Die Illusion der Zertifikat-Dekodierung: Wie Blank Grabber Stealer seinen Loader verbirgt

Zusammenfassung

BlankGrabber ist ein Python-basierter Infostealer, der mit einem Batch-Skript-Loader startet, welcher einen als Zertifikat getarnten Rust-kompilierten Stager „decodiert“. Der Stager führt Sandbox- und VM-Überprüfungen durch, entschlüsselt eine eingebettete Nutzlast und legt mehrere bösartige Komponenten ab, einschließlich eines XWorm-Clients und eines mit PyInstaller gepackten Stealers. Die Exfiltration verwendet öffentliche Webdienste wie Telegram-Bot-APIs und IP-Abfrage-Endpunkte, um sich mit normalem Datenverkehr zu vermischen. Die Malware manipuliert auch Systemeinstellungen, blockiert den Zugriff auf Sicherheitsseiten und versucht, UAC zu umgehen, um die Persistenz zu verstärken.

Untersuchung

Das Splunk Threat Research Team analysierte den anfänglichen Loader, der über gofile.io geliefert wurde, seine Nutzung von certutil.exe zur Nutzlastdecodierung und die Anti-Analyse-Logik des Rust-Stagers. Sie entschlüsselten den AES-GCM/CTR-Dekodierungsfluss, extrahierten ein eingebettetes ZIP-Archiv und kartierten die resultierende Nutzlast. Verhaltenstests zeigten umfassende Host-Erkennung, Webcam-Aufnahmen, Clipboard-Diebstahl und Diebstahl von Host-Schlüsseln sowie anderen sensiblen Artefakten.

Abschwächung

Überwachen Sie verdächtige certutil.exe-Nutzung, PowerShell-Befehle, die Windows Defender-Voreinstellungen ändern, und unbefugte Bearbeitungen der Hosts-Datei. Alarmieren Sie bei WinRAR/rar.exe-Ausführung von nicht standardmäßigen Pfaden und DNS-Abfragen zu Telegram-API oder bekannten IP-Lookup-Diensten. Blockieren Sie bekannte bösartige Dateinamen und begrenzen Sie die Ausführung von unsignierten PyInstaller-gepackten Python-Binärdateien durch Anwendungsrichtlinien.

Reaktion

Wenn Indikatoren erkannt werden, isolieren Sie den Endpunkt, bewahren Sie flüchtige Beweise und das %TEMP%-Verzeichnis für forensische Analysen auf. Entfernen Sie bösartige geplante Aufgaben oder Registrierungseinträge unter „Run“, setzen Sie etwaige Änderungen an der Hosts-Datei zurück und entfernen Sie Windows Defender-Ausschlüsse. Führen Sie einen vollständigen Anmeldeinformationen-Reset für potenziell gefährdete Browser-Anmeldedaten und Krypto-Wallet-Daten durch.

Simulation Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorabkontrolle muss bestanden worden sein.

Begründung: In diesem Abschnitt wird die präzise Ausführung der Angreifertechnik (TTP) beschrieben, die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die von der Erkennung erwartete Telemetrie exakt zu erzeugen.

• Angriffsgeschichte & Befehle:
  Der Angreifer, der den Endpunkt mit dem BlankGrabber-Stealer kompromittiert hat, gibt DNS-Abfragen an drei verschiedene Dienste aus, die von der Malware für C2 und Aufklärung verwendet werden:

  1. Telegram API-Domäne – verwendet, um Befehle über einen Telegram-Bot abzurufen.

     Resolve-DnsName -Name api.telegram.org -Type A

  2. Öffentlicher IP-Check-Dienst – erhält die externe IP-Adresse des Opfers für spätere Exfiltration.

     Resolve-DnsName -Name api.ipify.org -Type A

  3. Missbrauchter Dateiaustauschdienst – sendet einen kleinen codierten Datenblock über eine Unterdomäne von pastebin.com.

     Resolve-DnsName -Name maliciouspayload.pastebin.com -Type A

  Jeder Anruf erfolgt mit der nativen PowerShell-Funktion Resolve-DnsName , um sicherzustellen, dass die DNS-Client-Protokolle auf dem lokalen Host erstellt werden. Die drei Abfragen korrelieren direkt mit den drei Auswahl_ Blöcken der Sigma-Regel, was eine Übereinstimmung garantiert.

• Regressionstestskript:

  # BlankGrabber DNS C2 Simulation – löst Erkennungsregel aus
  $domains = @(
      "api.telegram.org",
      "api.ipify.org",
      "maliciouspayload.pastebin.com"
  )
  
  foreach ($d in $domains) {
      Write-Host "Abfrage $d ..."
      try {
          Resolve-DnsName -Name $d -Type A -ErrorAction Stop | Out-Null
          Write-Host "✅ $d abgefragt"
      } catch {
          Write-Warning "❌ Abfrage von $d fehlgeschlagen : $_"
      }
      Start-Sleep -Seconds 2   # leichte Verzögerung, um realistischen Datenverkehr zu simulieren
  }

• Bereinigungsbefehle:

  # Durch Resolve-DnsName werden keine persistenten Artefakte erstellt.
  # Löschen Sie den DNS-Cache, um jegliche Resteinträge zu entfernen.
  ipconfig /flushdns
  Write-Host "DNS-Cache gelöscht."