MetaStealer (2/2) : le fantôme de RedLine

Dans le premier article de cette série, nous avons analysé une chaîne d’infection récente plus sophistiquée observée pour MetaStealer : un fichier LNK usurpant l’icône Microsoft Edge, un MSI déguisé en installeur Docusign, et un payload Delphi de 740 Mo protégé par une machine virtuelle commerciale. Une orchestration à cinq stades, conçue pour contourner chaque couche de défense.

La seconde chaîne, datant de quelques mois, que nous présentons ici est plus directe. Un script batch obfusqué (potentiellement lancé par un chargement initial via un document ou un javascript malveillant), un dropper PE32 compilé avec MinGW, et un stealer .NET que les antivirus classifient unanimement comme… RedLine Stealer. Ce détail n’est pas une erreur de classification : il est au cœur de ce qui fait la particularité de MetaStealer, et nous permet d’éclairer la filiation entre les deux familles.

Pour comprendre pourquoi le stealer final de cette chaîne est détecté comme RedLine, un rappel rapide s’impose.

Le 17 mars 2022, un acteur connu sous le pseudonyme _META_ publie sur le forum cybercriminel WWH-Club un nouvel infostealer : MetaStealer (ou META Stealer). Il revendique explicitement « le même code et le même panneau que RedLine Stealer ». L’analyse des chercheurs d’ESET le confirme : les deux malwares partagent très probablement le même créateur, le code source est quasi-identique, avec de simples remplacements de la chaîne « RedLine » par « Meta ».

Conséquence directe : les signatures AV développées pour RedLine s’appliquent directement à MetaStealer. Un binaire peut être légitimement tagué « MetaStealer » dans les bases CTI (MISP, MalwareBazaar) tout en étant détecté comme Troj/Redline-F par Sophos. Les deux lectures sont correctes.

L’Opération Magnus (28 octobre 2024, FBI + police néerlandaise + Eurojust) a démantelé les infrastructures centrales des deux familles et conduit à l’inculpation de Maxim Rudometov, développeur et administrateur présumé de RedLine.

Le point d’entrée est un script batch. Sa cible : télécharger le dropper depuis hxxps[:]//ekaterinamironova[.]ru/blog/images/oc.exe. Le domaine est confirmé comme site de distribution MetaStealer dans nos bases de threat intelligence.

Pour assurer la résilience du téléchargement, le script implémente une cascade de méthodes en fallback :

1. curl (prioritaire)

2. bitsadmin /transfer (fallback 1: T1197)

3. certutil -urlcache -split -f (fallback 2: T1218.010)

4. PowerShell Invoke-WebRequest (fallback final)

Toutes les commandes PowerShell utilisent -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass. Un fichier de log %temp%\debug_obf.log trace chaque étape. C’est l’artefact d’un outil de génération qui laisse ses traces de développement.

Trois actions suivent immédiatement le téléchargement :

Désactivation de Windows Defender via deux méthodes redondantes (PowerShell Add-MpPreference + registre HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths), avec des exclusions couvrant jusqu’au disque C:\ entier :

Bypass UAC via un fichier VBS temporaire (%temp%\OEgetPriv_*.vbs) utilisant Shell.Application.ShellExecute runas, technique classique mais toujours efficace sur les configurations par défaut :

Set UAC = CreateObject("Shell.Application")
UAC.ShellExecute "<chemin_bat>", "ELEV", "", "runas", 1

Double persistance : clé Run HKCU\...\Run\AdYQIJLNHV pointant vers le BAT lui-même, et copie du BAT dans le dossier Startup sous le nom svchost.bat, masquerading de processus système (T1036.005).

Observables BAT Downloader

Le dropper, le fichier oc.exe téléchargé du stage précédent, est un PE32 compilé avec MinGW (GCC).

• Checksum PE invalide (référence : 2 011 913, calculé : 1 623 027)

• Section .rsrc avec entropie 7.88: payload chiffré ou compressé de ~550 Ko (ressource RT_RCDATA)

• Imports clés : ShellExecuteA, CreateProcessA, CreateToolhelp32Snapshot, VirtualProtect, IsDebuggerPresent, CheckRemoteDebuggerPresent

Par contre, sa date de compilation ne semble pas spoof December 1, 2025 at 4:42:00 PM

Le Deep Engine de GLIMPS Malware nous pointe des features de ce binaire. Il va potentiellement modifier des permissions afin de rendre exécutables certaines zones mémoires. Il va aussi exécuter certaines actions en instanciant une ligne de commande.

L’analyse dynamique de GLIMPS Malware révèle le process tree d’exécution:

Extraction et persistance :

• Extraction et dépôt du payload suivant, le stealer, sous le nom aléatoire z6ThcEH7WItN.exe dans %TEMP%

• Création d’une tâche planifiée pour la persistance :

  schtasks /create /tn "WindowsUpdateVqEWXn" /tr "<chemin>" /sc onlogon /ru SYSTEM

• Ajout d’une clé de registre Run : HKCU\...\Run\Windows Security Service p7jwm74E

Nettoyage et anti-analyse :

• Exécution de cl.bat et melt.bat qui sont des scripts de nettoyage de traces probablement exécutés via un CMD.

• Délai anti-sandbox : ping 127.0.0.1 -n 5

• Anti-debug : IsDebuggerPresent, CheckRemoteDebuggerPresent

• Énumération des processus via CreateToolhelp32Snapshot / Process32First/Next

Observables du Dropper

Le payload final (Spulebane.exe en nom interne) est un PE32 .NET de 550 Ko. Les antivirus le classifient unanimement comme RedLine Stealer avec les signatures Troj/Redline-F et Win.Packed.Redline-10059030-0

Pourtant, nos bases de Threat Intelligence identifient son dropper comme metastealer.

Ces deux lectures sont cohérentes. Comme expliqué dans le cadrage, MetaStealer et RedLine partagent le même code source. Les signatures écrites pour l’un s’appliquent à l’autre.

Capacités documentées par le nom des fonctions du binaire.

L’analyse des 471 fonctions .NET identifiées révèle les capacités du stealer :

Observables : Stealer .NET

Cette seconde chaîne est plus simple en apparence, un script batch, un dropper, un stealer, mais elle révèle l’essentiel de ce qui fait la durabilité de MetaStealer, son aspect Meta. Elle est encore récente (quelques mois à ce jour), mais son analyse révèle tout de même sa filiation directe avec RedLine et une forme de pérennité : même après l’Opération Magnus, les affiliés disposant de samples existants semblent continuer de les déployer via des infrastructures indépendantes.

Récapitulatif des indicateurs de compromission

Techniques MITRE ATT&CK

Références

• ANSSI — Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002, mars 2026)

• ESET — Life on a crooked RedLine: Analyzing the infamous infostealer’s backend

• Intel 471 — RedLine and Meta: The Story of Two Disrupted Infostealers

• BleepingComputer — Redline, Meta infostealer malware operations seized by police

• The Hacker News — Dutch Police Disrupt Major Info Stealers RedLine and MetaStealer in Operation Magnus

• Quorum Cyber — MetaStealer Malware Report

• Malpedia — win.metastealer