RenEngine Loader y HijackLoader: Cadena de Ataque de Doble Etapa Alimentando Campañas de Robo

Resumen

Desde abril de 2025, los investigadores han seguido una operación de robo a gran escala construida alrededor de una cadena de carga de dos etapas. La primera etapa, RenEngine Loader, está incrustada dentro de un lanzador de juegos Ren’Py aparentemente legítimo y descifra un cargador de seguimiento denominado HijackLoader. Luego, HijackLoader abusa de la carga lateral de DLLs y el doppelgänging de procesos, utilizando un marco modular que puede organizar más de 30 módulos auxiliares antes de finalmente entregar una carga útil de stealer ACR. La distribución está vinculada a instaladores de juegos crackeados promovidos a través de ecosistemas de piratería, afectando a cientos de miles de víctimas a nivel mundial.

Investigación

El equipo de Howler Cell reconstruyó toda la cadena de ejecución, revirtiendo la ingeniería de la lógica Python de RenEngine, extrayendo artefactos de configuración e identificando un archivo cifrado con XOR utilizado para la organización. Su análisis de HijackLoader catalogó 38 módulos, incluidos controles anti-VM, omisión de UAC, persistencia de tareas programadas y capacidades de shell inverso. El análisis de infraestructura vinculó la campaña a un único punto final público de C2, 78.40.193.126, y al dominio de entrega dodi-repacks.site, que se utilizó para sembrar las descargas iniciales del instalador.

Mitigación

Monitorear ejecuciones anómalas del lanzador Ren’Py, especialmente cuando se combinan con carga lateral de DLLs de nombres comunes como d3dx9_43.dll. Buscar creación sospechosa de directorios en %ProgramData% y %AppData%, particularmente rutas nombradas broker_crypt_v4_i386. Agregar detecciones de comportamiento para rutinas de evasión de sandbox, doppelgänging de procesos y patrones de acceso al registro inusuales asociados con verificaciones de artefactos de máquina virtual. Bloquear dominios conocidos de distribución de piratería en el gateway web y aplicar listas de permitidos de aplicaciones para restringir ejecutables lanzadores de juegos y “instaladores” no firmados de ejecutarse en ubicaciones con permisos de escritura para el usuario.

Respuesta

Al detectar, aislar el punto de acceso, preservar evidencia (volcados de memoria, archivos cifrados y artefactos de cargadores), y examinar el entorno en busca de los módulos identificados y archivos descartados. Bloquear inmediatamente 78.40.193.126 y dodi-repacks.site en los controles de perímetro. Realizar un análisis de exposición de credenciales enfocado en contraseñas de navegador, cookies de sesión y billeteras de criptomonedas, luego rotar cuentas y tokens afectados. Remover la persistencia atacante (particularmente tareas programadas) y purgar archivos maliciosos, luego continuar monitoreando rutas de reinfección relacionadas con instalaciones de software pirateado.

Ejecución de Simulación

Prerrequisito: La verificación pre-vuelo de Telemetría y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar exactamente la telemetría esperada por la lógica de detección.

• Narrativa de Ataque & Comandos:
  Un atacante obtiene un instalador de juegos Ren’Py malicioso (Installer.exe) que ha sido reempaquetado para incluir una carga útil de Python oculta. Cuando la víctima ejecuta el instalador, se activa un cargador secundario (W8CPbGQI.exe). Ese cargador desempaca un binario de tercera etapa (ZoneInd.exe) que realiza inyección de procesos, volcado de credenciales y establece un canal C2 sobre HTTP. El atacante evita deliberadamente nombrar cualquier proceso secundario chime.exe para satisfacer la cláusula de exclusión de la regla.

  Pasos realizados en el host comprometido:

  1. Lanzar el instalador de Ren’Py comprometido.
     Installer.exe se ejecuta como el proceso principal.
  2. Iniciar el primer cargador malicioso.
     Installer.exe crea W8CPbGQI.exe (Evento de Creación de Procesos – coincide con TargetImage).
  3. Iniciar la carga útil de segunda etapa.
     W8CPbGQI.exe lanza ZoneInd.exe (otro evento de Creación de Procesos – también coincide con TargetImage).
  4. Realizar acciones maliciosas (inyección de procesos, volcado de credenciales, C2).

  Estas acciones generan exactamente la telemetría que la regla Sigma monitorea: un proceso con Image=*Installer.exe creando un hijo con TargetImage=*W8CPbGQI.exe or *ZoneInd.exe, sin la exclusión *chime.exe.

• Script de Prueba de Regresión:
  El script a continuación crea archivos ejecutables de ejemplo (simples scripts de PowerShell guardados como .exe via powershell -c "..." para demostración) y luego organiza la cadena. Ejecútelo en un prompt de PowerShell elevado.

  # -------------------------------------------------
  # Script de Prueba de Regresión – Simular Cadena Maliciosa
  # -------------------------------------------------
  
  # 1. Crear binarios de marcador de posición (ejecutables simulados)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Ayudante para crear un exe ligero que simplemente espera (usar el shim .exe de PowerShell)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Usar el PS2EXE integrado de PowerShell (o cualquier envoltorio exe) – aquí mimetizamos con PowerShell -File
      # Para simplicidad, solo creamos una tarea programada que ejecuta el ps1; la ruta del .exe es un marcador de posición.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Crear ejecutables simulados
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Ejecutar la cadena
  Write-Host "`n[+] Lanzando Installer.exe (padre)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Pequeña demora para asegurar que el proceso padre aparezca en los registros
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe generando W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe generando ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Cadena ejecutada. Verifique la detección en su SIEM."
  # -------------------------------------------------

• Comandos de Limpieza:
  Eliminar los archivos temporales y terminar cualquier proceso de espera restante.

  # Limpiar los ejecutables simulados y directorio
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Deteniendo cualquier proceso simulado restante..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Eliminando archivos temporales..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Limpieza completa."