Полный статический анализ PE-файла (Rust-STEALER)

1. Общая информация

Формат: Portable executable для AMD64 (64-бит)
Точка входа: start @ 0x140045A50
База образа: 0x140000000
Секции: .text, .rdata, .idata, .buildid, .data, .pdata, .tls
Количество функций: 1278
Количество строк: 806
TLS-коллбэки: 3 (TlsCallback_0, TlsCallback_1, TlsCallback_2)

TLS-коллбэки выполняются до входа в точку входа PE. TlsCallback_0 — это CRT-функция (_RNvNtNtNtNtCs1NhsA7xdTVp_3std3sys12thread_local5guard7windows12tls_callback), TlsCallback_1 и TlsCallback_2 — пользовательские коллбэки (118 и 22 байта соответственно).

2. Язык и среда сборки

Файл собран на Rust с использованием MinGW-w64 для Windows. Это подтверждается:

• - Строки Rust-рантайма: "fatal runtime error: I/O error: operation failed to complete synchronously, aborting\nadvancing io slices beyond their length", "note: run with RUST_BACKTRACE=1...", "note: Some details are omitted, run with RUST_BACKTRACE=full...", "Mingw-w64 runtime failure:"
• - CRT-функции: __mingw_CRTStartup, initterm, cexit, _mm_loadu_si128
• - Строка src/modules/services.rs в строковых данных указывает на модульную структуру Rust-проекта
• - Идентификаторы Rust: _RNv... (name-mangled символы Rust)

3. Импортируемые библиотеки

Библиотека	Количество импортов	Назначение
KERNEL32	99	Файловая система, процессы, память, потоки
USER32	26	UI, буфер обмена
ADVAPI32	16	Реестр, службы Windows
api-ms-win-crt-runtime-l1-1-0	14	CRT-функции
WS2_32	13	Сокеты, сеть
WINHTTP	8	HTTP-запросы (C2)
GDI32	7	Графика, скриншоты
bcrypt	6	Криптография
CRYPT32	1	CryptUnprotectData (DPAPI)

4. Поведенческий анализ

4.1. Кража учётных данных браузеров

Функция sub_14000F9D1 (3515 байт) реализует кражу cookies для нескольких браузеров:

Google Chrome:

• - Путь к файлу cookies: C:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Default\Network\Cookies
• - Путь к ключу шифрования: C:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Local State
• - Процесс-проверка: chrome.exe
• - Строка: "[Chrome] Decrypting cookies..."
• - Использует CryptUnprotectData для расшифровки master key из Local State

Microsoft Edge:

• - Путь к cookies: C:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Default\Network\Cookies
• - Путь к Local State: C:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Local State
• - Процесс: msedge.exe
• - Строка: "[Edge] Decrypting cookies..."

Mozilla Firefox:

• - Путь к профилям: C:\Users\<USER>\AppData\Roaming\Mozilla\Firefox\Profiles
• - База данных: cookies.sqlite
• - Процесс: firefox.exe
• - Строка: "[Firefox] Reading cookies (plaintext)..." — Firefox хранит cookies в открытом виде в SQLite, поэтому расшифровка не требуется

Telegram Desktop:

• - Путь: C:\Users\<USER>\AppData\Roaming\Telegram Desktop\tdata
• - Процесс: telegram.exe
• - Строка: "Telegram tdata not found.\n=== Telegram ===\n"

Discord:

• - Путь: C:\Users\<USER>\AppData\Local\Discord\app-<version>\app.exe
• - Process: discord.exe
• - Строка: "Discord is not running.\nCannot get AppData.\n=== Discord ===\n"
• - Использует LevelDB для хранения данных

4.2. Командно-контрольный сервер (C2)

Основная функция sub_140001000 (2223 байта) реализует beacon-цикл с HTTP-взаимодействием:

• - Инициализация HTTP-транспорта: "Initializing HTTP transport..."
• - Ввод в beacon-цикл: "Entering beacon loop..."
• - После регистрации: "Registered. Entering main loop."

Механизм C2:

1. 1. Инициализация HTTP через WinHTTP API (WinHttpOpenRequest, WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData, WinHttpCloseHandle)
2. 2. Флаги запроса: WINHTTP_FLAG_BYPASS_PROXY_CACHE
3. 3. Экспоненциальная задержка (backoff):

- Начальная задержка: 5 секунд
- Умножение на 2 при каждом неудачном запросе
- Максимум: 60 секунд

1. 4. После успешного ответа:

- Чтение данных с сервера (до 65536 байт)
- Парсинг ответов в формате с тегом 0x70 (длина 4 байта + данные)
- Задержка 1000 dword_140096004 dword_140096000 мс

1. 5. При 5+ неудачных попытках:

- Повторная попытка с задержкой 5 секунд, максимум 4 раза
- Затем возврат к базовой задержке

4.3. Персистентность

• - Реестр: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• - API: RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA, RegDeleteKeyA, RegDeleteValueA
• - Функция sub_140003CA0 (35822 байта) — основная функция стила, содержит логику персистентности

4.4. Сбор информации о системе

• - Имя компьютера: GetComputerNameA
• - Текущий каталог: GetCurrentDirectoryA, GetCurrentDirectoryW
• - Путь к бинарнику: GetModuleFileNameA
• - Службы Windows: OpenSCManagerA, EnumServicesStatusExA, OpenServiceA, ControlService, CloseServiceHandle, StartServiceA, CloseServiceHandle (модуль src/modules/services.rs)
• - TCP-таблица: GetExtendedTcpTable (IPHLPAPI)

4.5. Обработка процессов

• - Создание процессов: CreateProcessA (5 вызовов)
• - Открытие процессов: OpenProcess (2 вызова)
• - Запуск скрыто: ShellExecuteA с флагом SW_HIDE
• - Создание потоков: CreateThread, CreateRemoteThread
• - Обработка исключений: AddVectoredExceptionHandler (обработка stack overflow, 20480 байт стека)

4.6. Криптография

• - DPAPI расшифровка: CryptUnprotectData (CRYPT32) — для расшифровки cookies Chrome/Edge
• - bcrypt: 6 импортов — возможно, для генерации ключей или хеширования

5. Структура программы

Точка входа: start → __mingw_CRTStartup → sub_1400136B0 (Rust std init) → sub_140002040 → sub_140002644 → sub_140001000

Ключевые функции:

• - sub_140001000 (2223 байта) — главный цикл C2/бекона
• - sub_140003CA0 (35822 байта) — основная функция стила (браузеры, персистентность, сбор данных)
• - sub_14000F9D1 (3515 байт) — кража cookies браузеров (Chrome, Edge, Firefox)
• - sub_140003CA0 (35822 байта) — основной стилер (Discord, Telegram, системная информация)

6. Ключевые IOC

Строковые IOC:

• - "[Chrome] Decrypting cookies..."
• - "[Edge] Decrypting cookies..."
• - "[Firefox] Reading cookies (plaintext)..."
• - "Telegram tdata not found."
• - "Discord is not running.\nCannot get AppData."
• - "Cannot decrypt master key."
• - "Initializing HTTP transport..."
• - "Entering beacon loop..."
• - "Registered. Entering main loop."
• - "src/modules/services.rs"

Путь к файлам:

• - ...\Google\Chrome\User Data\Default\Network\Cookies
• - ...\Google\Chrome\User Data\Local State
• - ...\Microsoft\Edge\User Data\Default\Network\Cookies
• - ...\Microsoft\Edge\User Data\Local State
• - ...\Mozilla\Firefox\Profiles\*\cookies.sqlite
• - ...\Telegram Desktop\tdata

Реестр: HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Имена процессов: chrome.exe, msedge.exe, firefox.exe, telegram.exe, discord.exe

7. Вывод

Это Rust-стайлер, предназначенный для кражи cookies и учётных данных из браузеров (Chrome, Edge, Firefox), а также данных из Telegram Desktop и Discord. Программа использует HTTP-транспорт (WinHTTP) для связи с C2-сервером, экспоненциальный backoff при неудачах, персистентность через реестр, сбор системной информации и может запускать скрытые процессы. Криптографические операции ограничены расшифровкой cookies через DPAPI.