kaandemir993/nwh-stealer-analysis-fileless-bun-runtime-execution-clipboard-image-theft-cloud-c2-aws-r2-NWH Stealerの静的解析とペイロード抽出。Bun JavaScript Runtimeを介したファイルレス実行、メモリ内でのクリップボード画像窃取（image/png）、AWS/Cloudflare R2を悪用したCloud C2経由の外部送信について深く掘り下げます。
Binary Ninja で読み込んだ NWH Stealer のサンプルは、驚くべき手法を明らかにしています。それは、正規の JavaScript ランタイムである Bun の文字列、CLI 引数、ドキュメントリンクを大量に利用していることです。「Learn more about Bun」のような正規のテキストや Discord の招待リンクを埋め込むことで、マルウェアは無害な開発者ツールやフレームワークを装いながら、その真の悪意ある意図を .rdata セクションに隠しています。
bun install --help / bun test --help / bun build --help – Bun CLI の使用法を模倣 https://bun.com/docs / Join our Discord community: https://bun.com/discord – 公式の Bun ドキュメントとコミュニティリンクを埋め込み。 markdown / ToAsymmetricMatcher / Invalid regex: bunx – 標準的な Bun のエラーメッセージとテストマッチャー。 難読化: 文字列には制御文字や ANSI エスケープコード（例: [1m、[0m、\n）が混在しており、静的シグネチャスキャンを困難にしています。
Living off the Land (LotL): Bun ランタイムから正規の文字列をコピーすることで、NWH Stealer は開発者環境に溶け込みます。AV ソリューションやサンドボックスは、「Bun」に見える実行環境から発信される通信や API 呼び出しを検知しにくくなります。 文字列難読化: 暗号化または難読化されたペイロード配列（data_143aba5b8）と並べて正規の文字列を埋め込むことで、実際の悪意ある指標を分離することがはるかに困難になります。 設計による回避: マルウェア作者は、開発者環境や CI/CD 環境におけるスティーラーの存在を偽装するために、人気のある現代的な開発者ツール（Bun）をあえて選んでいます。
Binary Ninja での分析を続けると、NWH Stealer はそのドロッパーと実行チェーンを明らかにします。このマルウェアは単に Bun を装うだけでなく、公式の GitHub リポジトリに積極的にアクセスして、正規の bun-windows-x64 アーカイブをダウンロードします。しかし、続く文字列は、ダウンロードしたペイロードを回避フラグ付きで実行するために設計された、悪意ある PowerShell 実行ルーチンを露呈させます。
ダウンロード URL: https://github.com/oven-sh/bun/releases/download/canary/bun-windows-x64-baseline.zip – カバーストーリーを確立するため、または LOLBin として使用するために、正規の Bun ランタイムをダウンロード。 展開されたペイロードのパス: bun-windows-x64-baseline\bun-profile.exe bun-windows-x64-baseline\bun.exe PowerShell 実行チェーン:
powershell
-NoProfile（ユーザーの PowerShell プロファイルの読み込みをスキップ）
-ExecutionPolicy Bypass（スクリプト実行の制限をバイパス）
-Command（インラインコマンドを実行）
--revision / --version（正規のバージョンチェックに見せかけるため、ダウンロードしたペイロードへの引数として使用される可能性が高い）。
サプライチェーン / GitHub の悪用: 公式の github.com/oven-sh/bun リポジトリからダウンロードすることで、スティーラーは未知のドメインをブロックするネットワークフィルターを回避します。 LOLBin 実行: ダウンロードした bun.exe または bun-profile.exe は、悪意あるコマンドを実行するための正規のラッパーとして使用され、通常の開発者アクティビティに紛れ込みます。 PowerShell の回避: -NoProfile および -ExecutionPolicy Bypass フラグは、悪意あるスクリプトがシステムポリシーやユーザー設定によってブロックされることなく実行されるようにするための古典的な手法です。
NWH Stealer の重要なセクションは、そのインメモリペイロード配信メカニズムを明らかにします。http://localhost:data:;base64, という文字列と、V8 エンジンのバイトコード（--filename、use asm、bytecode）の存在は、スティーラーがファイルレス実行手法を使用していることを示しています。Base64 エンコードされたデータ URI を構築してローカルで実行し、おそらくディスクにファイルを書き込むことなく、悪意ある JavaScript/WebAssembly を実行中の環境に直接注入します。
Data URI スキーム: http://localhost:data:;base64 – localhost を指すインラインの Base64 ペイロードを構築します。これはネットワークフィルターを回避し、メモリからコードを実行するための既知の手法です。 V8 / Node.js / *Bun 内部: // @bun / bun-cjs / bytecode – Bun ランタイムが JavaScript や事前コンパイルされた V8 バイトコードを実行するために使用する固有のフラグです。 --filename / --dirname / use asm – 生の WebAssembly や JavaScript モジュールをメモリ内にロードして最適化するために使用される V8 エンジンのフラグです。 コンパイル済みペイロードの痕跡: bundler\bundle_v2.zig – Bun バンドラーを参照しており、カバーストーリーをさらに強固なものにしています。 SEHRefreshSigS / SEHRefreshSigS_57azaspm – Base64 ペイロード用の難読化された関数名または暗号化キーである可能性が高いです。 ファイルレスインジェクションの指標: seTaskComplete.read_file / resolve – 非同期のファイル/ストリーム読み取りおよびモジュール解決ルーチンです。
ファイルレス実行（回避）: data:;base64 URI を使用することで、スティーラーはペイロードを完全にメモリ内で実行します。これにより、AV がスキャンできる実行可能ファイルがディスク上に残らず、従来のシグネチャベースの検出を回避できます。 Localhost の悪用: localhost プレフィックスは、ファイアウォールや EDR にトラフィックが内部のもの（したがって安全である）と思い込ませる一方で、実際の悪意あるコンテンツはデコードされて実行されます。 V8 バイトコードの悪用: --filename と use asm を介してバイトコードをロードすることで、スティーラーは生のコンパイル済み JavaScript/WebAssembly を実行でき、平文のスクリプトよりもリバースエンジニアリングが大幅に困難になります。 Bun ランタイムの悪用: // @bun および bun-cjs という文字列は、スティーラーがダウンロードした Bun ランタイムを、悪意あるインメモリコードの正規の実行エンジンとして使用していることを裏付けています。
Living off the Cloud: 正規のクラウドサービス（AWS、Cloudflare R2）を使用することで、スティーラーはその持ち出しトラフィックを通常の企業のクラウド利用に紛れ込ませ、検出を極めて困難にしています。
このセクションでは、NWH Stealer がクラウドインフラストラクチャや開発者アセットを標的としていることがさらに明らかになります。単一のハードコードされた C2 IP に依存する代わりに、このマルウェアには主要なクラウドプロバイダー（Cloudflare R2、AWS）、開発者ツールチェーン（Visual Studio、Node.js）、および HTTP ステータスコードの文字列が含まれています。これは、動的な C2 解決、またはクラウド環境を狙った広範な認証情報収集リストを示しています。
クラウド & C2 インフラストラクチャ: r2.cloudflarestorage.com – Cloudflare R2 ストレージ（データ持ち出しまたはペイロードホスティングに使用）。 amazonaws.com – AWS インフラストラクチャ（認証情報窃取の標的、または C2 リレーとして使用されている可能性が高い）。 us-east-1 – AWS リージョン識別子（S3 バケットの標的化に使用）。 開発者 / IDE の標的（認証情報収集）: NDARD.STANDARD.TA.INTELLIGENT.I / ERING.EXPRESS..ONEZONE.ONEZONE.IA – Visual Studio / IntelliJ を参照する、明らかに難読化/断片化された文字列。 GLACIER.GLACIER.IR.REDUCED.REDU – AWS Glacier（バックアップ/アーカイブサービス）への参照。 クラウド権限フラグ（横展開 / 権限昇格用）: private / public-read / private-read-write / aws-exec-read **bucket-owner-read **/ bucket-owner-full-control
クラウド認証情報の窃取: AWS/GCP/Cloudflare の文字列や S3 ACL 権限が存在することは、このスティーラーが被害者のマシン上でクラウドアクセスキー、IAM トークン、バケット設定を特異的に探し回っていることを意味します。 データ流出: r2.cloudflarestorage.com と amazonaws.com は、クラウドストレージのドメインがファイアウォールでブロックされることはほとんどないため、窃取したデータのアップロード先としてスティーラーに悪用されることがよくあります。 開発者を標的に: devDependencies、Visual Studio、IntelliJ への参照は、このスティーラーがクラウド認証情報の価値が高いソフトウェア開発者や CI/CD パイプラインを標的にしていることを示しています。 動的 C2: さまざまなステータスコード (200 OK、404 Not Found など) が存在することは、マルウェアが HTTP レスポンスを解析して C2 通信を動的に適応させていることを示唆しています クラウドの悪用 (Living off the Cloud): 正規のクラウドサービス (AWS、Cloudflare R2) を利用することで、このスティーラーはその流出トラフィックを通常の企業のクラウド利用に紛れ込ませ、検知を極めて困難にしています
NWH Stealer の最終的な分析により、その真の目的が明らかになります。Bun の模倣の下に、実際のペイロードにはクリップボードデータを傍受して解析するために設計された専用の関数 (sub_140207e80) が含まれています。特定の画像フォーマット (image/png、image/webp、JFIF) を監視することで、このスティーラーは暗号通貨ウォレットのアドレス、パスワード、機密性の高いスクリーンショットを標的にします。クロスリファレンスとインポートされた API のリストは、典型的な認証情報窃取の挙動を裏付けています。
クリップボード監視ルーチン: IsClipboardFormatAvailable / RegisterClipboardFormatA / OpenClipboard – 機密データがコピーされたかどうかを常にチェックします。 "image/png"、"image/webp"、"JFIF" – 標的とされるクリップボードフォーマット。暗号通貨ウォレットの QR コードや秘密鍵を含むスクリーンショットを窃取するためによく使用されます。 インポートされたネイティブ API (クロスリファレンスとシンボル): NtQueryInformationProcess / NtSetInformationProcess – 高度なプロセス操作 (おそらくアンチデバッグやインジェクション用)。 NtCreateNamedPipeFile / NtDeviceIoControlFile – 低レベルの IPC およびドライバ通信 (ステルス性の高いデータ転送)。 NtFreeVirtualMemory / NtQueryVirtualMemory – 手動のメモリ管理 (メモリスキャナの回避)。 Ordinal_WSOCK32 – Winsock を介したネットワーク通信 (おそらく C2 またはデータ流出用)。 MiniDumpWriteDump – !!! これは重大な危険信号です。このスティーラーがパスワードを抽出するためにプロセスメモリをダンプしている (たとえば LSASS から) ことを示しています。
