RenEngine Loader und HijackLoader: Zwei-Stufen-Angriffskette zur Unterstützung von Stealer-Kampagnen

Zusammenfassung

Seit April 2025 verfolgen Forscher einen groß angelegten Stealer-Betrieb, der auf einer zweistufigen Loader-Kette basiert. Die erste Stufe, RenEngine Loader, ist in einem ansonsten legitimen Ren’Py-Spielstarter eingebettet und entschlüsselt einen nachfolgenden Loader namens HijackLoader. HijackLoader missbraucht dann DLL-Sideloading und Process-Doppelgänging, indem es ein modulares Framework verwendet, das über 30 Hilfsmodule einrichten kann, bevor schließlich eine ACR-Stealer-Nutzlast ausgeliefert wird. Die Verbreitung ist mit geknackten Spiele-Installern verbunden, die durch Piraterie-Ökosysteme gefördert werden, wobei die Aktivität hunderttausende von Opfern weltweit betrifft.

Untersuchung

Das Howler-Cell-Team rekonstruierte die vollständige Ausführungskette, reverse-engineerte die RenEngine-Python-Logik, extrahierte Konfigurationsartefakte und identifizierte ein XOR-verschlüsseltes Archiv, das zur Bereitstellung verwendet wurde. Ihre Analyse von HijackLoader katalogisierte 38 Module, darunter Anti-VM-Prüfungen, UAC-Umgehung, geplante Task-Persistenz und Reverse-Shell-Fähigkeiten. Infrastrukturanalysen verlinkten die Kampagne auf einen einzigen öffentlichen C2-Endpunkt, 78.40.193.126, und die Bereitstellungsdomäne dodi-repacks.site, die zum Aussähen der anfänglichen Installer-Downloads verwendet wurde.

Minderung

Überwachen Sie auf anomale Ren’Py-Starter-Ausführungen, insbesondere in Verbindung mit dem Sideloading von DLLs mit gängigen Dateinamen wie d3dx9_43.dll. Suchen Sie nach verdächtigen Verzeichniserstellungen unter %ProgramData% und %AppData%, insbesondere nach Pfaden mit dem Namen broker_crypt_v4_i386. Fügen Sie verhaltensbasierte Erkennungen für Sandbox-Ausweichroutinen, Process-Doppelgänging und ungewöhnliche Registry-Zugriffsmuster, die mit Virtual-Machine-Artefakt-Prüfungen in Verbindung stehen, hinzu. Blockieren Sie bekannte Piraterie-Verbreitungsdomänen am Web-Gateway und wenden Sie eine Anwendungs-Whitelist an, um Spielstarter und unsignierte „Installer“-Exe-Dateien daran zu hindern, in beschreibbaren Speicherorten ausgeführt zu werden.

Reaktion

Bei einer Erkennung isolieren Sie den Endpunkt, bewahren Sie Beweise (Speicherauszüge, die verschlüsselten Archive und Loader-Artefakte) und durchsuchen Sie die Umgebung nach den identifizierten Modulen und abgelegten Dateien. Sperren Sie sofort 78.40.193.126 und dodi-repacks.site bei den Perimeterkontrollen. Führen Sie eine Zugriffstriangulation mit Schwerpunkt auf Browser-Passwörtern, Sitzungscookies und Kryptowährungs-Wallets durch, geben Sie dann betroffene Konten und Token zurück. Entfernen Sie die Persistenz des Angreifers (insbesondere geplante Aufgaben) und bereinigen Sie bösartige Dateien, dann überwachen Sie weiterhin auf Neuinfektionspfade, die mit installierter raubkopierter Software verbunden sind.

Simulation – Ausführung

Voraussetzung: Der Vorflug-Check für Telemetrie & Baseline muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffsnarrativ & Befehle:
  Ein Angreifer erhält einen bösartigen Ren’Py-Spielinstaller (Installer.exe), der neu verpackt wurde, um eine versteckte Python-Nutzlast zu enthalten. Wenn das Opfer den Installer ausführt, spawnt er einen sekundären Loader (W8CPbGQI.exe). Dieser Loader packt eine dritte Binärdatei (ZoneInd.exe) aus, die Prozessinjektion, Anmeldedaten-Dumping und die Einrichtung eines C2-Kanals über HTTP durchführt. Der Angreifer vermeidet absichtlich die Benennung eines Kinderprozesses chime.exe , um die Ausschlussklausel der Regel zu erfüllen.

  Durchgeführte Schritte auf dem kompromittierten Host:

  1. Den kompromittierten Ren’Py-Installer starten.
     Installer.exe wird als übergeordneter Prozess ausgeführt.
  2. Den ersten bösartigen Loader spawnen.
     Installer.exe erstellt W8CPbGQI.exe (Prozess-Erstellungsevent – entspricht TargetImage).
  3. Den Payload der zweiten Stufe starten.
     W8CPbGQI.exe startet ZoneInd.exe (ein weiteres Prozess-Erstellungsevent – entspricht ebenfalls TargetImage).
  4. Bösartige Aktionen durchführen (Prozessinjektion, Anmeldedaten-Dumping, C2).

  Diese Handlungen erzeugen die genaue Telemetrie, die die Sigma-Regel überwacht: ein Prozess mit Image=*Installer.exe erstellt ein Kind mit TargetImage=*W8CPbGQI.exe or *ZoneInd.exe, ohne den Ausschluss *chime.exe.

• Regressions-Test-Skript:
  Das folgende Skript erstellt Dummy-Ausführungsdateien (einfache PowerShell-Skripte, die als .exe via PowerShell -c "..." zur Vorführung gespeichert werden) und orchestriert dann die Kette. Führen Sie es in einem erhöhten PowerShell-Prompt aus.

  # -------------------------------------------------
  # Regressions-Test-Skript – Simulieren bösartige Kette
  # -------------------------------------------------
  
  # 1. Platzhalter-Binärdateien erstellen (simulierte Ausführungsdateien)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Helfer, um eine leichtgewichtige exe zu erstellen, die einfach schläft (benutzen Sie PowerShell's .exe Shim)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Verwenden Sie PowerShells PS2EXE (oder einen beliebigen .exe-Wrapper) – hier imitieren wir mit PowerShell -File
      # Zur Einfachheit erstellen wir einfach einen geplanten Task, der das ps1 ausführt; der .exe-Pfad ist ein Platzhalter.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Stub-Ausführungsdateien erstellen
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Die Kette ausführen
  Write-Host "`n[+] Starten von Installer.exe (übergeordnet)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Kleine Verzögerung, um sicherzustellen, dass der übergeordnete Prozess in den Logs erscheint
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe spawnt W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe spawnt ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Kette ausgeführt. Überprüfen Sie die Erkennung in Ihrem SIEM."
  # -------------------------------------------------

• Bereinigungskommandos:
  Entfernen Sie die temporären Dateien und beenden Sie alle verbleibenden Schlaf-Prozesse.

  # Bereinigen Sie die Stub-Ausführungsdateien und das Verzeichnis
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Stoppen aller verbleibenden Stub-Prozesse..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Entfernen temporärer Dateien..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Bereinigung abgeschlossen."