Ілюзія розшифровки сертифікатів: як Blank Grabber Stealer приховує свій завантажувач

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Ілюзія розшифровки сертифікатів: як Blank Grabber Stealer приховує свій завантажувач

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

BlankGrabber — це інфостілер на основі Python, який починається з завантажувача на основі пакетного скрипту, що «декодує» Rust-скомпільований стейджер, замаскований під файл сертифіката. Стейджер перевіряє наявність пісочниць та віртуальних машин, дешифрує вбудоване навантаження та залишає кілька шкідливих компонентів, включаючи клієнта XWorm і стілер, упакований PyInstaller. Експфільтрація спирається на публічні веб-сервіси, такі як API ботів Telegram та IP-look-up, щоб змішатися зі звичайним трафіком. Шкідливе програмне забезпечення також маніпулює налаштуваннями системи, блокує доступ до сайтів безпеки та намагається обійти UAC для зміцнення стійкості.

Розслідування

Команда Splunk Threat Research Team проаналізувала початковий завантажувач, доставлений через gofile.io, його використання certutil.exe для декодування навантаження та логіку антианаліза Rust стейджеру. Вони реверсували потік дешифрування AES-GCM/CTR, витягли вбудований ZIP-архів і відобразили отриманий набір навантажень. Поведінкове тестування виявило широке виявлення хостів, захоплення веб-камери, збирання буфера обміну та викрадення ключів хоста та інших конфіденційних артефактів.

Захист

Моніторьте підозрілу активність certutil.exe, команди PowerShell, що змінюють параметри Windows Defender, та несанкціоновані редагування файлу hosts. Налаштуйте сигнали на виконання WinRAR/rar.exe з нестандартних шляхів і DNS-запити до API Telegram або відомих IP-служб пошуку. Заблоковуйте відомі шкідливі імена файлів і обмежте виконання непідписаних Python-бінарників, упакованих PyInstaller, через політики контролю програм.

Відповідь

Якщо виявлені індикатори, ізолюйте кінцеву точку, збережіть волатильні докази та зберіть каталог %TEMP% для судово-медичної оцінки. Видаліть шкідливі завдання за розкладом або записи Run в реєстрі, відновіть будь-які зміни у файлі hosts та скиньте виключення Windows Defender. Виконайте повне скидання облікових даних для потенційно відкритих облікових даних браузера і даних криптогаманця.

"graph TB %% Class definitions classDef technique fill:#e6f7ff classDef operator fill:#ffcc66 classDef data fill:#d9ead3 %% Nodes u2013 Techniques init_exec["Техніка – T1059.003: Windows Command Shell Опис: Пакетний скрипт запускає certutil для декодування вбудованого Rust стейджеру"] class init_exec technique evasion_vm["Техніка – T1497: Віртуалізація/Пісочниці уникнення Опис: Перевіряє драйвери, імена користувачів та UUID для виявлення середовищ аналізу"] class evasion_vm technique obfuscation["Техніка – T1027: Обфусковані файли або інформація Опис: Rust виконуваний файл замаскований під файл сертифіката"] class obfuscation technique decode["Техніка – T1140: Деобфускація/Декодування файлів або інформації Опис: AESu2011CTR/GCM дешифрування зашифрованого навантаження (blank.aes)"] class decode technique load_stager["Техніка – T1105: Імпорт інструмента Опис: Залишає випадково названий виконуваний файл у %TEMP%і запускає його"] class load_stager technique pers_startup["Техніка – T1037.005: Ініціалізаційні скрипти завантаження або входу в систему (папка запуску)"] class pers_startup technique elev_uac["Техніка – T1548.002: Зловживання механізмом контролю підвищення привілеїв (обхід реєстру UAC)"] class elev_uac technique impair_def["Техніка – T1562.004: Послаблення захисту (відключення Windows Defender, додавання у виключення)"] class impair_def technique hide_hosts["Техніка – T1564.012: Сховати артефакти (зміна файлу hosts для блокування сайтів безпеки)"] class hide_hosts technique data_collection["Техніка – T1082: Виявлення системної інформації та пов’язаного збору"] class data_collection data sysinfo["Техніка – T1082: Виявлення системної інформації"] class sysinfo technique browser_info["Техніка – T1217: Виявлення інформації браузера"] class browser_info technique clipboard["Техніка – T1115: Дані буфера обміну"] class clipboard technique video_capture["Техніка – T1125: Захоплення відео"] class video_capture technique wifi_passwords["Техніка – T1016: Виявлення конфігурації мережі системи (паролі Wi‑Fi)"] class wifi_passwords technique product_key["Техніка – T1012: Запит реєстру (ключ продукту Windows)"] class product_key technique removable_media["Техніка – T1025: Дані з змінних носіїв"] class removable_media technique wmi_queries["Техніка – T1047: Інструментація управління Windows (запити системи)"] class wmi_queries technique archive_data["Техніка – T1560.001: Архівування зібраних даних (утиліта RAR)"] class archive_data technique exfil_telegram["Техніка – T1041: Витік через канал C2 (API бота Telegram)"] class exfil_telegram technique exfil_public["Техніка – T1048: Витік через альтернативний протокол (Послуги публічного обміну файлами)"] class exfil_public technique self_delete["Техніка – T1070: Видалення індикаторів (Самовидалення після витоку)"] class self_delete technique %% Flow connections init_exec –>|приводить до| evasion_vm evasion_vm –>|приводить до| obfuscation obfuscation –>|приводить до| decode decode –>|приводить до| load_stager load_stager –>|дозволяє| pers_startup load_stager –>|дозволяє| elev_uac load_stager –>|дозволяє| impair_def load_stager –>|дозволяє| hide_hosts load_stager –>|починає| data_collection data_collection –>|включає| sysinfo data_collection –>|включає| browser_info data_collection –>|включає| clipboard data_collection –>|включає| video_capture data_collection –>|включає| wifi_passwords data_collection –>|включає| product_key data_collection –>|включає| removable_media data_collection –>|включає| wmi_queries data_collection –>|приводить до| archive_data archive_data –>|використовує| exfil_telegram archive_data –>|використовує| exfil_public exfil_telegram –>|слідує за| self_delete exfil_public –>|слідує за| self_delete "

Ілюзія розшифровки сертифікатів: як Blank Grabber Stealer приховує свій завантажувач

Резюме

Розслідування

Захист

Відповідь

Атакувати потік

Виявлення

Ескалація привілеїв (обхід UAC) через FodHelper (через командний рядок)

Можливі точки стійкості [ASEPs – Software/NTUSER Hive] (через командний рядок)

Можливе проникнення / Екфільтрація / C2 через служби / інструменти третіх сторін (через проксі)

Можливе розташування зібраних даних у папці Temp (через file_event)

Можливе системне перерахування (через командний рядок)

Зміни шляху до середовища (через реєстрову подію)

Можливе використання PING для затримки виконання (через командний рядок)

Підозрілі операції з реєстровим ключем Ms-settings (через командний рядок)

Використання Certutil для кодування даних та операцій з сертифікатами (через командний рядок)

Можливе виявлення паролів WiFi (через командний рядок)

Змінні середовища в аргументах командного рядка (через командний рядок)

Можливе проникнення / Екфільтрація / C2 через служби / інструменти третіх сторін (через DNS)

Можливе виявлення конфігурації мережі системи (через командний рядок)

Можливе перерахування антивірусного або брандмауерного програмного забезпечення (через процес створення)

Зміни підозрілих параметрів Windows Defender (через PowerShell)

Вимкнення моніторингу в реальному часі Windows Defender (через PowerShell)

Підозрілі бінарні файли / скрипти в місці автозапуску (через file_event)

Спроба зв’язку з доменами для пошуку IP (через DNS)

Вимкнення моніторингу в реальному часі Windows Defender та інші зміни параметрів (через командний рядок)

IOC (HashSha256) для виявлення: Ілюзія декодування сертифіката: Як стілер Blank Grabber приховує свій завантажувач

Виявлення комунікацій BlankGrabber C2 через DNS-запити [Windows Sysmon]

Виявлення активності BlankGrabber через PowerShell [Windows Powershell]

Виконання симуляції