L’illusione del Decodifica del Certificato: Come Blank Grabber Stealer Nasconde il Suo Loader

Riassunto

BlankGrabber è un infostealer basato su Python che inizia con un caricatore batch-script che “decodifica” uno stager compilato in Rust mascherato da file di certificato. Lo stager esegue controlli su sandbox e macchine virtuali, decritta un payload incorporato e lascia cadere vari componenti dannosi, inclusi un client XWorm e uno stealer impacchettato con PyInstaller. L’esfiltrazione si basa su servizi web pubblici come le API bot di Telegram e gli endpoint di ricerca IP per confondersi con il traffico normale. Il malware modifica anche le impostazioni del sistema, blocca l’accesso ai siti di sicurezza e tenta di bypassare l’UAC per rafforzare la persistenza.

Indagine

Il Team di Ricerca sulle Minacce di Splunk ha analizzato il caricatore iniziale consegnato tramite gofile.io, il suo uso di certutil.exe per la decodifica del payload e la logica anti-analisi dello stager Rust. Hanno ingegnerizzato alla rovescia il flusso di decrittazione AES-GCM/CTR, estratto un archivio ZIP incorporato e mappato il set di payload risultante. Test comportamentali hanno mostrato un’ampia scoperta dell’host, cattura web, raccolta di appunti e furto di chiavi host e altri artefatti sensibili.

Mitigazione

Monitora l’uso sospetto di certutil.exe, i comandi PowerShell che alterano le preferenze di Windows Defender e modifiche non autorizzate al file hosts. Genera allerta su esecuzioni di WinRAR/rar.exe da percorsi non standard e ricerche DNS verso le API di Telegram o servizi noti di ricerca IP. Blocca nomi di file dannosi noti e limita l’esecuzione di binari Python impacchettati con PyInstaller non firmati attraverso policy di controllo delle applicazioni.

Risposta

Se vengono rilevati indicatori, isola l’endpoint, conserva le prove volatili e cattura la directory %TEMP% per una revisione forense. Rimuovi attività programmate dannose o voci di esecuzione nel registro, ripristina eventuali modifiche al file hosts e reimposta le esclusioni di Windows Defender. Esegui un reset completo delle credenziali per le credenziali del browser potenzialmente esposte e i dati del portafoglio crittografico.

Esecuzione della Simulazione

Prerequisito: Il Telemetry & Baseline Pre‑flight Check deve aver passato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa & Comandi di Attacco:
  L’avversario, avendo compromesso l’endpoint con lo stealer BlankGrabber, emette query DNS a tre servizi distinti usati dal malware per C2 e ricognizione:

  1. Dominio API di Telegram – utilizzato per recuperare i comandi tramite un bot di Telegram.

     Resolve-DnsName -Name api.telegram.org -Type A

  2. Servizio di verifica IP pubblico – ottiene l’indirizzo IP esterno della vittima per una successiva esfiltrazione.

     Resolve-DnsName -Name api.ipify.org -Type A

  3. Servizio di condivisione file abusato – invia un piccolo blocco dati codificato tramite un sottodominio di pastebin.com.

     Resolve-DnsName -Name maliciouspayload.pastebin.com -Type A

  Ogni chiamata viene eseguita utilizzando il comando nativo di PowerShell Resolve-DnsName per garantire che i log del client DNS vengano generati sull’host locale. Le tre query si mappano direttamente ai tre blocchi di selezione della regola Sigma, garantendo una corrispondenza. Test di Regressione Script:

• # Simulazione DNS C2 di BlankGrabber – attiva la regola di rilevamento $domains = @( “api.telegram.org”, “api.ipify.org”, “maliciouspayload.pastebin.com” ) foreach ($d in $domains) { Write-Host “Querying $d …” try { Resolve-DnsName -Name $d -Type A -ErrorAction Stop | Out-Null Write-Host “✅ $d queried” } catch { Write-Warning “❌ Failed to query $d : $_” } Start-Sleep -Seconds 2 # slight delay to mimic realistic traffic }

  Comandi di Pulizia:

• # Nessun artefatto persistente viene creato da Resolve-DnsName. # Cancella la cache DNS per rimuovere eventuali voci residue. ipconfig /flushdns Write-Host “Cache DNS cancellata.”

  # No persistent artifacts are created by Resolve-DnsName.
  # Clear the DNS cache to remove any residual entries.
  ipconfig /flushdns
  Write-Host "DNS cache cleared."