RenEngine Loader e HijackLoader: Cadeia de Ataque em Dois Estágios Impulsionando Campanhas de Roubo

Resumo

Desde abril de 2025, pesquisadores têm monitorado uma operação de stealer em larga escala construída em torno de uma cadeia de carregador em duas etapas. A primeira etapa, RenEngine Loader, está embutida dentro de um launcher de jogo Ren’Py, caso contrário legítimo, e descriptografa um carregador subsequente chamado HijackLoader. O HijackLoader então abusa do side-loading de DLL e do doppelgänging de processo, usando uma estrutura modular que pode armazenar mais de 30 módulos auxiliares antes de, finalmente, entregar uma carga útil do ACR stealer. A distribuição está ligada a instaladores de jogos pirateados promovidos através de ecossistemas de pirataria, com a atividade impactando centenas de milhares de vítimas globalmente.

Investigação

A equipe Howler Cell reconstruiu toda a cadeia de execução, realizando engenharia reversa da lógica Python do RenEngine, extraindo artefatos de configuração e identificando um arquivo criptografado com XOR usado para o armazenamento. Sua análise do HijackLoader catalogou 38 módulos, incluindo verificações anti-VM, desvio de UAC, persistência de tarefa agendada e capacidades de shell reverso. A análise da infraestrutura vinculou a campanha a um único endpoint público de C2, 78.40.193.126, e ao domínio de entrega dodi-repacks.site, que foi utilizado para semear os downloads do instalador inicial.

Mitigação

Monitore execuções anômalas do launcher Ren’Py, especialmente quando combinadas com o side-loading de DLL de nomes de arquivo comuns, como d3dx9_43.dll. Procure por criações suspeitas de diretórios em %ProgramData% e %AppData%, particularmente caminhos nomeados broker_crypt_v4_i386. Adicione detecções comportamentais para rotinas de evasão de sandbox, doppelgänging de processo e padrões de acesso anormais ao registro associados a verificações de artefatos de máquina virtual. Bloqueie domínios conhecidos de distribuição de pirataria no gateway web e aplique whitelisting de aplicativos para restringir execução de launchers de jogos e executáveis de “instalador” não assinados em locais graváveis pelo usuário.

Resposta

Ao detectar, isole o endpoint, preserve evidências (dump de memória, arquivos criptografados e artefatos de carregador) e varra o ambiente em busca dos módulos identificados e arquivos descartados. Bloqueie imediatamente 78.40.193.126 e dodi-repacks.site nos controles de perímetro. Realize triagem de exposição de credenciais focada em senhas de navegador, cookies de sessão e carteiras de criptomoedas, depois gire as contas e tokens impactados. Remova a persistência do atacante (notadamente tarefas agendadas) e purgue arquivos maliciosos, depois continue monitorando por caminhos de reinfecção ligados a instalações de software pirateado.

Execução de Simulação

Pré-requisito: A Checagem Preliminar de Telemetria & Base deve ter passado.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  Um atacante obtém um instalador de jogo Ren’Py malicioso (Installer.exe) que foi repaginado para incluir uma carga útil Python oculta. Quando a vítima executa o instalador, ele gera um carregador secundário (W8CPbGQI.exe). Esse carregador desempacota um binário de terceira etapa (ZoneInd.exe) que realiza injeção de processo, dumping de credenciais e estabelece um canal de C2 sobre HTTP. O atacante evita deliberadamente nomear qualquer processo filho chime.exe para satisfazer a cláusula de exclusão da regra.

  Passos realizados no host comprometido:

  1. Iniciar o instalador Ren’Py comprometido.
     Installer.exe executa como o processo pai.
  2. Gerar o primeiro carregador malicioso.
     Installer.exe cria W8CPbGQI.exe (evento de Criação de Processo – coincidência com ImagemAlvo).
  3. Gerar a carga útil da segunda etapa.
     W8CPbGQI.exe lança ZoneInd.exe (outro evento de Criação de Processo – também coincide com ImagemAlvo).
  4. Realizar ações maliciosas (injeção de processo, dumping de credenciais, C2).

  Essas ações geram a telemetria exata que a regra Sigma monitora: um processo com Imagem=*Installer.exe criando um filho com ImagemAlvo=*W8CPbGQI.exe or *ZoneInd.exe, sem a exclusão *chime.exe.

• Script de Teste de Regressão:
  O script abaixo cria arquivos executáveis fictícios (simples scripts PowerShell salvos como .exe via powershell -c "..." para demonstração) e depois orquestra a cadeia. Execute-o em um prompt do PowerShell elevado.

  # -------------------------------------------------
  # Regression Test Script – Simulate Malicious Chain
  # -------------------------------------------------
  
  # 1. Create placeholder binaries (simulated executables)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Helper to create a lightweight exe that simply sleeps (use PowerShell's .exe shim)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Use PowerShell's built‑in PS2EXE (or any exe wrapper) – here we mimic with PowerShell -File
      # For simplicity, we just create a scheduled task that runs the ps1; the .exe path is a placeholder.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Create stub executables
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Execute the chain
  Write-Host "`n[+] Launching Installer.exe (parent)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Small delay to ensure parent process appears in logs
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe spawning W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe spawning ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Chain executed. Verify detection in your SIEM."
  # -------------------------------------------------

• Comandos de Limpeza:
  Remova os arquivos temporários e encerre qualquer processo de sono remanescente.

  # Cleanup the stub executables and directory
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Stopping any lingering stub processes..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Removing temporary files..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Cleanup complete."