RedLine-Stealer-C2-Defender-Bypass-Payload-Analysis

1. C2接続 – IP 198.46.86.63

ネットワーク解析により、RedLine StealerがリモートIPアドレス198.46.86.63への接続を確立することが判明しました。このIPは、データの外部送信とコマンド配信に使用される、マルウェアのC2（コマンド＆コントロール）サーバーである可能性が高いです。

主な観察結果:

• IPアドレス: 198.46.86.63
• プロトコル: おそらくHTTP/HTTPS（一般的なRedLineの動作に基づく）。
• 目的: 窃取したデータ（認証情報、Cookie、暗号通貨ウォレット）のC2通信。

重要である理由:

• C2インフラ: このIPはマルウェアの由来を追跡するために使用できます。
• 検出: ネットワークセキュリティツールはこのIPをブロックできます。
• 外部送信: 窃取されたすべてのデータはこのサーバーに送信されます。

視覚的な参考:

198.46.86.63に接続するRedLine Stealerを示すネットワークモニタービュー。

2. ペイロードメモリブロック – 7200 KB RW領域

Process Hackerは、RedLine Stealerプロセス内に大きなPAGE_READWRITEメモリブロック（7200 KB）を明らかにします。この領域はPrivateとしてマークされ、マルウェアのペイロードを含み、窃取したデータ、設定、実行可能コードが含まれている可能性があります。

主な観察結果:

• サイズ: 7200 KB（7.2 MB）
• タイプ: Private（ファイルからマップされていない）
• 保護: PAGE_READWRITE（読み取り/書き込み、実行不可）
• 目的: おそらくメインペイロード（データ窃取ルーチン、C2通信など）を保存。

重要である理由:

• ペイロードストレージ: このブロックには中核となる悪意のあるコードが含まれています。
• 難読化: データは検出を回避するために暗号化または圧縮されている可能性があります。
• メモリフォレンジック: この領域をダンプすると、完全なマルウェアコードが明らかになる可能性があります。

視覚的な参考:

ペイロードを含む7200 KBのPAGE_READWRITEメモリブロックを示すProcess Hackerビュー。

3. バックアップC2 – tempuri.org

Binary Ninja解析により、2番目のC2サーバーtempuri.orgが明らかになりました。これは、プライマリサーバー（198.46.86.63）が利用できない場合のバックアップまたは代替C2アドレスとして機能する可能性があります。

確認された主な文字列:

• tempuri.org – バックアップC2サーバー。
• Entity/Id9.Result – 窃取したデータを送信するためのエンドポイント。
• Id9.Response – C2コマンドまたは確認応答を受信するためのエンドポイント。

重要である理由:

• 冗長性: バックアップC2により、プライマリサーバーがブロックされてもデータ外部送信が継続します。
• 外部送信: Entity/Id9.Resultは窃取した認証情報、Cookie、暗号通貨ウォレットを送信するために使用される可能性があります。
• 検出: このドメインをブロックして、マルウェアの通信を妨害できます。

視覚的な参考:

Entity/Id9.Resultエンドポイントを持つtempuri.orgをバックアップC2サーバーとして示すBinary Ninjaビュー。

4. システム構成と永続化

Binary Ninja解析により、RedLine Stealerがシステム構成設定を収集し、永続化と回避に使用することが明らかになりました。

確認された主な文字列:

• PSModulePath – コマンド実行のためのPowerShellモジュールパス。
• HideExclusionsFromLocalAdmins – Windows Defenderの除外項目を隠します。
• RemoteEncryptionProtectionMaxBlockTime – 暗号化保護のタイミングを制御します。
• LastMapsDisableHeartbeatReportTime – C2通信のハートビートレポート。
• LastSetupErrorHeartbeatReportTime – C2へのエラーレポート。

重要である理由:

• PowerShell実行: マルウェアはPowerShellスクリプトを実行できます。
• 回避: 除外項目を隠すことで、ウイルス対策による検出を回避できます。
• 永続化: ハートビートレポートはアクティブなC2通信を示します。

視覚的な参考:

PowerShellパス、Windows Defender設定、ハートビートレポートを示すBinary Ninjaビュー。

5. Windows Defender Exploit Guardの操作

Binary Ninja解析により、RedLine Stealerが複数のWindows Defender Exploit Guard設定を操作して、保護機能を無効化し、除外項目を追加することが明らかになりました。

確認された主な文字列:

• Windows Defender Exploit Guard\Network Protection – ネットワークベースの保護（悪意のあるIP/ドメインのブロックなど）を無効にします。
• ASR\ASROnlyExclusions – Attack Surface Reduction（ASR）ルールに除外項目を追加し、Defenderが特定のファイルやプロセスをブロックするのを防ぎます。
• Controlled Folder Access – 保護されたフォルダアクセスを変更し、ランサムウェア保護を回避する可能性があります。
• Windows Defender Exploit Guard\Controlled Folder Access\Allowed Applications – マルウェアを許可されたアプリケーションのリストに追加し、保護されたフォルダを変更できるようにします。
• Windows Defender Exploit Guard\Network Protection\Blocked URLs – C2通信を許可するためにブロックされたURLを削除または変更します。
• Windows Defender Exploit Guard\ASR\Rules – マルウェアの動作を検出する可能性のある特定のASRルールを無効にします。

重要である理由:

• 回避: Network ProtectionとASRルールを無効にすることで、マルウェアは検出を回避できます。
• 永続化: 除外項目を追加することで、マルウェアはブロックされずにファイルを保存し、システム設定を変更できます。
• C2通信: ブロックされたURLを削除することで、マルウェアは中断なくC2サーバーに接続できます。
• ランサムウェア回避: Controlled Folder Accessを変更することで、ランサムウェア保護メカニズムを回避できます。

視覚的な参考:

複数のWindows Defender Exploit Guard文字列を示すBinary Ninjaビュー。

結論

この解析により、RedLine Stealerが、高度な回避技術、複数のC2サーバー、および包括的なデータ窃取機能を組み合わせた.NETベースの情報窃取マルウェアであることが明らかになりました。

重要なポイント:

• C2通信: プライマリC2は198.46.86.63、バックアップはtempuri.org。
• ペイロードストレージ: 7200 KBのPAGE_READWRITEメモリブロックにメインペイロードが含まれています。
• Defender回避: Windows Defender Exploit Guard設定（Network Protection、ASR、Controlled Folder Access）を操作します。
• .NET構成: 設定管理に標準の.NET構成セクションを使用します。
• データ窃取: 認証情報、Cookie、暗号通貨ウォレット、およびシステム情報を窃取します。

検出に関する推奨事項:

• C2ドメインをブロック: 198.46.86.63 と tempuri.org。
• 不審なプロセスにおける5 MBを超えるPAGE_READWRITEメモリブロックを監視します。
• Windows Defender Exploit Guardのレジストリ変更を検出します。
• 異常なプロセスにおける.NET構成セクション（System.Configuration）を監視します。

サンプルダウンロード

解析されたRedLine Stealerサンプルは、自己解析を行いたい方のためにMalwareBazaarで入手できます:

🔗 MalwareBazaarのRedLine Stealerサンプル

使用ツール: Binary Ninja, Process Hacker, Network Monitor