Beyond The Dark: бесплатная Steam-игра с C2 внутри UnityPlayer.dll
Beyond The Dark: бесплатная Steam-игра с C2 внутри UnityPlayer.dll vxdb пишет, что Beyond The Dark на Steam — малварь: исследователь Eric Parker нашёл в UnityPlayer.dll дроппер, который обращается к C2 и скачивает следующий этап в зависимости от установленных программ и расширений Chrome. Отдельно упомянут фокус на криптокошельки. Технически это выглядит как .NET-клиент, спрятанный в DLL Unity-игры. В ролике видно декомпиляцию через dnSpy: у клиента есть SERVER_URL, API_KEY, clientId, hostname, mac, RegisterWithRetry(), PollLoop(), PostAsync() и SendAck(). C2 — https://435123332155[.]com/api.php; при прямом обращении без валидного ключа он отвечает {"ok":false,"error":"Unauthorized"}. Any.Run-задачи процесс Beyond The Dark.exe ходит к этому домену по HTTPS, а в POST-запросе видна разведка браузерных профилей и расширений: Chrome/Edge, Default, Profile 1, Chrome Web Store Payments, Google Docs Offline и другие записи. Это совпадает с тезисом vxdb: следующая логика зависит от окружения жертвы, а не просто запускает один статичный payload. На скриншоте VirusTotal у UnityPlayer.dll видно 8/71 детектов: trojan, msil, среди имён — Trojan.MSIL.Crypt, Trojan:Win/Injectnet.EAE, UDS:Trojan.MSILAgent.gen. Заявленный SHA256: b37cea499efad35ff5af7e73f34f17840c2d14dd6cd21e3345d22a39140b4d45. Самое неприятное здесь — канал доставки. На момент проверки страница игры всё ещё открывается в Steam: Free To Play, но скачать уже не даёт Notice: Beyond The Dark is no longer available on the Steam store. И много накрученных отзывов аж до Mostly Positive, но радует что последние отзывы про вирус. Дата релиза — 28 декабря 2024 года, разработчик и издатель указаны как Beyond The Dark, на странице есть disclosure про AI-generated art/logos. Это как раз тот случай, когда наличие страницы в крупном магазине не стоит воспринимать как гарантию безопасности. Если запускали игру — стоит считать хост потенциально скомпрометированным: проверить автозагрузку, браузерные расширения, cookies/сессии, криптокошельки, сетевые обращения к 435123332155.com и запуск дочерних процессов вроде RegAsm.exe/dllhost.exe. Для команд защиты отдельный IOC минимум такой: Steam AppID 3393800, UnityPlayer.dll, SHA256 выше, домен C2 и HTTPS-запросы к /api.php. @poxek | MAX | Блог | YT | RT | VK