RenEngine Loader et HijackLoader : Chaîne d’Attaque à Deux Étapes Alimentant les Campagnes de Voleurs

Résumé

Depuis avril 2025, les chercheurs ont suivi une opération de vol à grande échelle construite autour d’une chaîne de chargeur à deux étapes. La première étape, RenEngine Loader, est intégrée dans un lanceur de jeu Ren’Py légitime et décrypte un chargeur de suivi appelé HijackLoader. HijackLoader abuse ensuite du chargement latéral de DLL et du doppelgänging de processus, en utilisant un cadre modulaire qui peut mettre en scène plus de 30 modules d’assistance avant de finalement livrer une charge utile de voleur ACR. La distribution est liée à des installateurs de jeux piratés promus à travers les écosystèmes de piratage, avec une activité touchant des centaines de milliers de victimes dans le monde entier.

Enquête

L’équipe de Howler Cell a reconstruit la chaîne d’exécution complète, ingénierie inverse de la logique Python de RenEngine, extraction des artefacts de configuration, et identification d’une archive chiffrée par XOR utilisée pour la mise en scène. Leur analyse de HijackLoader a catalogué 38 modules, y compris les vérifications anti-machine virtuelle, le contournement UAC, la persistance de tâches planifiées, et les capacités de shell inversé. L’analyse de l’infrastructure a lié la campagne à un seul point de terminaison C2 public, 78.40.193.126, et au domaine de livraison dodi-repacks.site, qui a été utilisé pour semer les téléchargements d’installateurs initiaux.

Atténuation

Surveiller les exécutions anormales de lanceurs Ren’Py, surtout lorsqu’elles sont associées au chargement latéral de DLL de noms de fichiers communs tels que d3dx9_43.dll. Chassez la création de répertoires suspects sous %ProgramData% et %AppData%, en particulier les chemins nommés broker_crypt_v4_i386. Ajoutez des détections comportementales pour les routines d’évasion de sandbox, le doppelgänging de processus et les schémas d’accès au registre inhabituels associés aux vérifications d’artefacts de machine virtuelle. Bloquez les domaines de distribution de piraterie connus à la passerelle Web, et appliquez une liste d’autorisation d’applications pour restreindre les lanceurs de jeux et les exécutables “installateurs” non signés de s’exécuter dans des emplacements modifiables par l’utilisateur.

Réponse

Lors de la détection, isolez le point de terminaison, préservez les preuves (dumps mémoire, archives chiffrées et artefacts de chargeur), et balayez l’environnement pour les modules identifiés et les fichiers abandonnés. Bloquez immédiatement 78.40.193.126 et dodi-repacks.site aux contrôles de périmètre. Effectuez une évaluation de l’exposition des identifiants axée sur les mots de passe des navigateurs, les cookies de session et les portefeuilles de cryptomonnaie, puis changez les comptes et les jetons affectés. Supprimez la persistance de l’attaquant (notamment les tâches planifiées) et purgez les fichiers malveillants, puis continuez à surveiller pour les chemins de réinfection liés aux installations de logiciels piratés.

Exécution de la simulation

Prérequis : Vérification préliminaire de la télémétrie et de la base de référence doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et visent à générer la télémétrie exacte attendue par la logique de détection.

• Narratif de l’attaque & Commandes :
  Un attaquant obtient un installateur de jeu Ren’Py malveillant (Installer.exe) qui a été remballé pour inclure une charge utile Python cachée. Lorsque la victime exécute l’installateur, il engendre un chargeur secondaire (W8CPbGQI.exe). Ce chargeur décompresse un binaire de troisième étape (ZoneInd.exe) qui effectue une injection de processus, une vidange d’identifiants, et établit un canal C2 via HTTP. L’attaquant évite délibérément de nommer tout processus enfant chime.exe pour satisfaire la clause d’exclusion de la règle.

  Étapes exécutées sur l’hôte compromis :

  1. Lancer l’installateur Ren’Py compromis.
     Installer.exe s’exécute en tant que processus parent.
  2. Engendrer le premier chargeur malveillant.
     Installer.exe crée W8CPbGQI.exe (Événement de création de processus – correspond à TargetImage).
  3. Engendrer la charge utile de seconde étape.
     W8CPbGQI.exe lance ZoneInd.exe (un autre événement de création de processus – correspond également à TargetImage).
  4. Effectuer des actions malveillantes (injection de processus, vidange d’identifiants, C2).

  Ces actions génèrent la télémétrie exacte que la règle Sigma surveille : un processus avec Image=*Installer.exe créant un enfant avec TargetImage=*W8CPbGQI.exe or *ZoneInd.exe, sans l’exclusion *chime.exe.

• Script de test de régression :
  Le script ci-dessous crée des fichiers exécutables factices (scripts PowerShell simples enregistrés sous forme de .exe via powershell -c "..." pour la démonstration) et orchestre ensuite la chaîne. Exécutez-le dans une invite PowerShell élevée.

  # -------------------------------------------------
  # Script de test de régression – Simuler une chaîne malveillante
  # -------------------------------------------------
  
  # 1. Créer des binaires de remplacement (exécutables simulés)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Assistant pour créer un exe léger qui dort simplement (utiliser l'exe-shim de PowerShell)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Utiliser le PS2EXE intégré de PowerShell (ou tout autre wrapper exe) – ici on mime avec PowerShell -File
      # Pour simplifier, nous créons juste une tâche planifiée qui exécute le ps1 ; le chemin de l'exe est une substitution.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Créer des exécutables de remplacement
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Exécuter la chaîne
  Write-Host "`n[+] Lancement de Installer.exe (parent)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Petit délai pour s'assurer que le processus parent apparaisse dans les journaux
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe générant W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe générant ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Chaîne exécutée. Vérifiez la détection dans votre SIEM."
  # -------------------------------------------------

• Commandes de nettoyage :
  Supprimer les fichiers temporaires et terminer tous les processus de sommeil persistants.

  # Nettoyer les exécutables factices et le répertoire
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Arrêt de tous les processus factices persistants..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Suppression des fichiers temporaires..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Nettoyage terminé."