Qwen3.6-35B-A3B-NVFP4

Статический анализ PE-бинарника (Rust/MinGW, x64)

Общая информация

• - Архитектура: AMD64, PE32+
• - Точка входа: start @ 0x140045A50 (MinGW CRT __mingw_CRTStartup)
• - TLS-коллбэки: 3 шт. (TlsCallback_0 @ 0x140024610, TlsCallback_1 @ 0x140045AE0, TlsCallback_2 @ 0x140045B70) — все являются стандартными функциями библиотеки std Rust для управления thread-local storage; выполняются до входа в PE-точку
• - Выполнение: TLS-коллбэки загружаются до pe_entry; они выглядят как CRT/runtime и не несят вредоносной логики
• - Количество функций: 1278
• - Количество строк: 806

Импорт API-функций

Бинарник импортирует 12 DLL:

• - KERNEL32 (99 импортов): CreateProcessA, OpenProcess, AddVectoredExceptionHandler, CreateFileA, ReadFile, TerminateProcess, CloseHandle, Sleep, GetModuleFileNameA, GetTickCount64
• - ADVAPI32 (16 импортов): RegCreateKeyExA, RegOpenKeyExA, RegQueryValueExA, RegSetValueExA, RegDeleteKeyA, RegDeleteValueA, OpenSCManagerA, OpenServiceA, ControlService, EnumServicesStatusExA, StartServiceA, GetUserNameA
• - WINHTTP (8 импортов): WinHttpOpen, WinHttpConnect, WinHttpOpenRequest, WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData, WinHttpCloseHandle
• - CRYPT32: CryptUnprotectData (дешифровка Chrome/Edge master key)
• - GDI32 (7 импортов): BitBlt, GetDIBits, CreateCompatibleBitmap, CreateCompatibleDC, SelectObject, DeleteObject, DeleteDC
• - AVICAP32: capCreateCaptureWindowA (захват экрана)
• - WS2_32 (13 импортов), IPHLPAPI: GetExtendedTcpTable
• - bcrypt (6 импортов), USER32 (26 импортов), ole32, gdiplus

Поведенческий анализ

1. Кража браузерных учётных данных (основной модуль sub_14000F9D1)

Функция проверяет наличие запущенных процессов браузеров и читает их профили:

• - Chrome (chrome.exe): ищет файлы Cookies, Login Data в профиле %LocalAppData%\Google\Chrome\User Data\Default\, читает SQLite-базы, дешифрует master key через CryptUnprotectData
• - Edge (msedge.exe): аналогично, путь %LocalAppData%\Microsoft\Edge\User Data\Default\
• - Firefox (firefox.exe): сканирует профили через FindFirstFileA/FindNextFileA, ищет файлы cookies.sqlite, logins.json
• - Discord: кража токенов и cookie из %AppData%\Discord\
• - Telegram: поиск данных в профиле Telegram Desktop

Строки лога:

• - "[Chrome] Not running.\n[Chrome] Decrypting cookies...\n" @ 0x140080120
• - "[Edge] Not running.\n[Edge] Decrypting cookies...\n" @ 0x140080202
• - "Cannot decrypt master key.\n" @ 0x1400801dd
• - "Discord is not running.\n" @ 0x14007ffee
• - "Telegram is not running.\n" @ 0x140080331

2. HTTP-экстракция данных (C2-бэкдор)

Функция-бэкон: sub_140001000 (2223 байта)

• - Инициализация WinHTTP-транспорта: "Initializing HTTP transport..." @ 0x14007DB29
• - Бэкон-цикл с экспоненциальной задержкой: начальная задержка 5000 мс, удвоение при неудаче, максимум 60000 мс
• - WinHttpOpen → WinHttpConnect → WinHttpOpenRequest (GET) → WinHttpSendRequest → WinHttpReceiveResponse → WinHttpReadData
• - Парсинг ответа от C2: извлекает задачи (длина + payload)
• - Вызов кражи данных: sub_140003CA0(v35, v15 + v32, v33, v94) — передача собранных данных в основной модуль кражи

Функция POST-загрузки: sub_140012584 (678 байт)

• - WinHttpOpenRequest с методом POST ("aPost" @ 0x140080c9b контекст)
• - WinHttpSendRequest с телом запроса (украденные данные)
• - WinHttpReceiveResponse → WinHttpReadData для получения новых команд от C2
• - Строка ошибки: "WinHttpReceiveResponse FAILED" @ 0x140080c9b

3. Регистрация в автозагрузке (Persistence)

• - Ключ реестра: Software\\Microsoft\\Windows\\CurrentVersion\\Run @ 0x14007fd88
• - Используется RegCreateKeyExA, RegSetValueExA для добавления записи
• - Также RegOpenKeyExA (9 вызовов), RegQueryValueExA, RegDeleteValueA (4 вызова), RegDeleteKeyA (2 вызова)
• - Строка: "HKCRHKEY_CLASSES_ROOTHKCUHKEY_CURRENT_USERHKLM" @ 0x1400806a8 — работа с несколькими корнями реестра

4. Захват экрана

• - GDI32: BitBlt, GetDIBits, CreateCompatibleBitmap, CreateCompatibleDC, SelectObject, DeleteObject, DeleteDC
• - AVICAP32: capCreateCaptureWindowA
• - Строка модуля: "src/modules/screenshot.rs" @ 0x14007efb0

5. Управление службами (возможно, отключение антивирусов)

• - OpenSCManagerA, OpenServiceA, ControlService, EnumServicesStatusExA, StartServiceA, CloseServiceHandle
• - Вероятно, бинарник пытается остановить службы безопасности (антивирусы, брандмауэры)

6. Обход защиты и антиотладка

• - AddVectoredExceptionHandler — регистрация VEH для обработки исключений
• - OpenProcess (2 вызова) — проверка на отладчики/процессы анализа
• - В бэкон-цикле: sub_1400128AB() и sub_14001286D() — функции анти-отладки/анти-анализа
• - Джиттер задержек: GetTickCount64() % (2 * (v30 / 0x64) + 1) + v30 - v30 / 0x64

7. Создание процессов

• - CreateProcessA (5 вызовов) — запуск процессов, возможно для проверки браузеров или выполнения задач от C2
• - TerminateProcess, CloseHandle — управление процессами

Структура бинарника

• - Секции: .text (код), .rdata (данные/строки), .idata (импорт), .data (данные), .pdata (исключения), .tls (TLS-данные), .buildid
• - TLS-данные: секция .tls @ 0x1400a3000–0x1400a4000

Итоговый вывод

Бинарник представляет собой стелс-вор учётных данных (info-stealer), написанный на Rust (MinGW-компилятор). Основные функции:

1. 1. Кража браузерных cookie и паролей из Chrome, Edge, Firefox
2. 2. Кража токенов Discord и Telegram
3. 3. Захват экрана (screenshot)
4. 4. HTTP-экстракция данных через WinHTTP с C2-сервером (бэкон-цикл с экспоненциальной задержкой и джиттером)
5. 5. Постоянство через реестр (CurrentVersion\Run)
6. 6. Подавление защиты через управление службами ADVAPI32
7. 7. Анти-отладка и обход анализа

Бинарник не содержит жёстко закодированных URL C2 — адрес сервера, вероятно, загружается из ответа бэкон-запроса или конфигурируется отдельно. Дешифровка браузерных данных использует CryptUnprotectData (DPAPI) для master key Chrome/Edge.