Lumma Stealer распространялся под видом визуальной новеллы
Образец Lumma Stealer распространялся под видом визуальной новеллы на Ren’Py 8.1.3. Активность предположительно связана с группой Lumma, но атрибуция остаётся неокончательной: статический анализ не выявил финальную конфигурацию.
Многоступенчатая загрузка и защита от анализа
Архив содержал загрузчик, имитировавший легитимный, среду выполнения Python, игровые ресурсы и файл размером 324 МБ, заполненный нулями. По оценке авторов отчёта, он, вероятно, увеличивал размер пакета и затруднял антивирусное сканирование. Злонамеренная логика находилась в скомпилированном сценарии Ren’Py, а не в загрузчике.
Сценарий находил скрытый файл .FOG, расшифровывал его метаданные, закодированные в Base64 и XOR, и извлекал зашифрованный архив с пакетным файлом и паролем. Пакетный файл содержал много мёртвого кода и перезапускался через conhost.exe --headless cmd.exe, при этом консольное окно скрывалось.
Затем пакетный файл восстанавливал полезную нагрузку PowerShell. Она скачивала пакеты компилятора Microsoft Roslyn из NuGet, загружала сборки непосредственно в память и компилировала код C# без записи компонентов компилятора на диск. Полученный код модифицировал AMSI и ETW, разрешал функции Windows API, использовал механизм обработки векторных исключений и загружал полезную нагрузку .NET в память.
Итоговый DLL-файл, идентифицированный как BodleStalky, был защищён кастомным слоем виртуализации на основе KoiVM и защитными механизмами в стиле ConfuserEx. Анализ в песочнице выявил сокрытие отладчика, повышение привилегий для SeDebugPrivilege, проверку внешних IP-адресов и обращение к нескольким сервисам геолокации. Системы в нескольких странах СНГ и некоторые пользователи VPN исключались из заражения или сбора данных.
Инфраструктура и собираемые данные
Вредоносное ПО связывалось с недавно зарегистрированным доменом kelemet.shop, использовавшим проксирование Cloudflare. В качестве резервного механизма EtherHiding применялся bsc-dataseed.binance.org. Вредоносное ПО запрашивало у контракта Binance Smart Chain обновлённый URL C2. Оператор мог менять инфраструктуру с помощью транзакций в блокчейне.
Собираемые данные включали учётные данные браузеров, файлы cookie, историю, данные автозаполнения, токены мессенджеров и игровых платформ, криптокошельки, файлы менеджеров паролей, документы, seed-фразы, системную информацию и скриншоты. Данные шифровались алгоритмом AES и отправлялись на C2 в формате application/octet-stream. Образец также использовал Clicky для отслеживания партнёрских ссылок.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
