In die afgelope paar maande het ons 'n skielike toename in spiesphishing-aanvalle gesien. Spiesphishing is 'n variasie van 'n phishing-bedrogspul waar hackers 'n geteikende e-pos aan 'n individu stuur wat blykbaar van 'n betroubare bron afkomstig is. In hierdie tipe aanval gebruik die aanvaller sosiale manipulasie-truuks en 'n paar saketransaksies of -transaksies om die eindgebruiker te laat glo dat die e-posboodskap eg is en van 'n bekende persoon of kontak afkomstig is. Die doel van hierdie e-posse, soos enige ander kuberbedrog, is om óf toegang tot die gebruiker se stelsel te verkry óf ander geklassifiseerde inligting te bekom. Spiesphishing word beskou as een van die suksesvolste kuberaanvaltegnieke vanweë die superieure vlak van verpersoonliking wat gebruik word om gebruikers aan te val, wat dit hoogs geloofwaardig maak.
Tegniese besonderhede :
Die toegangspunt vir hierdie infeksieketting is 'n goedaardige e-pos met 'n XLS-lêer as 'n aanhangsel. Die aanhangselname lyk soos belangrike kennisgewings/opdaterings wat verband hou met privaat bedrywighede, regeringsbron. As gevolg hiervan, sal die slagoffer probeer om hierdie tipe aanhangsel oop te maak. Wanneer die ontvanger die XLS-aanhangsel oopmaak, word die gebruiker gevra om makro in Excel te aktiveer.
Fig 1. XLS-lêer (Aktiveer Makro-prompt)
Sodra die gebruiker op die "Aktiveer Makro's"-knoppie klik, word die XLS-lêer oopgemaak vir besigtiging. Een van die aanhangsels wat ons verder ontleed het, het twee gebruikersvorms met verskillende name en 'n module met die bronkode van die makro bevat. Die eerste vorm, "WsHAfi Box", bevat data in desimale vorm.
Fig 2. Vorm “WsHAfi Box” in makro
Nadat ons hierdie vorm verder ontleed het, het ons gevind dat die vervanging van die apostrof (') met 'n spasie ons data in die desimale formaat gee. Ons het die desimale data na ASCII omgeskakel om 'n Zip-lêer te kry. Hierdie zip-lêer bevat die werklike wanware-vrag. Hier is die skermkiekies van die oorspronklike vormdata, data in desimale vorm en data in die zip-lêer.
Fig 3. Stappe om by die zip-lêer uit te kom.
Uitvoering begin vanaf Module1 met behulp van die Sub userHafizaiLoadr() funksie. In die "WsHAfi Box" gebruikersvorm word een veranderlike genaamd ByteArray geskep en data van die "WsHAfi Box" gebruikersvorm na hierdie veranderlike gekopieer, wat verder gebruik word om 'n zip-lêer in die "C:\Users\Documents" vouer te skep.
Fig 4. userHafizaiLoadr() funksie
Om die inhoud van hierdie zip-lêer te onttrek, word die Sub unHafizaizip()-funksie gebruik. Laastens word die vrag ("dtiardhues.exe") uitgevoer met behulp van die Shell-opdrag.
Fig 5. Uitvoerbare lêer met loonvrag wat op 'n voorafbepaalde plek geplaas is
Soos ons waargeneem het, verskil die inhoud van hierdie uitvoerbare lêer vir verskillende Windows NT-weergawes (soos 6.1 vir Windows 7, 6.2 vir Windows 8 en 6.3 vir Windows 8.1). Die vrag, dtiardhues.exe, is 'n afstandtoegang-trojaan. Dit word outomaties uitgevoer sonder 'n gebruiker se ingryping en koppel aan 'n afstand-CnC-bediener. Sodra die slagoffergasheer aan die CnC-bediener koppel, wag dit vir verdere opdragte daarvan. Ons het opgemerk dat hierdie CnC-bediener 'n wye lys opdragte vir data-insameling en eksfiltrering ondersteun.
Fig 6. Opdragte ontvang van CnC-bediener
Aanvanklik versamel hierdie CnC-bediener inligting van die slagoffergasheer soos gasheernaam, gebruikersnaam, bedryfstelselweergawe, IP, naam van antivirussagteware, indien enige, ens. Dit versamel ook inligting oor die huidige lopende prosesse van die slagoffergasheer en beveel dan die slagoffergasheer om al die versamelde data te eksfiltreer.
Ons het die CnC-bediener se kommunikasie deur verskillende slagoffergashere ontleed en kon die volgende bevele wat gebruik is en hul funksionaliteit identifiseer.
| opdrag | beskrywing | opdrag | beskrywing |
| inligting | dit stuur masjieninligting (gasheernaam, gebruiker, antivirus). | dirs | stuur lys van aandrywers in die stelsel |
| kliep | vasgestelde tyd | cskerm | neem en stuur skermkiekie |
| vldr | stuur lys van lêers | vlies | soek lêer op skyf. |
| filsz | grootte van lêer | delt | verwyder lêer |
| prokl | lys van prosesse | hardloop | voer uitvoerbare lêer uit |
| lysf | soek vir lêer | afile | eksfiltreer lêer na bediener |
| cnls | kanselleer funksionaliteit | eindpunt | eindproses |
Fig 7. CnC Kommunikasieverkeer
IOK se-
Gevolgtrekking:
Alhoewel dit vir 'n eindgebruiker nie moeilik is om Spear Phishing-e-posse te identifiseer nie, kan 'n mens altyd versigtig wees wanneer jy enige e-posaanhangsel oopmaak. Gebruikers moet die volgende punte oorweeg voordat hulle enige e-posaanhangsel oopmaak:
- Verifieer die sender se e-posadres
- Moenie verlei word deur gratis goedjies wat in die e-pos se onderwerp of liggaam genoem word nie
- Moenie op enige skakel vanaf die pos se liggaam klik nie.
- Maak die Office-dokumentlêers oop in Leesalleen-modus; moenie die makro's by verstek aktiveer nie.
Vinnige genesing en Seqrite ondernemingsekuriteit oplossings beskerm sy gebruikers teen sulke kwaadwillige e-posaanhangsels en kan ook help om kommunikasie op afstand met die Command and Control-bediener te identifiseer. Onthou dus om die eindpuntsekuriteitsoplossings altyd op datum te hou.
Onderwerpkundige:
Prashant Tilekar, Anjali Raut | Quick Heal Sekuriteit Labs
