StealC-Stealer-RuntimeBroker-Hollowing-C2-Extraction-Payload-Extraction-Analysis

1. Заполнение RuntimeBroker.exe и IP-адреса C2

Анализ памяти в Process Hacker показывает, что StealC Stealer выполняет заполнение процесса RuntimeBroker.exe и устанавливает соединения с несколькими серверами C2.

Ключевые наблюдения:

• Целевой процесс: RuntimeBroker.exe (PID 14900).
• IP-адреса C2:
  • http://87.120.196.171/
  • http://95.85.251.18/
  • http://193.148.56.97/
  • https://31.77.9.121/
• Строки Base64: Несколько строк в кодировке Base64 (вероятно, зашифрованные данные конфигурации).

Почему это важно:

• Заполнение процесса: Вредоносная программа внедряет свою полезную нагрузку в доверенный процесс Windows.
• Несколько серверов C2: Резервирование обеспечивает связь, даже если один сервер заблокирован.
• Эксфильтрация данных: IP-адреса, вероятно, используются для отправки украденных данных.

Визуальная ссылка:

Вид в Process Hacker, показывающий строки RuntimeBroker.exe с IP-адресами C2.

2. Список доменов C2 – StealC Stealer

Анализ памяти в Process Hacker выявляет обширный список доменов C2, используемых StealC Stealer для эксфильтрации данных и доставки команд.

Наблюдаемые ключевые домены:

• easyjet.com – домен C2.
• easythe.com – домен C2.
• ebookers.com – домен C2.
• ecomlead.com – домен C2.
• ecruises.com – домен C2.
• egroupware-italia.it – домен C2.
• egroupware.de – домен C2.
• egroupware.net – домен C2.
• egroupware.org – домен C2.
• einheiten-umrechnen.de – домен C2.
• einmalmitprofits.at – домен C2.
• elmerchocolate.net – домен C2.
• elsevierfctch.com – домен C2.
• emedixus.com – домен C2.
• enverity.com – домен C2.

Почему это важно:

• Резервирование: Несколько доменов обеспечивают работоспособность вредоносной программы, если некоторые из них заблокированы.
• Обход защиты: Домены, выглядящие легитимными (например, easyjet.com), помогают избежать обнаружения.
• Эксфильтрация: Украденные данные отправляются на эти домены.

Визуальная ссылка:

Вид в Process Hacker, показывающий домены C2, используемые StealC Stealer.

3. Кража cookie и манипуляция системой

Анализ памяти RuntimeBroker.exe в Process Hacker показывает, что StealC Stealer нацелен на cookie браузеров и использует API манипуляции системой.

Наблюдаемые ключевые строки:

• cookies.sqlite – Нацелен на базы данных cookie браузеров (Firefox).
• ShellExecuteExA – Запускает программы или открывает файлы.
• GetSystemTimes – Извлекает информацию о системном времени.
• wow64base.dll – Слой совместимости 32-битных приложений (обход защиты).
• agent_version – Идентификатор версии вредоносной программы.
• browser_type – Определяет целевой браузер.
• FindWindowA – Находит окна (взаимодействие с UI).
• CreatePipe – Создает каналы для межпроцессного взаимодействия.
• LoadLibraryA – Загружает дополнительные DLL.

Почему это важно:

• Кража cookie: cookies.sqlite подтверждает кражу данных cookie.
• Манипуляция системой: ShellExecuteExA и CreatePipe указывают на выполнение команд.
• Обход защиты: wow64base.dll помогает обойти 64-битные средства контроля безопасности.

Визуальная ссылка:

Вид в Process Hacker, показывающий cookies.sqlite, ShellExecuteExA и другие системные API.

4. cookies.sqlite – API и манипуляция системой

Анализ файла cookies.sqlite в Binary Ninja выявляет список вызовов API и системных функций, используемых StealC Stealer.

Наблюдаемые ключевые API:

• GetClassNameA – Извлекает имена классов окон (взаимодействие с UI).
• ShellExecuteExW – Запускает программы или открывает файлы.
• VirtualAlloc – Выделяет память (внедрение).
• VirtualFree – Освобождает память (очистка).
• GetMenuItemID – Извлекает идентификаторы пунктов меню (манипуляция UI).
• IsWow64Process – Обнаруживает 32-битный процесс в 64-битной ОС (обход защиты).
• upload_file – Загружает украденные данные на C2.
• update_cookies – Обновляет данные cookie (закрепление).

Почему это важно:

• Манипуляция системой: ShellExecuteExW и VirtualAlloc обеспечивают выполнение кода.
• Обход защиты: IsWow64Process помогает обходить 64-битную защиту.
• Эксфильтрация данных: upload_file подтверждает кражу данных.

Визуальная справка:

Представление в Binary Ninja, показывающее ShellExecuteExW, VirtualAlloc и другие API в cookies.sqlite.

5. ShellExecuteEx – Система и кража данных

Анализ функции ShellExecuteEx в Binary Ninja выявляет список системных процессов, функции связи с C2 и API кражи данных, используемые StealC Stealer.

Ключевые обнаруженные строки:

• winlogon.exe – Нацелен на процесс входа в Windows (повышение привилегий).
• vdrsvc.exe – Нацелен на процесс службы (обход защиты).
• HttpQueryInfoA – Извлекает HTTP-заголовки (связь с C2).
• cookies.sqlite – Нацелен на cookies браузера (кража данных).
• vncdll – DLL, связанная с VNC (удалённый доступ).
• PeekNamedPipe – Читает данные из именованных каналов (IPC).
• VirtualFree – Освобождает память (очистка).
• UnmapViewOfFile – Отменяет отображение файлов (очистка).
• GetSystemTimes – Извлекает системное время (антиотладка).

Почему это важно:

• Повышение привилегий: winlogon.exe — высокоценная цель.
• Связь с C2: HttpQueryInfoA используется для HTTP-связи с C2.
• Кража данных: cookies.sqlite подтверждает кражу cookies.
• Обход защиты: vdrsvc.exe и GetSystemTimes помогают избежать обнаружения.

Визуальная справка:

Представление в Binary Ninja, показывающее winlogon.exe, HttpQueryInfoA, cookies.sqlite и другие API.

Заключение

Этот анализ выявил StealC Stealer — изощрённый инфостилер, использующий подмену процесса (process hollowing) в RuntimeBroker.exe, несколько серверов C2 и обширные возможности кражи данных.

Ключевые выводы:

• Подмена процесса: Внедрение в RuntimeBroker.exe (PID 14900).
• Инфраструктура C2: Несколько IP-адресов (87.120.196.171, 95.85.251.18, 193.148.56.97, 31.77.9.121) и доменов (easyjet.com, ebookers.com, ecomlead.com и др.).
• Кража cookies: Нацелен на cookies.sqlite для получения данных cookies браузера.
• Манипуляция системой: Использует ShellExecuteExA, VirtualAlloc, IsWow64Process и GetSystemTimes.
• Эксфильтрация данных: upload_file и update_cookies для отправки украденных данных.

Рекомендации по обнаружению: