Kampanye malware Emotet telah ada sejak lama. Serangan ini muncul secara berkala dengan berbagai teknik dan varian untuk menyuntikkan malware ke korban. Para penyerang cerdas dan menggunakan teknik yang rumit untuk menghindari deteksi. Di awal tahun 2017, kita melihat kampanye emotet menyebar melalui email yang dilampirkan dalam berkas PDF dan JS. Kali ini, penyebarannya melalui dokumen MS Office Word dengan makro yang sangat tersembunyi di dalamnya.
Rantai serangan
Mekanisme penyebaran kampanye ini adalah email phishing. Email ini menggunakan baris subjek seperti "Faktur", "Detail Pengiriman", "Detail Pengiriman", "Detail Pembayaran", dan sebagainya untuk mengelabui korban agar membuka email tersebut. Email semacam ini memiliki situs pembobol atau phishing yang akan mengunduh dokumen Word. Cara lain adalah dengan melampirkan dokumen langsung di dalam email atau terkadang melampirkan berkas terkompresi yang berisi berkas dokumen.
Analisis Detail Makro
Dokumen Office berbahaya yang disematkan makro. Saat Anda mengeklik Aktifkan Pengeditan, kode makro akan diaktifkan. Kami telah mengambil satu sampel. Dokumen ini memiliki dua makro yang sangat tersembunyi di dalamnya, seperti "prMzoHTQ" & "zdXXRhCd", dan sebuah kode memiliki fungsi Sub AutoOpen() yang menjalankan makro tersebut.
Pada makro pertama "zdXXRhCd", terdapat satu fungsi FAUzvR() yang menerima string sebagai argumen. Pada fase deobfuscation, kami menemukan bahwa terdapat kode sampah yang digunakan untuk melakukan komplikasi dalam membalikkan kode. On Error Resume Next, artinya terdapat kode sampah, jika ada, abaikan saja. Shell digunakan untuk mengeksekusi kode, di sebelah shell terdapat vbkeyP yang berarti huruf "P". Nilai MIqCuXCZPMl, SOznt, dan 4 lainnya adalah parameter yang diteruskan ke fungsi FAUzvR() seperti yang ditunjukkan pada gambar. Nilai-nilai ini dideklarasikan sebagai fungsi pada makro kedua. Motivasi makro kedua adalah menggabungkan string dan mengembalikan nilai ke fungsi FAUzvR() ke makro pertama. Fungsi FAUzvR() membuat objek WScript Shell, mengeksekusi fungsi dengan vbkeyP untuk mendapatkan output di bawah ini.
“PowersHeLL -e KABuAEUAVwAtAG8AYgBKAEUAYwBUACAAIABT……”
Kita mendapatkan perintah PowerShell terakhir seperti yang ditunjukkan pada gambar di bawah.
Saat memeriksa perintah, kami menemukan PowerShell dengan string base64 yang dikodekan. Setelah mendekode string base64, kami mendapatkan output berikut:
Kemudian, skrip Powershell ditampilkan. Isinya berupa string Base64 terkompresi dengan parameter Powershell. Di sini, skrip menggunakan IO.StreamReader untuk menginisialisasi instans baru kelas StreamReader untuk berkas yang ditentukan, dengan pengkodean karakter yang ditentukan. IO.compression.compressionMode mengatur mode kompresi ke Dekompresi. Objek aliran Deflate akan mengalirkan byte yang didekompresi dari MemoryStream. [SySTem.tExt.encodIng]::ASCII diatur ke pengkodean ASCII. REadtOEND() membaca seluruh aliran dan mengembalikan string ASCII yang terdapat di dalamnya.
Untuk deobfuscation skrip kita perlu terlebih dahulu mendekode string dengan base64, kemudian dekompresi kita akan mendapatkan output pada gambar di bawah ini-
Akhirnya kami mendapatkan skrip yang telah di-deobfuscate. Skrip ini berisi daftar URL berbahaya. Skrip tersebut mengunduh malware dari URL dan menghasilkan nama berkas acak dengan memilih antara 1 hingga 994915, lalu menyimpannya di lokasi %temp% sebagai ekstensi .exe. Kemudian, malware akan dieksekusi menggunakan Start-Process.
Kami telah menemukan berbagai cara pengaburan seperti yang ditunjukkan pada gambar di bawah ini.
Analisis Muatan
File payload yang diunduh “{Random_number} .exe ” kemudian dieksekusi dari lokasi %temp%.
Dalam kasus ini, kami menemukan nama payload sebagai “iwamregutilman.exe” . Ini mengubah nama instance-nya dan meluncurkan salinannya dengan nama “wsdquota.exe” dari lokasi “C:\Windows\system32”.
Berkas ini kembali memunculkan contoh baru miliknya sendiri dan menunjukkan aktivitasnya.
Payload yang diunduh memiliki daftar kata yang telah ditentukan sebelumnya. Dengan menggunakan kombinasi 2 kata dari daftar ini, payload akan membuat nama eksekusi salinan mandiri kedua dari lokasi masing-masing. Jika sistemnya 32-bit, maka salinan mandirinya akan dieksekusi dari folder “C:\Windows\System32”, sedangkan jika sistemnya 64-bit, lokasinya adalah “C:\Windows\SysWOW64”.
Berikut ini adalah daftar nama yang disimpan dalam berkas ini.
Dengan menggabungkan kata pertama "wsd" dan kata kedua "quota", maka akan terbentuk nama file "wsdquota.exe".
Contoh pertama dari berkas yang dijatuhkan berisi data terenkripsi yang sangat besar. Data ini akan didekripsi saat runtime dan menulis 2 berkas PE lain ke dalam memori yang dapat digunakan oleh berkas induk untuk proses selanjutnya.
Setelah itu, proses induk memeriksa apakah proses tersebut muncul sendiri atau tidak. Jika tidak, proses tersebut akan membuat satu mutex dan menutup proses induk tersebut, lalu menjalankannya secara individual.
Proses yang dihasilkan akan mencantumkan semua proses yang sedang berjalan dan menyimpannya dalam memori. Setelah itu, proses akan mulai menghitung setiap proses.
Dengan menggunakan fungsi CreateToolhelp32Snapshot , fungsi ini mengambil snapshot dari setiap proses dan thread, heap, serta modul yang digunakan oleh proses-proses tersebut.
Setelah mengambil rincian setiap proses yang berjalan, malware mulai mengenkripsi data dan mengirimkannya ke server jahat dalam permintaan POST.
Karena semua server berbahaya tidak aktif, kami tidak dapat menemukan aktivitas postingan setelah respons malware ini.
Berikut ini adalah daftar URL berbahaya yang ada dalam malware yang mengirimkan permintaan POST ke setiap URL.
IOC
4154619d2075d3f6c9e73bf4cdccdb17 (DOC)
6f86fa7d95fed4472ad03eb77cb6a9a4 (DOC)
2dcf064d40ef8fda90193fb00d306020 (DOC)
8249D414627D3DDE168318C92A63F74A (PE)
7B6E1369FF14E16A4815AE1DB32F0794 (PE)
Statistik Deteksi
Quick Heal telah berhasil mendeteksi email spam yang merupakan vektor awal kampanye Emotet. Ini adalah jenis deteksi khusus yang disediakan oleh Quick Heal untuk mendeteksi kampanye semacam itu.
Berikut statistik deteksi email selama satu bulan terakhir.
Karena Quick Heal mendeteksi vektor awal kampanye Emotet, kami melihat lebih sedikit serangan dari vektor kedua dan ketiga kampanye ini.
Nama Deteksi
- MIME.Emotet.Downloader.31464
- MIME.Emotet.31831
- MIME.Emotet.31617
- MIME.Emotet.31618
- W97M.Emotet.31645
- W97M.Emotet.31769
- X97M.Emotet.32092
- Trojan.Emotet.Y4
- Trojan.Emotet.X4
Kesimpulan
Menyebarkan malware Emotet melalui email spam yang memiliki trik rekayasa sosial untuk melakukan phising kepada pengguna dengan mudah.
Quick Heal memberikan perlindungan berlapis terhadap setiap lapisan kampanye Emotet.
Langkah-langkah keamanan yang harus diikuti
- Jangan membuka tautan apa pun di badan email yang dikirim oleh sumber yang tidak dikenal.
- Jangan mengunduh lampiran yang diterima dari sumber yang tidak tepercaya.
- Selalu aktifkan perlindungan email pada perangkat lunak antivirus Anda.
- Jangan aktifkan 'makro' atau 'mode pengeditan' saat menjalankan dokumen.
Pakar Subyek:
Prashant Tilekar, Aniruddha Dolas, Preksha Saxena, Prakash Galande, Vallabh Chole | Lab Keamanan Pemulihan Cepat
