HijackLoader: IDAT-Container, Module und Callstack-Tarnung

Prüfauftrag, Stand und Beleggrenze

Aktuelle Modul- und Evasionsanalyse plus offizieller, älterer IDAT-Extractor als getrennte Evidenzstände. Die Leitfrage lautet: Welche Architektur- und Verhaltensaussagen trägt dieser konkrete Prüfstand, und welche bleiben ausschließlich der Quelle zugeschrieben?

Was belegt ist — und was fehlt

Primärquellen, statisch prüfbarer Code und Laufzeitbeobachtungen haben unterschiedliche Aussagekraft. Die Karte hält diese Ebenen auseinander; fehlende Eigenbeobachtung wird nicht durch Plausibilität ersetzt.

Eintritt und Lieferkette

Der ältere dokumentierte Pfad versteckt verschlüsselte Stufen in PNG-IDAT-Chunks; neuere Varianten können Daten in Pixelstrukturen ablegen. Das Trägerbild ist deshalb kein Beweis für Harmlosigkeit, aber auch ein ungewöhnliches PNG allein kein Loadernachweis.

Architektur und Datenfluss

Der öffentliche Extractor liest Chunkgrößen, setzt die verschlüsselte zweite Stufe zusammen, wendet einen XOR-Schlüssel an und dekomprimiert mit LZNT1. Der Loader selbst verteilt Aufgaben auf Module wie ANTIVM, MUTEX, CUSTOMINJECT und Persistenzmodule. Format- und Modulstand müssen getrennt versioniert werden.

Originalcode als Architekturbeleg

Der kurze Auszug zeigt nur die im Kapitel benannte Struktur. Er wird nicht ausgeführt und enthält keine vollständige operative Implementierung.

41       input_file.seek(resultOffsetNextByte - 4)
42       size = input_file.read(4)
43       size = struct.unpack('>I', size)[0]
44       configDataCheck1 = input_file.read(4)
45       configDataCheck1 = struct.unpack('<I', configDataCheck1)[0]
46       configDataCheck2 = input_file.read(4)
47       configDataCheck2 = struct.unpack('<I', configDataCheck2)[0]
48       configDataCheck3 = input_file.read(4)
49       xorKey = struct.unpack('<I', configDataCheck3)[0]
50       
51      Size1 = input_file.read(4)
52      Size1 = struct.unpack('<I', Size1)[0]
53      print("Total size: "+hex(Size1))
54      currentSize = 0
55      size = size - 0x10
56      with open(r"secondstage.bin", "ab+") as output_file:
57       while Size1 > currentSize + size:
58        idat = input_file.read(4)
59        payload_encrypted = input_file.read(size)
60        output_file.write(payload_encrypted)
61        currentSize = currentSize + size
62        currentSize = currentSize & 0xFFFFFFFF
63        resultOffsetNextByte = findOffset(file, b'\x49\x44\x41\x54', resultOffsetNextByte+1)
64        input_file.seek(resultOffsetNextByte - 4 )
65        size = input_file.read(4)
66        size = struct.unpack('>I', size)[0]
67        size = size & 0xFFFFFFFF 
68        
69       remainingSize = Size1 - currentSize
70       input_file.seek(resultOffsetNextByte)
71       idat = input_file.read(4)
72       payload_encrypted = input_file.read(remainingSize)
73       output_file.write(payload_encrypted)
74       print("[+] Encypted second stage written to disk")
75       
76      with open(r"secondstage.bin", "rb+") as operation_file:
77       payloadSize = Size1
78       decryptPayload(operation_file, xorKey, payloadSize)
79       print("[+] Second stage successfully decrypted")
80
81    with open(r"secondstage.bin", "rb+") as operation_file:
82     readBytes = operation_file.read()
83     decompressedData = lznt1.decompress(readBytes)
84     with open(r"secondstage_decompressed.bin", "wb") as last_file:
85      last_file.write(decompressedData)

Analyseabwehr und Persistenz

ThreatLabz beschreibt Heaven’s-Gate-artige Übergänge, direkte x64-Syscalls und gefälschte EBP-Stackframes, um die Herkunft sensibler Aufrufe zu verschleiern. Anti-VM-Prüfungen und Prozessblocklisten ergänzen diese Technik; keine davon ist allein eindeutig.

Fähigkeiten, Ziel und Wirkung

HijackLoader ist primär eine Auslieferungs- und Ausführungsplattform. Beobachtete Folgelasten variieren; deshalb darf der Fund des Loaders nicht automatisch Eigenschaften oder Attribution der späteren Payload übernehmen.

Telemetrieplan und Beweiskette

Belastbare Erkennung verbindet Bildcontainer-Anomalien mit LZNT1/XOR-Rekonstruktion, Modulmetadaten, ungewöhnlichen Syscall-Stacks und neuer Scheduled-Task-Persistenz. Das Modell unten deckt nur den Persistenzzweig ab und benötigt Umgebungsbaselines. Für eine belastbare Untersuchung werden Prozess-GUID und vollständige Elternkette, Nutzer und Sitzung, Befehlszeile, Signatur- und Hashstatus, Datei- und Registryänderungen, DNS-/Verbindungsziele sowie nachgelagerte Zugriffe auf sensible Daten in einer gemeinsamen Zeitleiste erhalten. Zeitnähe ist dabei ein Belegparameter, keine bloße Visualisierung. Fehlende Sensorabdeckung wird pro Stufe markiert, damit ein nicht sichtbares Ereignis nicht fälschlich als nicht erfolgt gilt.

Detection Engineering und Gegenprüfung

Belastbare Erkennung verbindet Bildcontainer-Anomalien mit LZNT1/XOR-Rekonstruktion, Modulmetadaten, ungewöhnlichen Syscall-Stacks und neuer Scheduled-Task-Persistenz. Das Modell unten deckt nur den Persistenzzweig ab und benötigt Umgebungsbaselines. Das folgende Modell ist bewusst eng, nicht engine-validiert und muss gegen legitime Administrations- und Softwarepfade getestet werden.

1title: HijackLoader scheduled-task branch candidate
2status: experimental
3logsource:
4  product: windows
5  category: process_creation
6detection:
7  selection:
8    Image|endswith: '\\schtasks.exe'
9    CommandLine|contains|all:
10      - '/create'
11      - '/sc'
12      - 'onlogon'
13  condition: selection
14falsepositives:
15  - Legitimate administrative or software activity with the same isolated pattern
16level: medium

Alternativhypothesen und Negativtests

Vor einer Familienzuordnung werden die im Modell verwendeten Einzelmerkmale getrennt gegen Softwareverteilung, Administratorwerkzeuge, Installer, Browser- oder Backupsoftware und bekannte interne Skripte geprüft. Mindestens ein struktureller Anker und eine zeitlich passende Verhaltenskette müssen zusammenpassen. Der Extractor bildet den älteren IDAT-Pfad ab und belegt nicht die Dekodierung jeder Pixelvariante. Ohne Sample wurden weder Module noch Injection oder Persistenz ausgeführt. Ein negativer Gegencheck verwirft nur die geprüfte Hypothese; er ist keine allgemeine Entwarnung.

Attribution und Variantenrisiko

Der Extractor bildet den älteren IDAT-Pfad ab und belegt nicht die Dekodierung jeder Pixelvariante. Ohne Sample wurden weder Module noch Injection oder Persistenz ausgeführt.

Abschließende Bewertung

Die Analyse liefert eine belastbare Architektur- und Detektionsgrundlage für den benannten Stand. Sie ist kein Beweis für aktuelle Aktivität, vollständige Variantenabdeckung oder einen bestimmten Betreiber.

Grenzen der Prüfung

• Keine unabhängige Sample-, Laufzeit-, C2- oder Kampagnenverifikation.
• Der Extractor bildet den älteren IDAT-Pfad ab und belegt nicht die Dekodierung jeder Pixelvariante. Ohne Sample wurden weder Module noch Injection oder Persistenz ausgeführt.
• Defensive Modelle sind nicht mit einer Zielengine validiert.