Emotet ist dafür bekannt, seine Schadsoftware und Infektionswege – wie Spam-Mails, schädliche Dokumente und sogar schädliche JavaScript-Dateien – ständig zu ändern . Es hat eine sehr hohe Anzahl von Websites im Internet kompromittiert. Die Emotet- Malware-Kampagne existiert seit 2014. Sie tritt in regelmäßigen Abständen mit verschiedenen Techniken und Varianten auf, um Schadsoftware auf den Rechnern der Opfer zu installieren. Die meisten Websites sind seriös, werden aber auf irgendeine Weise dazu verleitet, Emotet zu verbreiten. Dieses Mal wurde jedoch beobachtet, dass einige dieser Websites zeitweise die GandCrab-Ransomware Version 5.1 verbreiteten.
Die Schadsoftware wurde mithilfe eines VBA-Makros über ein manipuliertes Dokument auf den Computer des Opfers heruntergeladen. Das PowerShell-Skript des Makros stellte eine Verbindung zur kompromittierten Website her und lud die GandCrab-Ransomware von der angegebenen URL herunter. Es wurde festgestellt, dass dieselbe Website auch in anderen Schadsoftware-Kampagnen verwendet wurde und im Laufe der Zeit unterschiedliche Zwecke erfüllte.
Infektionsvektor:
Technische Analyse:
Die Microsoft Office-Dokumentdatei hieß „Dringende Mitteilung.doc“ und enthielt nur den Text „Dringende Mitteilung“.
Nach dem Öffnen der Datei werden Sie aufgefordert, Makros zu aktivieren, um Downloadaufgaben auszuführen.
Macro:
Das bösartige Makro enthielt drei Module und ein Formular. Das Formular mit dem Namen „f“ enthält die verschleierten PowerShell-Daten und drei Module mit zufälligen Namen wie cBbOFw, BJXTRQZOY und lC3gFL3m enthalten Code zum Ausführen des entschleierten PowerShell-Skripts.
Bilden:
Dies kann entschleiert werden, indem man einfach „5820.5840869546“ durch Null ersetzt (d. h. „5820.5840869546“ aus der Zeichenfolge entfernt).
Ausgang:
Dieser Ausgabe werden die ersten drei Zeichen „P“, „o“ und „w“ vorangestellt, wobei Variablen am Anfang verwendet werden. Dies bildet also das Anfangswort von PowerShell, das dann von der Funktion love() verwendet und ausgeführt wird, um die Nutzlast herunterzuladen und zu starten.
Nach der Ausführung dieses PowerShell-Skripts wurde putty.exe, die GandCrab-Nutzlast, in das Verzeichnis „C:\Windows\Temp“ des Computers des Opfers heruntergeladen und ausgeführt.
GandCrab Nutzlast:
Bei der Ausführung verschlüsselte es alle Dateien und zeigte das GandCrab-Hintergrundbild an. Aus der Lösegeldforderung geht hervor, dass es sich bei der Nutzlast um die Ransomware GandCrab V 5.1 handelte.
GandCrab spürt Antivirenprozesse auf dem Rechner des Opfers auf und versucht, weitere laufende Prozesse wie SQL-Datenbankserver zu beenden, um die Verschlüsselung wichtiger Dateien zu gewährleisten. Anschließend verschlüsselt GandCrab alle Dateien mit dem Salsa20-Verschlüsselungsalgorithmus. Der zugehörige Salsa20-Schlüssel wird mit RSA-2048 verschlüsselt und an die Datei angehängt. Ohne den privaten Schlüssel ist eine Entschlüsselung der Daten nicht möglich. GandCrab erfasst alle benutzerbezogenen Daten wie Benutzername, Computername, Arbeitsgruppe und IP-Adresse. Diese Daten werden mit dem RC4-Verschlüsselungsalgorithmus verschlüsselt und an den Command-and-Control-Server (C&C-Server) gesendet.
Die Ransomware GandCrab v5 hat begonnen, die ALPC-Sicherheitslücke im Taskplaner auszunutzen, um Systemrechte auf einem infizierten Computer zu erlangen.
Nach der Verschlüsselung werden 700 US-Dollar in Dash/Bitcoin verlangt. Zusätzlich fallen 10 % Gebühren für Miner-Gebühren/Provisionen an. In der Vergangenheit wurde dem Opfer, wenn es nicht in der Lage war, das volle Lösegeld zu zahlen, ein Rabatt für die Entschlüsselung der Dateien angeboten.
Es fällt auf, dass GandCrab letztendlich versucht, Verbindungen zu einer bestimmten Anzahl kompromittierter Domains herzustellen, die einen bestimmten URL-Formatierungsalgorithmus verwenden, wie bereits erläutert . Dieses Verhalten weist Ähnlichkeiten mit der Emotet-Kampagne auf.
Nach einigen Stunden begann dieselbe Domain, pornografische Phishing-Inhalte bereitzustellen.
Indikator für Kompromisse:
Doc File (Urgent notice.doc): 64F3F3CC1E121B295DA1FF74CC180473
Exe File (Putty.exe): 5B1B6AF59E29D9A2AA120277CAB14D0C
Achtung
- Öffnen Sie keine E-Mails von unbekannten Quellen.
- Laden Sie keine Anhänge herunter, die Sie von einer nicht vertrauenswürdigen Quelle erhalten haben.
- Überprüfen Sie die E-Mail-ID des Absenders, bevor Sie auf in der E-Mail angegebene URLs klicken.
- Aktivieren Sie den Makro-/Bearbeitungsmodus nicht standardmäßig.
Wir empfehlen unseren Nutzern, die neuesten Microsoft-Updatepakete zu installieren und ihren Virenschutz mit aktivem E-Mail-Schutz auf dem neuesten Stand zu halten .
Fachexperten
Jayesh Kulkarni, Amit Gadhave | Quick Heal Security Labs
