Hackers Hijack Blender 3D Assets to Deploy StealC V2 Data-Stealing Malware

Malware StealC V2 distribué via des fichiers 3D Blender

Une campagne malveillante, active depuis au moins six mois, utilise des fichiers .blend, des modèles 3D conçus pour le logiciel Blender, afin de distribuer le logiciel malveillant voleur d’informations StealC V2. Ces fichiers compromis sont placés sur des plateformes de partage d’actifs 3D, comme CGTrader.

L’exploitation repose sur la fonctionnalité de Blender permettant d’embarquer des scripts Python dans les fichiers .blend. Lorsque ces fichiers sont ouverts avec l’option “Auto Run” activée, les scripts malveillants s’exécutent automatiquement. Ces scripts téléchargent ensuite des scripts PowerShell, qui décompressent deux archives ZIP. L’une contient la charge utile StealC V2, tandis que l’autre déploie un autre logiciel malveillant Python.

StealC V2 est capable de voler des informations provenant de 23 navigateurs, 100 plugins et extensions web, 15 applications de portefeuille de cryptomonnaies, des services de messagerie, des VPN et des clients de messagerie électronique. Les chercheurs notent des similitudes tactiques avec une campagne antérieure attribuée à des acteurs russes, notamment l’utilisation de documents trompeurs, de techniques d’évasion et d’exécution en arrière-plan. Blender a lui-même documenté le risque lié aux scripts Python intégrés dans les fichiers .blend, soulignant que ces scripts ne sont pas restreints dans leurs actions.

Points Clés :

• Utilisation de fichiers .blend de Blender comme vecteur d’infection.
• Déploiement du logiciel malveillant voleur d’informations StealC V2.
• Exploitation de la fonctionnalité d’exécution automatique de scripts Python intégrés dans les fichiers .blend.
• Similarités avec des campagnes antérieures menées par des acteurs russes.
• La capacité de StealC V2 à collecter un large éventail de données sensibles.

Vulnérabilités :

• La possibilité d’exécuter des scripts Python arbitraires via la fonction “Auto Run” des fichiers .blend dans Blender.
  • Bien qu’aucun CVE spécifique ne soit mentionné pour cette fonctionnalité de Blender elle-même dans l’article, le risque intrinsèque est souligné par Blender dans sa documentation de sécurité.

Recommandations :

• Désactiver l’option “Auto Run” dans Blender, sauf si la source du fichier est entièrement fiable.
• Être vigilant lors du téléchargement de fichiers .blend provenant de sources non vérifiées.

Source