脅威分析: 偽のHWMonitor DLLサイドローディング & インフォスティーラーキャンペーン

⚠️ 免責事項 / ПРЕДУПРЕЖДЕНИЕ
このリポジトリは、教育、防御、および脅威リサーチの目的に厳密に限定して作成されています。技術的な事後分析、侵害指標 (IoC)、および防御用のYARAシグネチャを含みます。このリポジトリには、アクティブなマルウェアバイナリは一切配布されていません。

📌 エグゼクティブサマリー / Краткая сводка

このリポジトリは、ハードウェア診断ユーティリティ CPUID HWMonitor (架空のバージョン 6.77.7) を装った多段階マルウェア配信キットの技術的解剖を文書化したものです。

動的サンドボックス分析および行動分類器 (Tria.ge / Recorded Future) により、最終ペイロードが Blakcsee Stealer (BLAKCSEE_STEALER、スコア: 10/10 悪意あり) であることが確認されました。

インタラクティブサンドボックスレポート: Tria.ge Analysis #260922-xxymqadf35

リバースエンジニアリングにより、このキャンペーンが以下を利用していることが検証されました:

名前を変更した正規のNotepad++アップデータ (GUP.exe) を悪用した DLLサイドローディング (検索順序ハイジャック)
ntdll.dll を標的とした インメモリImport Address Table (IAT) フッキング
機密性の高いWinAPI呼び出し (ReadFile、VirtualProtect) を隠蔽する 動的スタック文字列演算 (XOR難読化)
正規の16.5 MBのMicrosoftアセンブリ (System.ServiceModel.dll) および暗号化された93.8 MBのペイロードコンテナ (ProfilerTools.dll) による バイナリ膨張 & 対解析バラスト

🧩 攻撃チェーン & 実行フロー (Цепочка атаки)

flowchart TD
    subgraph Stage1["1. Initial Access & Sideloading"]
        Victim(["User executes downloaded file"]) --> Carrier["hwmonitor-...-6.77.7.exe<br/>(Legitimate Notepad++ GUP.exe)"]
        Carrier -->|Auto-loads via Search Order| Loader["libcurl.dll<br/>(Malicious C++ Hook Loader)"]
    end

    subgraph Stage2["2. Evasion & Memory Hijacking"]
        Loader --> CheckEnv{"Environment Check<br/>fcn.180005700"}
        CheckEnv -->|Sandbox detected / Network isolated| ExitClean["Clean exit (Timeout 10s)"]
        CheckEnv -->|Target host confirmed| StackXOR["Stack-String XOR Resolution<br/>('ReadFile' via 0x180005cf0)"]
        StackXOR --> IATHook["Patch Host IAT table<br/>(ntdll.dll via fcn.180009ac0)"]
    end

    subgraph Stage3["3. Payload Delivery & Ballast"]
        IATHook --> ReadBox["Read & decrypt in memory"]
        ReadBox --> SafeBox["ProfilerTools.dll (93.8 MB)<br/>Ciphertext Container (Entropy 8.0)"]
        SafeBox --> StealerRAM["Decrypted Infostealer in RAM<br/>(RedLine / Lumma / Vidar)"]
        Carrier -.->|Ignored by loader| Ballast["ui_framework.dll (16.5 MB)<br/>Clean Microsoft WCF Ballast"]
        Carrier -.->|Ignored by loader| Decoy["config.txt (Decoy GitHub links)"]
    end

📂 リポジトリの内容 / Файлы в репозитории

🔬 コンポーネントの内訳

1. `hwmonitor-windows-github-io-6.77.7.exe` (キャリア)

正体: 公式Notepad++ Generic Updater Package (GUP.exe)。
SHA-256: b9c965aa538c21b4702ec7e4f3ac47fc999e1cd505d69e0896a309f7956bb351
役割: 静的実行ファイルヒューリスティックをトリガーすることなく libcurl.dll をサイドロードするために悪用された信頼されたアプリケーション。

2. `libcurl.dll` (ローダー & IATフッカー)

SHA-256: 22a6cea4d2069935a7c621b9a96ba82d46a2d058dffca4d11917721c63ae341a
インポート: 制限されたインポートテーブル (kernel32.dll のみ)。

スタック文字列: ReadFile の動的ランタイム計算:

(0x23 + 0x07) ^ 0x78 = 'R' (0x52)
(0x23 + 0x26) ^ 0x2c = 'e' (0x65)
(0x23 + 0x45) ^ 0x09 = 'a' (0x61)
(0x23 + 0x64) ^ 0xe3 = 'd' (0x64)
(0x23 - 0x7d) ^ 0xe0 = 'F' (0x46)
(0x23 - 0x5e) ^ 0xac = 'i' (0x69)
(0x23 - 0x3f) ^ 0x88 = 'l' (0x6c)
(0x23 - 0x20) ^ 0x66 = 'e' (0x65)

3. `ProfilerTools.dll` (暗号化ペイロードコンテナ)

サイズ: 93,862,336 バイト (約93.8 MB、アーカイブボリュームの80%)。
エントロピー: 8.00 (高密度暗号文、Non-PE)。
ヘッダーマジック: 5B 28 B3 C0 5A 13 73 1F 1A B0 0A A9 53 3C 16 72
SHA-256: 242e5a415c7efb1f86b408e238d24835c72836f1e8e2439b0a6713e0b1f8d638
MD5: 133710d5b04ef72c22c48b43d0ad39af

4. `ui_framework.dll` (膨張バラスト)

サイズ: 約16.5 MB。
正体: 正規のMicrosoft System.ServiceModel.dll (WCF Framework v4.8.3928.0)。
ヒューリスティックの曖昧性解消: 正規のWCFセキュリティトークンクラス名により、静的スキャナによって (Heur) Malware: Stealer と誤検知されることがよくあります。純粋にファイルパンピング用のバラストとして機能します。

🎯 MITRE ATT&CK マッピング

🛡️ 侵害指標 (IoC)

# SHA-256 Hashes
64e602e1c744da32c53b5761fa7b15dba72023df0176cc03a48c0c0bb52f2c37  Desktop.7z (Parent Delivery Archive / Tria.ge Sample)
b9c965aa538c21b4702ec7e4f3ac47fc999e1cd505d69e0896a309f7956bb351  hwmonitor-windows-github-io-6.77.7.exe (GUP.exe)
22a6cea4d2069935a7c621b9a96ba82d46a2d058dffca4d11917721c63ae341a  libcurl.dll (Malicious Loader)
242e5a415c7efb1f86b408e238d24835c72836f1e8e2439b0a6713e0b1f8d638  ProfilerTools.dll (Encrypted Container)

# MD5 Hashes
7744ed6fac4775706938298f9cb5ba0d  hwmonitor-windows-github-io-6.77.7.exe
866da3588ceacbb854f95f6d581ca464  libcurl.dll
133710d5b04ef72c22c48b43d0ad39af  ProfilerTools.dll

# Magic Header (Offset 0x0)
5B 28 B3 C0 5A 13 73 1F 1A B0 0A A9 53 3C 16 72  ProfilerTools.dll

🔍 YARAルールの使用方法

このキャンペーンのディレクトリまたはファイルをスキャンするには、公式のYARA CLIツールを使用します:

# Scan a specific directory recursively
yara64 -r rules_hwmonitor_sideload_en.yar /path/to/target/folder

`malware_analysis_report_en.txt`	包括的な9段階の技術的リバースエンジニアリングレポート (英語)。
`malware_analysis_report.txt`	Полный подробный отчет о реверс-инжиниринге и методологии (Русский).
`rules_hwmonitor_sideload_en.yar`	英語の説明とメタデータを含む、実運用可能なYARAルールセット。
`rules_hwmonitor_sideload.yar`	Комплект сигнатур YARA с русскими комментариями.

Defense Evasion	`T1574.002`	Hijack Execution Flow: DLL Side-Loading
Defense Evasion	`T1027.001`	Binary Padding (Binary Inflation / File Pumping)
Defense Evasion	`T1027`	Obfuscated Files or Information (Stack Strings XOR)
Defense Evasion	`T1497`	Virtualization/Sandbox Evasion (GetSystemInfo checks)
Persistence / Execution	`T1055`	Process Injection: IAT Hooking
Command and Control	`T1568.002`	Dynamic Resolution: Domain Generation Algorithms (DGA)

人気

malware-analysis-fake-hwmonitor

人気