Завантажувачі RenEngine та HijackLoader: Двоетапний ланцюжок атак, що підживлює кампанії викрадачів

Резюме

З квітня 2025 року дослідники відстежують масштабну операцію щодо крадіжки даних, побудовану навколо двоетапного ланцюга завантажувача. Перша стадія, RenEngine Loader, вбудована в інакше легітимний запусковик гри Ren’Py і дешифрує наступний завантажувач, названий HijackLoader. HijackLoader зловживає боковим завантаженням DLL і подвійним відображенням процесів, використовуючи модульну структуру, яка може організувати понад 30 допоміжних модулів, перш ніж кінцево доставити корисне навантаження ACR stealer. Розповсюдження пов’язане з зламаними установлювачами ігор, які просуваються через піратські екосистеми, впливаючи на сотні тисяч жертв по всьому світу.

Розслідування

Команда Howler Cell відновила повний ланцюг виконання, реверс-інженерингуючи логіку Python RenEngine, вилучаючи артефакти конфігурації та виявляючи архів, зашифрований XOR, що використовується для інсценування. Їхній аналіз HijackLoader каталогізував 38 модулів, включаючи перевірки на віртуальні машини, обхід UAC, стійкість запланованих завдань і можливості реверс-шела. Аналіз інфраструктури зв’язав кампанію з однією загальнодоступною кінцевою точкою C2, 78.40.193.126, і доменом доставки dodi-repacks.site, який використовувався для розповсюдження початкових завантажувальних програм.

Пом’якшення наслідків

Моніторьте аномальні виконання запусковика Ren’Py, особливо в парі з боковим завантаженням DLL загальних імен файлів, таких як d3dx9_43.dll. Шукайте підозріле створення папок у %ProgramData% і %AppData%, особливо шляхів, названих broker_crypt_v4_i386. Додайте поведінкові виявлення для обходу пісочниці, подвійного відображення процесів і незвичайних шаблонів доступу до реєстру, пов’язаних з перевірками артефактів віртуальної машини. Блокуйте відомі домени розповсюдження піратства на веб-шлюзі та застосовуйте список дозволених додатків, щоб обмежити запусковики ігор та unsigned “installer” виконувальні файли від виконання в шляхах доступних для запису користувачем.

Відповідь

При виявленні ізолюйте кінцеву точку, збережіть докази (дампи пам’яті, зашифровані архіви та артефакти завантажувача), і перевірте середовище на наявність виявлених модулів та скинутих файлів. Негайно блокуйте 78.40.193.126 і dodi-repacks.site на периметральних контролях. Виконуйте тріаж стосується витоку облікових даних, зосереджуючись на паролях браузера, сесійних куках і криптовалютних гаманцях, потім замініть постраждалі облікові записи й токени. Видаліть стійкість зловмисника (особливо заплановані завдання) і видаліть зловмисні файли, потім продовжуйте моніторинг шляхів реінфекції, пов’язаних з встановленням піратського програмного забезпечення.

Виконання симуляції

Передумова: Перевірка телеметрії та базового рівня повинна бути пройдена.

Обгрунтування: Цей розділ деталізує точне виконання техніки супротивника (TTP), призначеної для активації правила виявлення. Команди і нарація МАЮТЬ безпосередньо відображати ідентифіковані TTP і прагнути генерувати точну телеметрію, очікувану логікою виявлення.

• Опис атаки та команди:
  Атакувач отримує зловмисний установлювач гри Ren’Py (Installer.exe), що був перепакований для включення прихованого навантаження на Python. Коли жертва запускає установлювач, він створює вторинний завантажувач (W8CPbGQI.exe). Цей завантажувач розпаковує третій етап бінарного файлу (ZoneInd.exe), що виконує впорскування процесу, вилучення облікових даних та встановлює C2 канал через HTTP. Атакувач свідомо уникає надання назви будь-якому дочірньому процесу chime.exe щоб задовольнити виключаючу умову правила.

  Кроки, виконані на скомпрометованому хості:

  1. Запустіть скомпрометований установлювач Ren’Py.
     Installer.exe виконується як батьківський процес.
  2. Запустіть перший зловмисний завантажувач.
     Installer.exe створює W8CPbGQI.exe (Подія створення процесу – відповідає TargetImage).
  3. Запустіть навантаження другого етапу.
     W8CPbGQI.exe запускає ZoneInd.exe (інша подія створення процесу – також відповідає TargetImage).
  4. Виконайте зловмисні дії (впорскування процесу, вилучення облікових даних, C2).

  Ці дії генерують точну телеметрію, яку моніторить правило Sigma: процес з Image=*Installer.exe створює дочірній процес з TargetImage=*W8CPbGQI.exe or *ZoneInd.exe, без виключення *chime.exe.

• Скрипт регресійного тесту:
  Скрипт нижче створює фальшиві виконувальні файли (простий сценарій PowerShell, збережений як .exe via powershell -c "..." для демонстрації) а потім оркеструє ланцюг. Запустіть його в підвищеній командному рядку PowerShell.

  # -------------------------------------------------
  # Скрипт регресійного тесту – Моделювання Зловмисного Ланцюга
  # -------------------------------------------------
  
  # 1. Створіть місце розташування виконуваних файлів-заступників (моделювання виконуваних файлів)
  $binPath = "$env:TEMPRenPyChain"
  New-Item -ItemType Directory -Path $binPath -Force | Out-Null
  
  # Помічник зі створення легкого exe, який просто спить (використовуючи .exe обгортку PowerShell)
  function New-StubExe($name) {
      $script = "Start-Sleep -Seconds 30"
      $ps1 = "$binPath$name.ps1"
      $exe = "$binPath$name.exe"
      Set-Content -Path $ps1 -Value $script -Encoding UTF8
      # Використовуйте вбудовану PS2EXE PowerShell (або будь-яку exe оболонку) – тут ми імітуємо з PowerShell -File
      # Для простоти, ми просто створюємо заплановане завдання, яке запускає ps1; шлях .exe є місцем заміни.
      New-Item -ItemType File -Path $exe -Force | Out-Null
  }
  
  # Створіть исполняемые файлы-заглушки
  New-StubExe "Installer"
  New-StubExe "W8CPbGQI"
  New-StubExe "ZoneInd"
  
  # 2. Виконайте ланцюг
  Write-Host "`n[+] Запуск Installer.exe (батьківський)..."
  Start-Process -FilePath "$binPathInstaller.exe" -NoNewWindow
  
  # Невелика затримка для забезпечення появлення батьківського процесу у журналах
  Start-Sleep -Seconds 2
  
  Write-Host "[+] Installer.exe створює W8CPbGQI.exe..."
  Start-Process -FilePath "$binPathW8CPbGQI.exe" -NoNewWindow
  
  Start-Sleep -Seconds 1
  
  Write-Host "[+] W8CPbGQI.exe створює ZoneInd.exe..."
  Start-Process -FilePath "$binPathZoneInd.exe" -NoNewWindow
  
  Write-Host "`n[+] Ланцюг виконано. Перевірте виявлення у вашій SIEM."
  # -------------------------------------------------

• Команди очищення:
  Видаліть тимчасові файли та закінчіть усі лишившися процеси сну.

  # Очистіть исполняемые файлы-заглушки і директорії
  $binPath = "$env:TEMPRenPyChain"
  Write-Host "`n[+] Зупинка всіх залишкових процесів-заступників..."
  Get-Process -Name "Installer","W8CPbGQI","ZoneInd" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Видалення тимчасових файлів..."
  Remove-Item -Path $binPath -Recurse -Force
  
  Write-Host "[+] Очищення завершено."