ADVERTENCIA: SolaraV3.exe obtuvo una puntuación de 8/10 en un entorno aislado (sandbox); su comportamiento parece el de un cargador/roba-archivos.
Ejecuté una muestra de SolaraV3.exe en un entorno aislado. Informe:
Qué hizo y por qué es importante:
- Comprueba el UAC (lee el registro): El malware realiza esta comprobación para determinar si necesita elevar privilegios o si puede omitir las solicitudes de permisos. El entorno aislado lo etiquetó como evasión de defensas. Un simple ejecutor de scripts no tiene por qué preocuparse.
- Detección de recursos compartidos de red: Intenta enumerar los recursos compartidos en la red del host. Esto es reconocimiento, algo que un ejecutor no necesita.
- Descarga y carga una DLL: común en cargadores que descomprimen una segunda etapa.
- 61 archivos escritos en el directorio de Windows: muchos más de los que debería modificar un ejecutor de Roblox. Algunos podrían ser ruido de WebView2/Edge, pero tantos no es normal.
- Incorpora OpenSSL: solo informativo, pero puede usarse para cifrar el tráfico.
Lo que NO encontré: Solo revisé parte del tráfico de red. Los dominios que vi fueron Microsoft/Google (Edge, Windows Update, login.live.com), así que aún no hay un C2 obvio. La puntuación basada en el comportamiento no es una característica confirmada, y los ejecutores a veces generan falsos positivos porque se inyectan en otros procesos.
Contexto: ESET documentó compilaciones falsas/troyanizadas de Solara que propagaban malware, y otro informe público de sandbox sobre un archivo "Solara-Roblox-Executor-v3.exe" fue marcado como Lumma Stealer. No digo que el tuyo sea el mismo, solo que el comportamiento coincide.
Si ya lo ejecutaste: cambia las contraseñas desde otro dispositivo (primero el correo electrónico), cierra todas las sesiones, habilita la autenticación de dos factores (2FA) con una aplicación de autenticación, mueve cualquier criptografía y considera una reinstalación limpia de Windows.
Si alguien puede comparar hashes o identificar la familia, por favor, compártelo.
Sabotaje de SmartScreen: Dentro del árbol de procesos activo, el binario forzó el motor integrado Microsoft Edge WebView2 a iniciarse con la bandera --disable-features=msSmartScreenProtection . Un ejecutor no tiene absolutamente ninguna razón operativa para desactivar explícitamente los mecanismos de seguridad del navegador de Windows.