SOC Prime Bias: Moyen

13 Fév 2026 17:23
newspaper icon Laboratoires Bitdefender

LummaStealer Se Voit Accorder une Seconde Vie Aux Côtés de CastleLoader

Author Photo
Ruslan Mikhalov Chef de la Recherche sur les Menaces chez SOC Prime linkedin icon Suivre
LummaStealer Se Voit Accorder une Seconde Vie Aux Côtés de CastleLoader
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


Résumé

LummaStealer est un voleur d’informations qui a refait surface à la suite d’une importante perturbation des forces de l’ordre en 2025. L’activité récente se tourne vers CastleLoader, un chargeur basé sur des scripts qui livre LummaStealer par le biais d’appâts d’ingénierie sociale comme des logiciels « crackés » factices et des pages CAPTCHA contrefaites. La chaîne met l’accent sur l’exécution en mémoire, une obfuscation agressive et une infrastructure partagée entre les deux familles de logiciels malveillants. Les défenseurs peuvent prioriser la recherche de comportements DNS inhabituels, traces d’exécution AutoIt et motifs courants de persistance.

Enquête

Les chercheurs de Bitdefender ont analysé de nouveaux échantillons et confirmé CastleLoader comme le principal mécanisme de livraison de LummaStealer. Écrit en traces d’exécution AutoIt, le chargeur effectue des vérifications de sandbox, établit une persistance dans Local AppData, et génère un signal réseau distinctif via des requêtes DNS échouées répétées. Les analystes ont également noté un chevauchement d’infrastructure avec des services liés à GrayBravo. Les chaînes de commande pertinentes et les extraits de code ont été extraits pour soutenir le développement de règles de détection.

Atténuation

Réduisez l’exposition en bloquant les téléchargements de logiciels crackés, d’installateurs de jeux et d’autres packages médias non fiables. Empêchez ou contrôlez strictement l’exécution de traces d’exécution AutoIt scripts inconnus, et surveillez la création de fichiers sous des chemins nommés par CraftStitch Studios Inc. Appliquez MFA et faites pivoter les identifiants après une compromission suspectée. Appliquez des contrôles réseau pour signaler ou bloquer les recherches DNS échouées caractéristiques et l’infrastructure IP malveillante associée.

Réponse

Si des artefacts de CastleLoader ou LummaStealer sont trouvés, isolez l’hôte, arrêtez les traces d’exécution AutoIt processus suspects, et retirez les artefacts de persistance de %LocalAppData%CraftStitch Studios Inc. Préservez les preuves en collectant la charge utile déposée, la télémétrie réseau pertinente et tous les raccourcis créés. Réinitialisez les identifiants exposés et invalidez les sessions de navigateur actives. Mettez à jour les détections en utilisant les IOCs extraits pour identifier d’autres hôtes impactés.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef operator fill:#ff9900 classDef builtin fill:#cccccc %% Nodes u2013 Initial Access init_user_execution["<b>Action</b> – <b>T1204 User Execution</b>: Victims run fake cracked software or game/movie installers.<br/><b>Description</b>: Execution of malicious code by the user."] class init_user_execution action init_mal_copy_paste["<b>Action</b> – <b>T1204.004 Malicious Copy and Paste</b>: Users follow ClickFix CAPTCHA instructions to copy and paste malicious commands.<br/><b>Description</b>: Attacker guides victim to execute attackeru2011controlled code."] class init_mal_copy_paste action %% Nodes u2013 Loader Deployment loader_autoit["<b>Tool</b> – <b>T1059.010 AutoIt Interpreter</b>: Compiled CastleLoader script.<br/><b>Description</b>: Executes heavily obfuscated AutoIt code."] class loader_autoit tool obfuscation["<b>Action</b> – <b>T1027.009 Embedded Payloads</b>: Obfuscated AutoIt script hides malicious payload.<br/><b>Description</b>: Uses encoding and packing to evade analysis."] class obfuscation action masquerading["<b>Action</b> – <b>T1036 Masquerading</b>: Loader disguised as a legitimate installer with common software extensions.<br/><b>Description</b>: Appears benign to the user and security tools."] class masquerading action %% Nodes u2013 Persistence persistence_shortcut["<b>Action</b> – <b>T1547.009 Shortcut Modification</b>: Creates .lnk and .url files in the Startup folder.<br/><b>Description</b>: Persists by launching on user logon."] class persistence_shortcut action persistence_task["<b>Action</b> – <b>T1053 Scheduled Task</b>: VBA script registers a scheduled task for repeated execution.<br/><b>Description</b>: Runs payload at defined intervals."] class persistence_task action persistence_init["<b>Action</b> – <b>T1037 Logon Initialization Scripts</b> and <b>T1547.014 Active Setup</b>: Executes scripts during user logon via registry keys.<br/><b>Description</b>: Ensures code runs each login."] class persistence_init action hijack_execution["<b>Action</b> – <b>T1574 Hijack Execution Flow</b>: Reflective loading of the malicious payload into memory.<br/><b>Description</b>: Executes without writing files to disk."] class hijack_execution action %% Nodes u2013 Defense Evasion defense_virtual["<b>Action</b> – <b>T1497 Virtualization/Sandbox Evasion</b> and <b>T1497.002 User Activity Checks</b>: Detects analysis environment and aborts execution.<br/><b>Description</b>: Avoids sandbox detection."] class defense_virtual action defense_reflective["<b>Action</b> – <b>T1620 Reflective Code Loading</b>: Loads code via reflection to hide activity.<br/><b>Description</b>: Bypasses static analysis tools."] class defense_reflective action %% Nodes u2013 Command and Control c2_dga["<b>Action</b> – <b>T1568.002 Domain Generation Algorithms</b>: Generates pseudou2011random domains causing failed DNS lookups.<br/><b>Description</b>: Provides dynamic C2 endpoints."] class c2_dga action c2_dns["<b>Action</b> – <b>T1071.004 DNS Protocol</b>: Communicates over DNS queries and responses.<br/><b>Description</b>: Uses applicationu2011layer DNS for C2."] class c2_dns action c2_web["<b>Action</b> – <b>T1102 Web Service</b>: Bidirectional communication via HTTPS web service.<br/><b>Description</b>: Serves as primary C2 channel."] class c2_web action %% Nodes u2013 Credential Access cred_browser["<b>Action</b> – <b>T1555.003 Credentials from Web Browsers</b>: Steals stored passwords, cryptou2011wallet files and session data.<br/><b>Description</b>: Extracts credentials from Chrome, Firefox, etc."] class cred_browser action cred_cookie["<b>Action</b> – <b>T1550.004 Web Session Cookie</b>: Uses stolen cookies as alternate authentication material.<br/><b>Description</b>: Reu2011uses valid web sessions."] class cred_cookie action forge_cookie["<b>Action</b> – <b>T1606.001 Forge Web Credentials</b>: Creates forged cookies to impersonate victims.<br/><b>Description</b>: Enables unauthorized access to web services."] class forge_cookie action %% Nodes u2013 Exfiltration exfil_c2["<b>Action</b> – <b>T1041 Exfiltration Over C2 Channel</b>: Sends harvested data through the webu2011service C2.<br/><b>Description</b>: Data leaves the network via the same channel used for command and control."] class exfil_c2 action %% Connections u2013 Attack Flow init_user_execution –>|leads_to| loader_autoit init_mal_copy_paste –>|leads_to| loader_autoit loader_autoit –>|uses| obfuscation loader_autoit –>|masquerades_as| masquerading loader_autoit –>|establishes| persistence_shortcut loader_autoit –>|establishes| persistence_task loader_autoit –>|establishes| persistence_init persistence_shortcut –>|enables| hijack_execution persistence_task –>|enables| hijack_execution persistence_init –>|enables| hijack_execution hijack_execution –>|employs| defense_virtual hijack_execution –>|employs| defense_reflective hijack_execution –>|connects_to| c2_dga c2_dga –>|resolves_via| c2_dns c2_dns –>|communicates_via| c2_web c2_web –>|steals| cred_browser c2_web –>|captures| cred_cookie c2_web –>|enables| forge_cookie cred_browser –>|provides| exfil_c2 cred_cookie –>|provides| exfil_c2 forge_cookie –>|provides| exfil_c2 %% Styling class init_user_execution,init_mal_copy_paste action class loader_autoit,obfuscation,masquerading tool class persistence_shortcut,persistence_task,persistence_init,hijack_execution,defense_virtual,defense_reflective,cred_browser,cred_cookie,forge_cookie action class c2_dga,c2_dns,c2_web,exfil_c2 action "

Flux d’Attaque

Exécution de Simulation

Prérequis : Le Contrôle Pré-vol de Télémétrie & Baseline doit avoir été passé.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT directement refléter les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Les exemples abstraits ou non liés entraîneront une erreur de diagnostic.

  • Narratif d’Attaque & Comandes :

    1. Chute Initiale : L’attaquant obtient un contexte utilisateur (par ex. via phishing) et utilise le explorer.exe processus légitime pour lancer la charge malveillante située sur un partage réseau monté : DeviceHarddiskVolumeXNFSNeed for Speed Hot PursuitSetup.exe.
    2. Persistance & Lanceur : Après l’exécution du programme d’installation malveillant Setup.exe , il dépose un script batch (Pros.cmd) dans le même répertoire. L’attaquant utilise ensuite cmd.exe /c copy Pros Pros.cmd & Pros.cmd pour exécuter le script, qui charge des charges supplémentaires.
    3. Proxy AutoIt : En parallèle, le chargeur peut invoquer AutoIt3.exe avec un script intégré (V.a3x) pour contourner AppLocker. Cela reflète la condition de sélection_autoit .

    Ces étapes génèrent exactement les trois modèles de télémétrie requis par la règle Sigma :

    • explorer.exe avec le chemin d’accès codé dur du Setup.exe malveillant, and
    • cmd.exe avec /c plus soit une chaîne de copie-et-exécution or une exécution d’AutoIt.

  • Script de Test de Régression :

    # -----------------------------------------------
# Script de simulation LummaStealer / CastleLoader
# -----------------------------------------------
$maliciousDir = "$env:ProgramDataNFSNeed for Speed Hot Pursuit"
$setupPath    = Join-Path $maliciousDir "Setup.exe"
$batchPath    = Join-Path $maliciousDir "Pros.cmd"
$autoItPath   = Join-Path $maliciousDir "V.a3x"

# 1. Créer la structure de répertoire
New-Item -Path $maliciousDir -ItemType Directory -Force | Out-Null

# 2. Placer des fichiers malveillants factices (des fichiers vides suffisent pour la journalisation)
New-Item -Path $setupPath    -ItemType File -Force | Out-Null
New-Item -Path $batchPath    -ItemType File -Force | Out-Null
New-Item -Path $autoItPath   -ItemType File -Force | Out-Null

# 3. Simuler explorer.exe lançant le Setup.exe malveillant
Start-Process -FilePath "explorer.exe" -ArgumentList $setupPath

# Petite pause pour garantir que le premier événement est enregistré
Start-Sleep -Seconds 2

# 4a. Déclencher la chaîne de copie-et-exécution cmd.exe
cmd.exe /c "copy Pros.cmd $batchPath & $batchPath"

# 4b. (Alternative) Déclencher l'exécution d'AutoIt – décommentez si vous testez ce chemin
# Start-Process -FilePath "AutoIt3.exe" -ArgumentList $autoItPath

# 5. Attendre que les événements se déversent dans le SIEM
Start-Sleep -Seconds 5

  • Commandes de Nettoyage :

    # Supprimer tous les artefacts créés par la simulation
Remove-Item -Path "$env:ProgramDataNFS" -Recurse -Force -ErrorAction SilentlyContinue

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement