Chrome Bilgi Hırsızı Steanings.exe: AES-GCM Cookie Çalma, Çift C2 (217.65.2.14:3333 + 46.205.202.219:1912), XHP Booster Kamuflajı

Genel Bakış

Bu örnek, Steanings.exe dahili adıyla derlenen ve iki ayrı C2 sunucusuna bağlanan .NET tabanlı bir Chrome Bilgi Hırsızıdır. XHP Booster adıyla oyun hızlandırıcı gibi gizlenerek dağıtılmaktadır. AES-GCM ile şifrelenmiş Chrome şifrelerini ve çerezlerini çözüp C2 sunucularına göndermektedir.

Teknik Analiz

İç Kimlik ve Kamuflaj

İç Dosya Adı: Steanings.exe ("stealer" + "ings" → stealer)
Kamuflaj: XHP Booster / XHP booster — sahte oyun performans aracı
UI bileşenleri: listView1, listBox1 (Windows Forms arayüzü)

Chrome Kimlik Bilgisi Çalma

ChromeGetRoamingName / ChromeGetLocalName — Chrome profil dizinlerini tespit eder
User Data — Chrome kullanıcı veri dizini
DecryptBlob / DecryptBlock — DPAPI ve AES-GCM blob çözümleme
StringDecrypt — hardcoded şifreli string çözme
Extension Cookies — tarayıcı uzantısı çerezleri çalma

Şifreleme (AES-GCM)

AesGcm256 — AES-256-GCM ile Chrome şifreli verileri çözmek için
BCRYPT_AUTHENTICATED_CIPHER_MODE_INFO, BCRYPT_OAEP_PADDING_INFO
Chrome 80+ sürümlerinde şifreler AES-GCM ile korunmakta; stealer bunu çözmek için BCrypt API kullanıyor

C2 İletişimi (Çift Sunucu)

C2 #1: 217.65.2.14:3333
C2 #2: 46.205.202.219:1912
https://api.ip.sb/ip — kurban IP adresi tespiti
System.Net.Sockets — socket tabanlı C2 iletişimi

Teknik Özellikler

Özellik	Değer
Platform	.NET (PE32 GUI)
Boyut	307.712 bayt
Dahili Ad	Steanings.exe
Kamuflaj	XHP Booster (oyun aracı)
C2 #1	217.65.2.14:3333
C2 #2	46.205.202.219:1912
Şifreleme	AES-256-GCM (Chrome DPAPI)
Hedef	Chrome şifreleri, çerezler, uzantı verileri

IOC Özeti

C2 #1: 217.65.2.14:3333
C2 #2: 46.205.202.219:1912
IP Check: https://api.ip.sb/ip
SHA256: b3d310c2853f8d633be45b6c7bf57f4d1da0ecb11a757096720621db381d0b15

IOC Listesi (4 gösterge)

IOC — Chrome Stealer

# SHA256
b3d310c2853f8d633be45b6c7bf57f4d1da0ecb11a757096720621db381d0b15

# IP
217.65.2.14

# IP
46.205.202.219

# DOMAIN
api.ip.sb

Tür	Değer	Not
sha256	b3d310c2853f8d633be45b6c7bf57f4d1da0ecb11a757096720621db381d0b15
ip	217.65.2.14
ip	46.205.202.219
domain	api.ip.sb

Etiketler

stealerchromeinfo-stealeraes-gcmdecrypt-blobxhp-boosterfake-boosterdotnetc2socketcookiesextension