RenEngine Loader e HijackLoader: Catena di attacco a due fasi alimenta campagne di stealer

Riassunto

Dall’aprile 2025, i ricercatori hanno monitorato un’operazione di furto su larga scala costruita attorno a una catena di caricamento a due stadi. Il primo stadio, RenEngine Loader, è incorporato all’interno di un launcher di giochi Ren’Py legittimo e decripta un loader successivo chiamato HijackLoader. HijackLoader quindi sfrutta il side-loading di DLL e il doppelgänging di processo, utilizzando un framework modulare che può allestire oltre 30 moduli helper prima di consegnare infine un payload di furto ACR. La distribuzione è legata a installatori di giochi crackati promossi attraverso ecosistemi di pirateria, con l’attività che impatta centinaia di migliaia di vittime a livello globale.

Indagine

Il team Howler Cell ha ricostruito l’intera catena di esecuzione, analizzando al contrario la logica Python di RenEngine, estraendo artefatti di configurazione e identificando un archivio crittografato con XOR utilizzato per l’allestimento. La loro analisi di HijackLoader ha catalogato 38 moduli, inclusi controlli anti-VM, bypass di UAC, persistenza di task schedulati e capacità di reverse-shell. L’analisi dell’infrastruttura ha collegato la campagna a un unico endpoint C2 pubblico, 78.40.193.126, e al dominio di consegna dodi-repacks.site, che è stato utilizzato per seminare i download iniziali degli installatori.

Mitigazione

Monitora esecuzioni anomale del launcher Ren’Py, specialmente quando abbinate a side-loading di DLL di nomi di file comuni come d3dx9_43.dll. Caccia per la creazione sospetta di directory sotto %ProgramData% e %AppData%, in particolare percorsi denominati broker_crypt_v4_i386. Aggiungi rilevamenti comportamentali per routine di evasione sandbox, doppelgänging di processi e modelli di accesso al registro insoliti associati a controlli di artefatti di macchina virtuale. Blocca i noti domini di distribuzione pirata presso il gateway web e applica una lista di permessi delle applicazioni per limitare i launcher di giochi e gli eseguibili “installatore” non firmati dall’esecuzione in posizioni scrivibili dagli utenti.

Risposta

Al rilevamento, isola l’endpoint, conserva le evidenze (dump della memoria, gli archivi crittografati e gli artefatti del loader), e scandaglia l’ambiente alla ricerca dei moduli identificati e dei file scaricati. Blocca immediatamente 78.40.193.126 e dodi-repacks.site ai controlli di perimetro. Esegui una valutazione dell’esposizione delle credenziali focalizzata su password dei browser, cookie di sessione e portafogli di criptovalute, quindi ruota gli account e i token impattati. Rimuovi la persistenza degli attaccanti (in particolare i task schedulati) e purga i file dannosi, quindi continua a monitorare i percorsi di reinfezione legati alle installazioni di software pirata.

Esecuzione della Simulazione

Prerequisito: Il Telemetry & Baseline Pre-flight Check deve essere superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria attesa dalla logica di rilevamento.

• Narrativa & Comandi dell’Attacco:
  Un attaccante ottiene un installatore di giochi Ren’Py maligno (Installer.exe) che è stato ripacchettato per includere un payload Python nascosto. Quando la vittima esegue l’installatore, esso genera un loader secondario (W8CPbGQI.exe). Quel loader disimballa un binario di terzo stadio (ZoneInd.exe) che esegue iniezioni di processo, dump delle credenziali e stabilisce un C2 channel via HTTP. L’attaccante evita deliberatamente di nominare qualsiasi processo figlio chime.exe per soddisfare la clausola di esclusione della regola.

  Passi eseguiti sull’host compromesso:

  1. Avvia l’installatore Ren’Py compromesso.
     Installer.exe eseguito come processo padre.
  2. Genera il primo loader maligno.
     Installer.exe crea W8CPbGQI.exe (Evento di Creazione del Processo – corrisponde a TargetImage).
  3. Genera il payload di secondo stadio.
     W8CPbGQI.exe lancia ZoneInd.exe (un altro Evento di Creazione del Processo – corrisponde anche a TargetImage).
  4. Esegui azioni maligne (iniezioni di processo, dump delle credenziali, C2).

  Queste azioni generano la esatta telemetria che la regola Sigma monitora: un processo con Image=*Installer.exe creando un figlio con TargetImage=*W8CPbGQI.exe or *ZoneInd.exe, senza l’esclusione *chime.exe.

• Script di Test di Regressione:
  Lo script qui sotto crea file eseguibili fittizi (semplici script PowerShell salvati come .exe via powershell -c "..." per dimostrazione) e quindi orchestra la catena. Eseguilo in un prompt PowerShell elevato.

  # -------------------------------------------------
  # Regression Test Script – Simula Catena Maligna
  # -------------------------------------------------
  
  # 1. Crea binari fittizi (eseguibili simulati)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Helper per creare un exe leggero che semplicemente dorme (usando lo shim .exe di PowerShell)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Usa il PS2EXE integrato di PowerShell (o qualsiasi wrapper exe) – qui simuliamo con PowerShell -File
      # Per semplicità, creiamo solo un task pianificato che esegue il ps1; il percorso .exe è un segnaposto.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Crea eseguibili fittizi
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Esegui la catena
  Write-Host "`n[+] Lancio di Installer.exe (padre)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Piccolo ritardo per garantire che il processo padre appaia nei log
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe genera W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe genera ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Catena eseguita. Verifica il rilevamento nel tuo SIEM."
  # -------------------------------------------------

• Comandi di Pulizia:
  Rimuovi i file temporanei e termina eventuali processi in sospeso.

  # Pulisci gli eseguibili fittizi e la directory
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Arresto di eventuali processi fittizi in sospeso..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Rimozione dei file temporanei..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Pulizia completata."