Muse-Glimmer-30B-NVFP4

Статический анализ V5 IDA

Файл

• * PE AMD64, image_base = 0x140000000
• * entry_point = 0x140045A50 имя start
• * .text 0x140001000-0x14006c000, .rdata, .idata, .data, .tls – 8 сегментов
• * функций 1278, строк 806

Точка входа и TLS
PE entry start @ 0x140045A50 – MinGW CRT startup, вызывает __mingw_CRTStartup.
TLS callbacks запускаются до PE entry:

• * TlsCallback_0 0x140024610 – _RNvNtNtNtNtCs1NhsA7xdTVp_3std3sys12thread_local5guard7windows12tls_callback
• * TlsCallback_1 0x140045AE0
• * TlsCallback_2 0x140045B70

execution_note: TLS callbacks run before PE entry; they look like CRT/runtime - do not decompile unless asked

Импорты
KERNEL32 99, USER32 26, ADVAPI32 16, api-ms-win-crt-runtime-l1-1-0 14, WS2_32 13, WINMM 8, WINHTTP 8, GDI32 7, bcrypt 6, api-ms-win-crt-stdio-l1-1-0 6, ole32 4, gdiplus 4.
Примеры:

• * ADVAPI32.RegCreateKeyExA, RegSetValueExA, RegDeleteKeyA, RegDeleteValueA, RegOpenKeyExA, RegQueryValueExA, RegCloseKey, StartServiceA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, ControlService
• * WINHTTP.WinHttpOpen, WinHttpConnect, WinHttpOpenRequest, WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData, WinHttpCloseHandle
• * bcrypt.BCryptOpenAlgorithmProvider, BCryptGenerateSymmetricKey, BCryptDecrypt, BCryptDestroyKey, BCryptCloseAlgorithmProvider, BCryptSetProperty
• * CRYPT32.CryptUnprotectData

Строки – поведенческие маркеры

• * Software\Microsoft\Windows\CurrentVersion\Run @ 0x14007FD88
• * [Firefox] Not running. / [Firefox] Reading cookies (plaintext)... @ 0x14008029A
• * [Chrome] Not running. / [Chrome] Decrypting cookies... @ 0x140080120
• * [Edge] Not running. / [Edge] Decrypting cookies... @ 0x140080202
• * Microsoft\Edge\User Data\Default\Network\Cookies @ 0x14008025F
• * Google\Chrome\User Data\Default\Network\Cookies @ 0x140080197
• * \\cookies.sqlite @ 0x140080315
• * Discord is not running. / Cannot get AppData. / === Discord === @ 0x14007FFEE
• * Telegram is not running. @ 0x140080331
• * Initializing HTTP transport... @ 0x14007DB29
• * HTTP transport initialized. @ 0x14007DB47
• * HTTP transport initialized OK. @ 0x140080D7F
• * Registered. Entering main loop. @ 0x140080DFB
• * HttpSendRequest FAILED (GetLastError= @ 0x140080CE4
• * WinHttpReceiveResponse FAILED @ 0x140080C9B
• * src/main.rs @ 0x14007DC38

Код

sub_140001000 @ 0x140001000 – основной цикл бикона.
Псевдокод содержит:

sub_140002498(aInitializingHt, 30); // "Initializing HTTP transport..."
sub_1400122FE();
sub_140002498(aHttpTransportI, 27);
sub_140002498(aEnteringBeacon, 23);
...
sub_140002498(aRegisteredEnte, 31); // "Registered. Entering main loop."

Внутри цикла:

• * WinHttpOpenRequest(hConnect, pwszVerb, pwszObjectName, nullptr, nullptr, nullptr, 0x100u)

WINHTTP_FLAG_BYPASS_PROXY_CACHE = 0x100 – подтверждено в resolved_constants

• * WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData
• * после получения данных вызывается sub_140003CA0(v35, v15+v32, v33, v94) – обработка команд

sub_140003CA0 @ 0x140003CA0 – 35 822 байта, вызывается из sub_140001000.
Capability map:

• * CreateProcessA 5 раз, OpenProcess 2 раза
• * RegCreateKeyExA, RegDeleteKeyA 2, RegDeleteValueA 4, RegOpenKeyExA 9, RegQueryValueExA 4, RegSetValueExA 4
• * ссылки на строку Software\Microsoft\Windows\CurrentVersion\Run @ 0x140004F51 и 0x14000C4F8

Поведение – персистентность в Run, создание/удаление сервисов, запуск процессов.

sub_14000F9D1 @ 0x14000F9D1 – извлечение cookies/данных браузеров.
Вызывается из sub_140003CA0.
Псевдокод:

• * проверка наличия chrome.exe, msedge.exe, firefox.exe через sub_14001078C
• * сообщения:

* [Chrome] Not running. / [Chrome] Decrypting cookies... @ 0x140080120
* Cannot decrypt master key. @ 0x1400801DD

• * пути:

* Microsoft\Edge\User Data\Default\Network\Cookies
* Google\Chrome\User Data\Default\Network\Cookies
* \\cookies.sqlite

• * работа с файловой системой: FindFirstFileA, FindNextFileA, CreateFileA, ReadFile
• * криптография: использование BCryptOpenAlgorithmProvider, BCryptGenerateSymmetricKey, BCryptDecrypt, CryptUnprotectData для расшифровки мастер-ключа Chrome/Edge и чтения SQLite cookies Firefox.

Сетевой модуль:

• * инициализация WinHTTP транспортом, печать Initializing HTTP transport..., HTTP transport initialized OK.
• * периодический Sleep с экспоненциальным backoff 5000 << v7, ограничение 60000 мс
• * beacon loop с WinHttpOpenRequest/WinHttpSendRequest/WinHttpReceiveResponse
• * обработка ответов в sub_140003CA0

Реестр / персистентность:

• * Software\Microsoft\Windows\CurrentVersion\Run используется для автозапуска
• * RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA – чтение/запись ключей
• * HKCR, HKEY_CLASSES_ROOT, HKCU, HKEY_CURRENT_USER, HKLM упоминаются в конкатенированной строке HKCRHKEY_CLASSES_ROOTHKCUHKEY_CURRENT_USERHKLM @ 0x1400806A8

Крипто:

• * bcrypt импорты для AES/DPAPI расшифровки
• * CryptUnprotectData из CRYPT32

Таким образом, образец – 64-битный Rust/MinGW бинарник с TLS-хуками CRT, HTTP-beacon на WinHTTP, персистентностью через реестр Run, созданием процессов, и крадущим cookies/мелкие данные из Firefox, Chrome, Edge, Discord, Telegram с использованием BCrypt/CryptUnprotectData для расшифровки.