata la propria attività, Vidar può ripristinare il timestamp alla data corrente per evitare ulteriori sospetti, mantenendo comunque un punto d'appoggio nel sistema.

Osservazioni chiave:

• Le attività di sistema come OneDrive avevano i timestamp modificati al 6.04.2026 ma alcuni sono stati ripristinati.
• Un'attività personalizzata creata da Vidar era impostata al 30.11.1999 00:00:00 (un classico timestamp anti-forense).
• Anche dopo la rimozione, alcune modifiche ai timestamp persistevano, indicando una manipolazione a livello di sistema profonda.

2. Explorer.exe – Process Hollowing e Iniezione di Shellcode

Una delle tecniche di evasione più critiche utilizzate da Vidar Stealer 2.0 è il Process Hollowing su Explorer.exe. Questa tecnica consente al malware di eseguire il proprio codice malevolo all'interno di un processo Windows legittimo, rendendo il rilevamento significativamente più difficile.

Come funziona:

• Processo target: Vidar prende di mira Explorer.exe, un processo di sistema affidabile.
• Hollowing: Il malware crea un'istanza sospesa di Explorer e sostituisce la sua memoria con shellcode malevolo.
• Esecuzione: Lo shellcode viene quindi eseguito nel contesto di Explorer, bypassando molti controlli di sicurezza.

Analisi con WinDbg:

Utilizzando WinDbg, possiamo osservare lo shellcode iniettato all'interno del processo Explorer. Le regioni di memoria mostrano permessi tipici PAGE_EXECUTE_READWRITE, che sono insoliti per la memoria legittima di Explorer.

Osservazioni chiave:

• Regioni di memoria: Sezioni sospette PAGE_EXECUTE_READWRITE sono state trovate nello spazio degli indirizzi di Explorer.
• Pattern dello shellcode: Il codice iniettato contiene strutture tipiche di payload, tra cui hashing di API e routine anti-debug.
• Persistenza: Lo shellcode garantisce che Vidar rimanga attivo anche dopo i riavvii del sistema.

Cosa mostra l'immagine:

L'immagine sottostante è un dump diretto di WinDbg dello shellcode trovato all'interno della regione PAGE_EXECUTE_READWRITE di Explorer.exe. Il disassemblaggio rivela caratteristiche tipiche dello shellcode: istruzioni di prologo (push, mov), pattern di chiamate API (call, jmp) e blocchi di dati offuscati.

3. Microsoft Copilot – Un Nuovo Target per l'Iniezione di Processi

Una delle scoperte più notevoli in questa analisi è l'iniezione dello shellcode di Vidar nel processo Microsoft Copilot. Si tratta di un target relativamente nuovo e molto interessante, poiché Copilot è un assistente basato su intelligenza artificiale integrato nei moderni sistemi Windows.

Come funziona:

• Processo target: Vidar prende di mira Copilot.exe, un nuovo processo Windows affidabile.
• Metodo di iniezione: Il malware utilizza tecniche simili di iniezione di processo (probabilmente APC injection o thread hijacking) per eseguire il proprio shellcode all'interno di Copilot.
• Furtività: Poiché Copilot è un processo legittimo, lo shellcode può essere eseguito senza essere rilevato da molte soluzioni di sicurezza tradizionali.

Analisi con WinDbg – Payload Offuscato

L'analisi iniziale del codice iniettato ha rivelato un payload offuscato, con istruzioni come jg, add e xchg che appaiono fuori contesto. Questo è un chiaro indicatore di offuscamento del codice, utilizzato per eludere l'analisi statica.

Analisi con WinDbg – Chiamate API e Offuscamento

L'immagine sottostante mostra una miscela di chiamate API chiare e codice offuscato. Le funzioni risolte includono:

• LoadLibraryExW – Utilizzata per caricare DLL aggiuntive.
• LoadLibraryW – Caricamento standard di DLL.
• LocalFree – Gestione della memoria.
• MultiByteToWideChar – Conversione di stringhe (comunemente utilizzata nei malware per l'esfiltrazione di dati).

Le sezioni non risolte (???, jg add, ecc.) indicano aree in cui WinDbg non è riuscito a decodificare completamente il codice offuscato, evidenziando la complessità delle tecniche di evasione di Vidar.

Conclusione

Vidar Stealer 2.0 è un esempio lampante di come i moderni information stealer si siano evoluti diventando altamente sofisticati e resilienti. Questa analisi ha scoperto diverse tecniche avanzate che lo distinguono dal malware tipico:

• Manipolazione dell'Utilità di Pianificazione (Timestamp del 1990): Un'astuta tecnica anti-forense che ostacola l'analisi dei log e nasconde i meccanismi di persistenza.
• Process Hollowing di Explorer.exe: Dimostra la capacità di Vidar di eseguire codice malevolo all'interno di un processo di sistema affidabile, bypassando molti controlli di sicurezza.
• Iniezione in Microsoft Copilot: Prende di mira una nuova e emergente superficie d'attacco, mostrando come gli attori delle minacce si stiano adattando alle nuove funzionalità di Windows.
• Chiamate API Offuscate: L'uso di offuscamento e risoluzione dinamica delle API rende difficile l'analisi statica e mette in luce le capacità di evasione del malware.

Punti Chiave

• Persistenza: Vidar mantiene la persistenza tramite attività pianificate e iniezione in processi di sistema.
• Evasione: Timestamp anti-forensi, offuscamento e iniezione in processi affidabili rendono il rilevamento difficile.
• Furto di Dati: L'uso di LoadLibrary e MultiByteToWideChar conferma la sua capacità di caricare moduli aggiuntivi ed esfiltrare dati.

Download del Campione

Il campione analizzato è disponibile su MalwareBazaar per chi desidera condurre la propria analisi:

🔗 Campione di Vidar Stealer 2.0 su MalwareBazaar

Considerazioni Finali

Vidar Stealer 2.0 rappresenta una nuova generazione di information stealer che non sono solo focalizzati sul furto di dati ma anche sul rimanere non rilevati. La sua capacità di manipolare le attività di sistema, iniettarsi in processi affidabili e prendere di mira nuove funzionalità di Windows come Copilot dimostra una profonda comprensione dei controlli di sicurezza moderni.

Comprendere queste tecniche è fondamentale per i difensori per creare migliori regole di rilevamento e misure di sicurezza contro le minacce in evoluzione.