Falešné cheaty Xeno pro Roblox šíří výkonný javový malware

Napodobenina nástroje pro Roblox krade účty a kryptopeněženky, sleduje klávesnici i kameru a poskytuje vzdálený přístup. Rozbor celého infekčního řetězce.

Kampaň maskovaná jako „nedetekovaná“ verze nástroje Xeno pro spouštění skriptů v Robloxu zasahuje hráče hledající legitimní nástroj.

Falešný cheat propagovaný na herních fórech a Discordu spouští vícestupňovou javovou infekci. Komponenty napodobují skutečné soubory Xeno, používají názvy podobné Windows a skrývají se ve věrohodných adresářích včetně složky spojené s Xbox Game Bar, dříve Microsoft GameDVR.

Konečná komponenta přesahuje běžnou krádež přístupových údajů. Krade cookies, účty Discord, Roblox a Minecraft, údaje kryptopeněženek i platební informace.

Umí také zaznamenávat klávesy, přistupovat ke kameře, přenášet plochu oběti, manipulovat se soubory, spouštět PowerShell a poskytovat útočníkům interaktivní ovládání počítače.

Nová řídicí infrastruktura a rozšířené funkce naznačují, že malware dříve popsaný jako Powercat je stále aktivně vyvíjen.

Zvlášť znepokojivé je cílení cheatů Robloxu na děti a dospívající. Ohroženy tak mohou být účty, soukromé rozhovory, snímky kamery a finanční údaje na společných rodinných počítačích.

Hlavní zjištění

• Malware se šíří na fórech a Discordu jako nedetekovaná verze Xeno pro Roblox.
• Vícestupňová javová infekce soubory, adresáři i přetrváním napodobuje Windows a herní komponenty.
• Konečný kód kombinuje krádež informací, sledování, přetrvání, vzdálený přístup, práci se soubory a příkazy.
• Zaměřuje se na Discord, Roblox, Minecraft, prohlížeče, kryptopeněženky a platební tokeny.
• Nové C2 domény a schopnosti ukazují na pokračující vývoj.
• Uživatelé jsou zasaženi od začátku roku a ve druhé polovině března aktivita výrazně vzrostla.

Úvod

Herní komunity jsou pro útočníky vhodným prostředím. Hráči si na fórech, Discord serverech a úložištích běžně vyměňují modifikace, skripty a neoficiální nástroje.

Útočníci návyky znají a maskují malware jako cheaty nebo pomůcky slibující exkluzivní funkce, vyšší výkon a obcházení ochrany proti podvádění.

Výzkumníci Bitdefenderu identifikovali kampaň zaměřenou na hráče hledající cheaty pro Roblox. Napodobuje oblíbené Xeno, které automatizuje akce a spouští vlastní skripty.

Protože herní klient podobné nástroje často detekuje nebo blokuje, označení „nedetekované“ je pro uživatele obzvlášť přitažlivé.

Balíčky propagují provozovatelé přímo nebo prostřednictvím napadených a napodobených účtů na fórech a Discordu.

Celý řetězec si zachovává zdání legitimity. Nejprve napodobuje instalaci Xeno, později používá názvy knihoven Windows, věrohodné složky a záznamy přetrvání připomínající nastavení obrazovky.

Poslední fáze je vyspělý zloděj informací a trojan vzdáleného přístupu s technikami proti analýze a sandboxům. Výrazně tak ztěžuje práci výzkumníků.

Krade cookies, herní a komunikační účty i platební informace s možnými finančními následky.

ThreatLocker již kampaň popsal jako Powercat. Bitdefender našel další C2 domény a schopnosti, což naznačuje pokračující vývoj a využívání v kyberkriminalitě.

Od začátku roku zasahuje uživatele. Ve druhé půli března aktivita výrazně narostla a poté si udržela poměrně stálou míru infekcí.

Počáteční přístup: falešné Xeno a první fáze

Uživatelé jsou přiměni stáhnout falešné cheaty, například Xeno pro Roblox. Balíčky přicházejí jako archivy s pokyny pro rozbalení a spuštění nebo samorozbalovací archivy připravující prostředí automaticky.

Struktura adresářů napodobuje skutečné Xeno. Názvy působí přesvědčivě a některé soubory jsou opravdu LUA skripty z jeho instalace. Jiné, například RbxAnalytics.png, obsahují jen deset bajtů nesmyslných dat.

Uživatel má spustit %LOCALAPPDATA%\Xeno\workspace\cache\xeno.exe v domnění, že otevře cheat. Jde však o první fázi malwaru vydávající se za pravé Xeno.

xeno.exe nejprve ověří přítomnost %LOCALAPPDATA%\Java\jre\bin\javaw.exe. Pokud chybí, pomocí vloženého PowerShellu rozbalí běhové prostředí Java z archivu instance.exe.

powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command \"Add-Type -AssemblyName System.IO.Compression.FileSystem;[System.IO.Compression.ZipFile]::ExtractToDirectory(...)

xeno.exe dále přečte XenoIcon.jpg, který obsahuje klíče k ověření druhé fáze vůči C2. Poté přes javaw.exe spustí JAR maskovaný jako decompiler.exe a obsah XenoIcon.jpg předá v argumentech.

Druhá fáze: decompiler.exe je maskovaný JAR

Soubor decompiler.exe není běžný spustitelný soubor Windows, ale JAR. Jeho bajtkód je obfuskován demonstrační verzí legitimního komerčního nástroje Allatori. Část obfuskace lze odstranit, úpravy toku řízení však nejsou plně vratné.

Názvy tříd a proměnných rovněž odpovídají Allatori a ztěžují čtení dekompilovaného kódu. Hlavní funkce nejprve vypíše do konzole banner.

Dostane-li aplikace dva požadované argumenty, začne shromažďovat informace o prostředí.

Hledá stopy ladění, sandboxu i údaje pro ověření spuštění JAR.

Poté odešle C2 serveru požadavek POST se shromážděnými hodnotami příznaků.

Server jimi registruje oběť a rozhoduje, zda poskytnout další komponenty.

Pro detekci ladění se kontrolují argumenty -xdebug, suspend= a jdwp i moduly ve výpisu zásobníku intellij, eclipse.jdt, netbeans a bytecodeviewer. Při nalezení některého řetězce funkce vrátí nulu a výsledný příznak klesne pod práh očekávaný serverem.

Sandbox odhaluje několik kontrol: oddíl větší než 20 GB, známé MAC adresy emulovaných adaptérů, artefakty virtuálních strojů v registru a WMI a běžící procesy monitorovacích nástrojů používaných při automatické analýze.

Komunikační funkce dostane zprávu, vytvoří z ní JSON, připojí se k hxxps://solthere[.]net/justacoolkat10 a odešle objekt metodou POST.

Po prvním hlášení další funkce komunikuje s jiným endpointem C2 a odesílá k ověření klíč získaný z argumentů příkazového řádku.

Kód se získává z hxxps://solthere[.]net/api/v1/redeem. Klíč je zašifrován AES a výsledný buffer zakódován Base64 do těla POST požadavku.

Získaný kód se načítá metodou loadClass. Vstupní bod se hledá průchodem metod přijatého objektu.

Následně se vyvolá pomocí method.invoke(). Tato komponenta stáhne a uloží třetí fázi do %LOCALAPPDATA%\Microsoft\GameDVR.

Ke spuštění vytvoří nový proces javaw.exe a předá mu cestu k JAR jako argument.

Třetí fáze: javový zloděj vydávající se za DLL Windows

Malware shromažďuje informace z prohlížečů, Discordu a her. Umí pořizovat snímky, zaznamenávat kameru, vysílat plochu a sledovat klávesnici i myš.

Dokáže stahovat a nahrávat soubory, spouštět PowerShell a otevřít interaktivní shell pro ruční ovládání a úplné převzetí systému.

JAR se vydává za legitimní DLL v %LOCALAPPDATA%\Microsoft\GameDVR. Možné názvy napodobují knihovny normálně umístěné v adresáři Windows.

Po spuštění kontroluje prostředí podobně jako druhá fáze. Při detekci sandboxu se však místo odeslání výsledků rovnou ukončí.

Do domovského adresáře uživatele vytváří log -ntcache a zapisuje postup spuštění s časovými značkami.

Poté zkouší přesunout běh do procesu CMSTP se zvýšenými oprávněními. Pokud se to podaří, původní javaw.exe s nižšími oprávněními skončí. Jinak pokračuje dál.

Navazující průběh je podle všeho stejný se zvýšenými oprávněními i bez nich.

Malware kontaktuje geolokační služby ipapi[.]co a ipwho[.]is a zjistí informace o oběti. Při navazování C2 spojení je využije při tvorbě jedinečného identifikátoru na základě hardwarového profilu.

Přetrvání zajišťuje zápisem příkazu pro JAR do Software\Microsoft\Windows\CurrentVersion\Run pod názvem Display Calibration.

Záznam následně povolí nastavením hodnoty Display Calibration v Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run na 2.

Poté spustí dvě vlákna pro sběr a odesílání dat kryptopeněženky Exodus a funkci vytvářející WebSocket spojení s C2.

URI serveru vzniká za běhu výpočtem SHA-256 řetězce print, odstraněním posledního znaku a přidáním .xyz.

Výsledná adresa je ce953a0eb08246617b7f849486c4b26a7af37e9d2e8f0e13b3ae1bf0da8a70a[.]xyz. Správní server přidělí klientovi subdoménu a vrátí řetězec pro úplné URI. Klient se přes ně může připojit pouze v aktivní relaci.

Server může po spojení posílat dva typy dat. Prvním je aktualizovaný JAR, zapisovaný do %LOCALAPPDATA%\Microsoft\GameDVR pod některým maskovacím názvem DLL.

Nová verze se spustí přes exec, zatímco stará se ukončí pomocí halt.

Druhou odpovědí je šifrovaný řetězec. Po dešifrování obsahuje JSON s identifikátorem úlohy a parametry. Identifikátor je indexem do pole možných akcí.

Analýza všech funkcí tohoto pole odhalila schopnosti malwaru.

Příkazy lze rozdělit na správu spojení, sledování, operace se soubory, krádeže informací, shell a spouštění příkazů.

Správa spojení zahrnuje handshake s tajným řetězcem a ověření očekávaného socketu. Server může také nařídit nové spojení přes jiný socket.

Souborové operace zahrnují výpis adresářů, nahrávání, stahování a přejmenování. Příkazy se spouštějí v PowerShellu z parametru zakódovaného Base64.

Interaktivní shell obdobně přesměrovává vstup a výstup PowerShellu do javového procesu, který buffery předává C2.

Sledování oběti

Příkazy zahrnují záznam kláves, pohybu myši, snímky obrazovky, vysílání displeje a snímání kamery.

Kamera se ovládá přes COM objekty DirectShow a zachycené buffery se odesílají C2.

Obrazovku lze sledovat jednotlivými snímky přes screenshotCapture nebo průběžným režimem pořizujícím snímek každých 500 milisekund. Odesílání tak vytváří živý přenos.

Server si může vyžádat seznam displejů a vybrat konkrétní monitor.

Klávesnici a myš sleduje Winuser z Java Native Access API. Malware tak volá funkce User32 a registruje háčky událostí Windows.

Krádež osobních informací

Nejprve zjišťuje potenciálně zajímavý nainstalovaný software. Provozovatelé pak mohou přizpůsobit postup a priority krádeže.

Funkce označená analytiky jako mapInterestingSoftware kontroluje standardní instalační cesty, výsledky ukládá do HashMap a její obsah odesílá C2.

Mezi kontrolované programy patří kryptopeněženky:

• Exodus, Atomic, Cake Wallet, SafePal, TronWallet a Monero Wallet.
• Vývojářské nástroje Visual Studio, Git, JetBrains a Python IDLE.
• Herní klienti Steam, Rockstar Games Launcher, Battle.net, Epic Games Launcher a Riot Client.
• Instalace Robloxu a Minecraftu.
• VPN NordVPN, Mullvad VPN, ExpressVPN a Surfshark.
• Komunikátory Telegram, Snapchat, WhatsApp a Discord.

Po průzkumu používá pro hlavní cíle specializované funkce.

Pro Exodus implementuje zvláštní útok.

První ze dvou vláken kontroluje instalaci Exodus 26.1.5. Při nalezení rozbalí app.asar, vloží do souborů dvě malé ukázky JavaScriptu a znovu je zabalí.

Jeden skript upravuje sandbox a izolaci kontextu peněženky. Druhý ukládá související buffery do SquirrelInteractive.bin v domovském adresáři.

Malware tedy nehledá pouze statické soubory, ale aktivně upravuje aplikaci Exodus, aby zpřístupnil citlivá běhová data. Druhé vlákno pravidelně kontroluje SquirrelInteractive.bin.

Při jeho nalezení analyzuje obsah, vybere platné tokeny a odešle je C2.

Pro každý podporovaný prohlížeč má vlastní třídy včetně cest k hodnotným datům, například cookies a uživatelským údajům.

Rozpoznává Brave Browser, Chrome, Edge, Opera, Opera GX a Vivaldi.

Krádež tokenů Discordu má dva kroky. Nejprve hledá cookies pro discord[.]com a extrahuje informace z databází SQLite prohlížeče.

Potom přes Discord API načte údaje přihlášeného účtu včetně uložených platebních metod.

Zpracovává také cookies Robloxu a Minecraftu pro získání účtů a přístupů. U Minecraftu identifikuje několik launcherů a z každého vytahuje citlivá data.

Zná Feather, Lunar, Meteor, Modrinth, Prism i oficiální Minecraft launcher.

Nakonec hledá tokeny přihlášení Microsoft Store pro krádež platebních informací. V adresářích Token Broker nebo Cache vyhledává .tbres a vzorce označující začátek tokenu.

Každý platný token odešle C2.

Dopad na oběti

Malware vážně ohrožuje soukromí: zpřístupňuje uložené informace i aktuální činnost.

Vedle cookies, přístupů, kryptopeněženek a platebních tokenů zaznamenává klávesy a myš, snímá obrazovku, vysílá plochu, ovládá kameru a vzdáleně prohlíží či mění soubory.

Útočník tak může sledovat soukromé hovory, sbírat citlivé obrázky a dokumenty, vydávat se za oběť, přebírat účty a případně způsobit finanční ztrátu.

Vzdálený přístup a příkazy umožňují pokračovat i po prvotní krádeži: ničit data nebo zapojit počítač do dalších trestných činností.

Závěry

Herní návnady fungují díky zájmu o výhodu, omezené funkce a obcházení detekce cheatů.

Zde přesvědčivá napodobenina Xeno využívala kanály obvyklé v herních komunitách. Známé názvy, kopírované skripty, legitimně působící složky a systémově znějící přetrvání dodávaly důvěryhodnost a skrývaly škodlivý účel.

Konečná fáze výrazně překračuje běžný zlodějský malware: kombinuje krádež účtů a prohlížečů s kryptopeněženkami, platebními tokeny, keyloggingem, snímky, kamerou, vysíláním plochy, soubory, PowerShellem a interaktivním shellem.

Přetrvání a samoaktualizace udržují kontrolu a umožňují nové verze. Nová infrastruktura i funkce ukazují, že kampaň zůstává aktivní a vyvíjí se.

Riziko lze snížit kombinací účinné ochrany a obezřetného chování.

Aktualizovaná ochrana stanic, reputační blokování, řízení aplikací, vícefaktorové ověřování a omezení spouštění mohou zabránit řadě fází nebo zmírnit jejich dopad.

Nejúčinnější první obranou ale zůstává vyhýbání se neoficiálním cheatům a executorům, zejména z nedůvěryhodných webů, archivů, fór a nevyžádaných zpráv na Discordu.

Rozpoznání návnady před spuštěním může zabránit krádeži účtů, peněz i celému převzetí systému. Riziko významně snižuje také rozhovor s mladšími uživateli o běžných herních podvodech.

Indikátory kompromitace

Článek je určen pouze k informování a vzdělávání. Vychází z technického výzkumu Bitdefender Labs a veřejných zdrojů. Bitdefender nečiní právní závěry a zmínka o firmě, značce, doméně či osobě nepředstavuje obvinění z nezákonné činnosti. Čtenáři mají používat vlastní úsudek a při podezření na zasažení se obrátit na příslušné úřady nebo právního poradce. Domény a adresy slouží pouze k identifikaci potenciálně škodlivé infrastruktury. Bitdefender odmítá odpovědnost za jednání na základě tohoto článku.