Wprowadzenie do problemu / definicja luki
Badacze bezpieczeństwa ostrzegają przed trwającą co najmniej od pół roku kampanią wymierzoną w użytkowników Blendera – animatorów, grafików 3D oraz studia gier/VFX. Atakujący publikują na marketplace’ach z assetami 3D (m.in. CGTrader) spreparowane projekty .blend z ukrytymi skryptami Pythona. Po otwarciu w Blenderze – jeżeli włączona jest opcja „Auto Run Python Scripts” – skrypty uruchamiają łańcuch infekcji, który finalnie dostarcza infostealera StealC V2. Kampania jest wiązana ze środowiskiem rosyjskojęzycznych cyberprzestępców.
W skrócie
- Wektor wejścia: złośliwe projekty .blend z osadzonym Pythonem (np. zmodyfikowany Rig_Ui.py). Po otwarciu uruchamia się łańcuch pobierania i egzekucji.
- Ładunek końcowy: StealC V2 – nowa generacja infostealera kradnącego dane z przeglądarek (23+), wtyczek, komunikatorów, portfeli krypto i klientów VPN. Często omija systemy ustawione na języki WNP.
- Trwałość i C2: skróty LNK w autostarcie Windows i infrastruktura Pyramid C2; pośrednie etapy hostowane m.in. przez Cloudflare Workers.
- Zakres nadużycia: pliki dystrybuowane na popularnych serwisach z modelami 3D; celem są indywidualni twórcy i firmy (studia gier/VFX).
- Czynnik ryzyka: domyślna/świadomie włączona funkcja Auto Run Python Scripts w Blenderze (zabezpieczenie istnieje, ale bywa wyłączane dla wygody).
Kontekst / historia / powiązania
StealC pojawił się na forach przestępczych na początku 2023 r., a StealC V2 (2025) znacząco rozszerzył funkcje kradzieży i stealth. Autorzy i operatorzy zwykle wykluczają systemy z językami rosyjskim/ukraińskim/białoruskim/kazachskim/uzbeckim, co jest typowe dla rodzin malware wywodzących się z kręgu WNP. Morphisec łączy obecną kampanię z wcześniejszymi działaniami wykorzystującymi Pyramid C2 i podszywanie się pod Electronic Frontier Foundation.
Analiza techniczna / szczegóły luki
1) Osadzony Python w .blend
Pliki .blend mogą zawierać skrypty Pythona w bpy.data.texts. jeżeli w Blenderze aktywna jest Auto Run Python Scripts, skrypt uruchamia się automatycznie po otwarciu projektu. Blender ma mechanizmy ostrzegania/ufania źródłom, ale wielu użytkowników włącza automatyczne uruchamianie ze względów produkcyjnych.
2) Łańcuch infekcji (przykład z próbki Morphisec):
- złośliwy Rig_Ui.py pobiera loader z domeny na Cloudflare Workers,
- uruchamiany jest etap PowerShell,
- pobierane są dwa archiwa ZIP (m.in. z adresów HTTP v4),
- rozpakowane komponenty instalują skrót .lnk do folderu Startup (trwałość),
- następnie pobierany jest adekwatny ładunek oraz moduły przez Pyramid C2 (szyfrowanie ChaCha20).
3) Zdolności StealC V2:
- kradzież danych z 23+ przeglądarek, ponad 100 rozszerzeń/wtyczek, 15+ portfeli kryptowalut, komunikatorów (Telegram/Discord), klientów VPN i poczty, z dodatkowymi technikami obejścia UAC, screenshoty wielomonitorowe, panel C2 z builderem, protokół JSON.
4) Wnioski dla obrony
Łańcuch nadużywa w pełni „legalnej” funkcji automatyzacji Blendera, więc AV/EDR mogą widzieć jedynie „zaufany” proces użytkownika (Blender → python → powershell). Krytyczne są reguły EDR dla ładowania PowerShell z kontekstu aplikacji kreatywnej, detekcja tworzenia LNK w Autostarcie i połączeń do znanych wskaźników kampanii.
Praktyczne konsekwencje / ryzyko
- Kradzież tożsamości i tajemnic przedsiębiorstwa: wyciek haseł, sesji, tokenów SSO, dostępów do repozytoriów (Git), menedżerów projektów, narzędzi produkcyjnych.
- Łańcuchowe naruszenia w studiach gier/VFX: przejęte konta repo i render farm mogą ułatwić supply-chain (np. trojanizacja assetów, buildów). (Wniosek na bazie profilu StealC V2 i celu kampanii.)
- Straty finansowe: kradzież krypto/monetyzacja danych przeglądarkowych; ryzyko dalszej infekcji loaderami przez moduł StealC.
Rekomendacje operacyjne / co zrobić teraz
Dla użytkowników Blendera i zespołów artystycznych
- Wyłącz „Auto Run Python Scripts” (Preferences → Security/Scripting). Włączaj tylko dla zaufanych plików/ścieżek.
- Włącz „Trusted Source” per-plik zamiast globalnego Auto Run; korzystaj z ostrzeżeń bezpieczeństwa Blendera (prompt przy otwieraniu).
- Otwieraj obce .blend w piaskownicy (VM bez dostępu do przeglądarki/portfeli; brak mapowania folderów profilu). (Dobre praktyki)
- Sprawdzaj zawartość Text Editor w Blenderze – szukaj nietypowych skryptów (np. nietypowy Rig_Ui.py). (Dobre praktyki)
Dla SOC/Blue Team
- Reguły detekcji:
- „Blender.exe → python.exe → powershell.exe” (nietypowe drzewo procesów),
- tworzenie plików .lnk w %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\,
- ruch do domen Cloudflare Workers z nietypowych narzędzi graficznych; koreluj z IOCs z raportu Morphisec.
- Kontrola skryptów: AppLocker/SRPs/WDAC – blokuj PowerShell w trybie pełnym dla procesów Blendera na stacjach artystycznych; egzekwuj Constrained Language Mode dla kont nieuprzywilejowanych. (Dobre praktyki)
- Higiena przeglądarek: wymuszaj passkeys/WebAuthn, menedżery haseł z izolacją, kasowanie tokenów przeglądarki po renderach w VM. (Dobre praktyki)
- Threat intel & hunting: importuj wskaźniki (IP/URL/hashe) z publikacji Morphisec; monitoruj wzorce Pyramid C2.
- Segmentacja stanowisk kreatywnych: odseparuj je od zasobów krytycznych (CI/CD, repo, sekretów); używaj kont bez praw lokalnego admina. (Dobre praktyki)
Różnice / porównania z innymi przypadkami
Nadużywanie automatyzacji w aplikacjach kreatywnych bywało obserwowane (makra, skrypty w plikach projektowych), jednak w Blenderze specyficzna jest łatwość osadzania i autostartu Pythona w .blend. W porównaniu z klasycznymi makrami Office, tutaj barierą jest tylko preferencja Auto Run – gdy zostanie włączona (często „dla wygody”), wektor staje się „kliknij i zainfekuj”. StealC V2 dodatkowo zwiększa ryzyko, bo działa zarówno jako infostealer, jak i loader do kolejnych ładunków.
Podsumowanie / najważniejsze wnioski
- Złośliwe pliki .blend to realny, aktywny wektor ataku na twórców 3D i studia gier/VFX.
- Krytycznym „bezpiecznikiem” jest wyłączenie Auto Run Python Scripts i ścisła higiena pracy z assetami zewnętrznymi.
- Kampania wykorzystuje dojrzały ekosystem kradzieżowy StealC V2 oraz sprytne „legitne” ścieżki wykonania (Python/PowerShell), co utrudnia detekcję bez reguł behawioralnych.
Źródła / bibliografia
- Morphisec: „Thwarts Russian-Linked StealC V2 Campaign Targeting Blender Users via Malicious .blend Files”, 24 listopada 2025 – szczegółowy łańcuch ataku, IOCs, Pyramid C2. (Morphisec)
- Recorded Future News / The Record: „Hackers exploit 3D design software to target game developers, animators”, 26 listopada 2025 – kontekst kampanii i cele. (The Record from Recorded Future)
- Blender Manual: „Scripting & Security – Auto Run Python Scripts” – opis mechanizmów bezpieczeństwa i zaufanych źródeł. (Blender Documentation)
- Picus Security: „StealC v2 Malware Enhances Stealth and Expands Data Theft Features”, 31 maja 2025 – zdolności StealC V2 i profil ofiary/wykluczenia językowe. (picussecurity.com)
- BleepingComputer: „Malicious Blender model files deliver StealC infostealing malware”, 2 dni temu – potwierdzenie łańcucha i nadużycia Auto Run. (BleepingComputer)
