StealC-Stealer-RuntimeBroker-Hollowing-C2-Extraction-Payload-Extraction-Analysis

1. Hollowing do RuntimeBroker.exe e endereços IP de C2

A análise de memória do Process Hacker revela que o StealC Stealer realiza process hollowing no RuntimeBroker.exe e estabelece conexões com vários servidores C2.

Principais observações:

• Processo alvo: RuntimeBroker.exe (PID 14900).
• Endereços IP de C2:
  • http://87.120.196.171/
  • http://95.85.251.18/
  • http://193.148.56.97/
  • https://31.77.9.121/
• Strings Base64: Várias strings codificadas em Base64 (provavelmente dados de configuração criptografados).

Por que isso importa:

• Process Hollowing: O malware injeta seu payload em um processo confiável do Windows.
• Vários servidores C2: A redundância garante a comunicação mesmo se um servidor for bloqueado.
• Exfiltração de dados: Os endereços IP provavelmente são usados para enviar dados roubados.

Referência visual:

Visão do Process Hacker mostrando strings do RuntimeBroker.exe com endereços IP de C2.

2. Lista de domínios C2 – StealC Stealer

A análise de memória do Process Hacker revela uma extensa lista de domínios C2 usados pelo StealC Stealer para exfiltração de dados e entrega de comandos.

Principais domínios observados:

• easyjet.com – domínio C2.
• easythe.com – domínio C2.
• ebookers.com – domínio C2.
• ecomlead.com – domínio C2.
• ecruises.com – domínio C2.
• egroupware-italia.it – domínio C2.
• egroupware.de – domínio C2.
• egroupware.net – domínio C2.
• egroupware.org – domínio C2.
• einheiten-umrechnen.de – domínio C2.
• einmalmitprofits.at – domínio C2.
• elmerchocolate.net – domínio C2.
• elsevierfctch.com – domínio C2.
• emedixus.com – domínio C2.
• enverity.com – domínio C2.

Por que isso importa:

• Redundância: Vários domínios garantem que o malware permaneça operacional se alguns forem bloqueados.
• Evasão: Domínios de aparência legítima (por exemplo, easyjet.com) ajudam a evitar a detecção.
• Exfiltração: Os dados roubados são enviados para esses domínios.

Referência visual:

Visão do Process Hacker mostrando os domínios C2 usados pelo StealC Stealer.

3. Roubo de cookies e manipulação do sistema

A análise de memória do RuntimeBroker.exe pelo Process Hacker revela que o StealC Stealer tem como alvo cookies de navegadores e usa APIs de manipulação do sistema.

Principais strings observadas:

• cookies.sqlite – Tem como alvo bancos de dados de cookies de navegadores (Firefox).
• ShellExecuteExA – Executa programas ou abre arquivos.
• GetSystemTimes – Recupera informações de temporização do sistema.
• wow64base.dll – Camada de compatibilidade de 32 bits (evasão).
• agent_version – Identificador da versão do malware.
• browser_type – Identifica o navegador alvo.
• FindWindowA – Localiza janelas (interação com a interface).
• CreatePipe – Cria pipes para comunicação entre processos.
• LoadLibraryA – Carrega DLLs adicionais.

Por que isso importa:

• Roubo de cookies: cookies.sqlite confirma o roubo de dados de cookies.
• Manipulação do sistema: ShellExecuteExA e CreatePipe indicam execução de comandos.
• Evasão: wow64base.dll ajuda a contornar controles de segurança de 64 bits.

Referência visual:

Visão do Process Hacker mostrando cookies.sqlite, ShellExecuteExA e outras APIs de sistema.

4. cookies.sqlite – API e manipulação do sistema

A análise do arquivo cookies.sqlite no Binary Ninja revela uma lista de chamadas de API e funções de sistema usadas pelo StealC Stealer.

Principais APIs observadas:

• GetClassNameA – Recupera nomes de classes de janelas (interação com a interface).
• ShellExecuteExW – Executa programas ou abre arquivos.
• VirtualAlloc – Aloca memória (injeção).
• VirtualFree – Libera memória (limpeza).
• GetMenuItemID – Recupera IDs de itens de menu (manipulação da interface).
• IsWow64Process – Detecta processo de 32 bits em SO de 64 bits (evasão).
• upload_file – Envia dados roubados para o C2.
• update_cookies – Atualiza dados de cookies (persistência).

Por que isso importa:

• Manipulação do Sistema: ShellExecuteExW e VirtualAlloc permitem a execução de código.
• Evasão: IsWow64Process ajuda a contornar a segurança de 64 bits.
• Exfiltração de Dados: upload_file confirma o roubo de dados.

Referência Visual:

Vista do Binary Ninja mostrando ShellExecuteExW, VirtualAlloc e outras APIs em cookies.sqlite.

5. ShellExecuteEx – Manipulação do Sistema e Roubo de Dados

A análise do Binary Ninja da função ShellExecuteEx revela uma lista de processos do sistema, funções de comunicação C2 e APIs de roubo de dados usadas pelo StealC Stealer.

Principais Strings Observadas:

• winlogon.exe – Tem como alvo o processo de logon do Windows (escalada de privilégios).
• vdrsvc.exe – Tem como alvo um processo de serviço (evasão).
• HttpQueryInfoA – Recupera cabeçalhos HTTP (comunicação C2).
• cookies.sqlite – Tem como alvo os cookies do navegador (roubo de dados).
• vncdll – DLL relacionada a VNC (acesso remoto).
• PeekNamedPipe – Lê dados de named pipes (IPC).
• VirtualFree – Libera memória (limpeza).
• UnmapViewOfFile – Desmapeia arquivos (limpeza).
• GetSystemTimes – Recupera os tempos do sistema (anti-debug).

Por Que Isso Importa:

• Escalada de Privilégios: winlogon.exe é um alvo de alto valor.
• Comunicação C2: HttpQueryInfoA é usada para C2 baseado em HTTP.
• Roubo de Dados: cookies.sqlite confirma o roubo de cookies.
• Evasão: vdrsvc.exe e GetSystemTimes ajudam a evitar a detecção.

Referência Visual:

Vista do Binary Ninja mostrando winlogon.exe, HttpQueryInfoA, cookies.sqlite e outras APIs.

Conclusão

Esta análise revelou o StealC Stealer, um info-stealer sofisticado que utiliza process hollowing em RuntimeBroker.exe, múltiplos servidores C2 e amplas capacidades de roubo de dados.

Principais Conclusões:

• Process Hollowing: Injeta em RuntimeBroker.exe (PID 14900).
• Infraestrutura C2: Múltiplos IPs (87.120.196.171, 95.85.251.18, 193.148.56.97, 31.77.9.121) e domínios (easyjet.com, ebookers.com, ecomlead.com, etc.).
• Roubo de Cookies: Tem como alvo cookies.sqlite para dados de cookies do navegador.
• Manipulação do Sistema: Usa ShellExecuteExA, VirtualAlloc, IsWow64Process e GetSystemTimes.
• Exfiltração de Dados: upload_file e update_cookies para enviar dados roubados.

Recomendações de Detecção: