Matumizi ya barua pepe za Ulaghai sio mpya kwa shambulio la cyber na bado ni moja wapo ya mikakati ya kutofautisha mashine ya wahasiriwa. Wahalifu wa cyber huwashawishi waathiriwa kufungua viambatisho vya barua pepe (faili nyingi za Doc na XLS) kwa kuzifanya zionekane kama muhimu kwa kutumia maneno kama ankara, malipo, fedha, kuagiza nk.
Muhtasari:
Katika shambulio hili, mshambuliaji kwanza hutuma barua pepe ya ulaghai iliyojificha kama muhimu na ikiwa na hati ya excel kama kiambatisho. Hapa kuna barua pepe ya ulaghai ambayo ilifuatiliwa wakati wa utafiti huu.
Mtini.1: Barua pepe ya hadaa na faili bora kama kiambatisho
Juu ya kufungua hati hii bora, inamwuliza mwathirika "kuwezesha yaliyomo jumla" kutekeleza nambari mbaya ya VBA ya nyuma kwa nyuma.
Mtini.2: Kuomba haraka ili kuwezesha Macros
Kumekuwa na ongezeko la matumizi ya makro ya VBA katika mashambulizi ya Phishing na mwelekeo huu si mpya. Kuna njia za kugundua shambulio hili kwa urahisi. Kwa hivyo washambuliaji wamebadilisha mbinu yao ya unyonyaji na wanatumia makro ya Excel 4.0 siku hizi.
Mbinu ya Excel 4.0 Macro ni ya zamani lakini bado ni bora kwani matoleo yote ya Excel yanaweza kuendesha macros ya Excel 4.0. Kwa mbinu hii, macros hazihifadhiwa kwenye mradi wa VBA, lakini huwekwa ndani ya seli za lahajedwali iliyo na kazi kama Exec (), Halt (), Auto_Open () nk Ili kudanganya mwathirika, washambuliaji huongeza sehemu ya kujificha ya lahajedwali na duka. macros ndani yake.
Ifuatayo ni mfano unaoonyesha nambari halisi ya macro imefichwa ndani ya karatasi lingine bora na kutumia chaguo mbaya ambalo karatasi inaweza kuonekana kama inavyoonyeshwa kwenye Mtini 3.
Mtini.3: Karatasi ya Kuondoa Excel
Chini ya takwimu inaonyesha nambari halisi na mtiririko wa utekelezaji.
Mtini.4: Utekelezaji wa Nambari ya Macro
Auto_Open () ni kazi inayotumika kutekeleza nambari mara tu kitabu cha kazi kitafunguliwa.
Tunaweza kuona katika Mchoro 4, kitendakazi cha Auto_Open kitatekeleza Macro1() ambayo ina maana kwamba utekelezaji wa msimbo utaanza kutoka Safu ya 4 ambayo ni Macro1. Baada ya hapo, itaita Macro2 (hatua ya 2) na kisha maagizo yanayofuata ambayo ni 33 (kwenye Safu ya 14) yatatekelezwa. Katika hatua ya 3, upakiaji wa awamu ya 1 unapakuliwa kwenye folda ya %temp% kwa kutumia mchakato wa msiexec.exe kama inavyoonyeshwa kwenye Mchoro 5.
Ingawa msiexec.exe ni mchakato halali wa Microsoft, ni mojawapo ya vipengele vya binary kutoka kwa kuishi katika ardhi ambayo ni ya Kipengele cha Kisakinishi cha Windows. Wadukuzi wanatumia mchakato huu kupakua mzigo kwani suluhisho nyingi za usalama huchukulia huu kama mchakato ulioidhinishwa ambao hufanya iwe vigumu kugundua kwa kutumia mbinu ya kugundua tabia.
Mchoro wa 5: Upakuaji wa Mzigo wa Hatua ya 1
Uchambuzi unaoweza kutekelezwa:
Baada ya kupakua mzigo wa malipo, msiexec.exe pia ina jukumu la kutekeleza mzigo wa malipo na kufanya shughuli zaidi. Mzigo wa malipo wa hatua ya 1 ni kitoneshi tu kinachotumika kudondosha faili nyingi kwenye folda ya %temp% . Hatimaye, hudondosha faili ya .dll ambayo hufanya kazi kama mzigo wa malipo wa hatua ya mwisho na hutumika kufanya shughuli zingine mbaya.
Upakiaji wa hatua ya mwisho unafanywa na Rundll32.exe na hoja ya jina la kazi kama "sega". Huanza kukusanya habari ya mfumo kama vile idadi ya kazi zinazoendesha, kitambulisho cha mfumo, mtumiaji ni sehemu ya kikoa au la, tumia usafirishaji n.k.
Mtini.6: Mtiririko wa Mashtaka wa Utekelezaji
Mzigo wa mwisho huondoa hati ya PowerShell ambayo ina jukumu la kuangalia kama mtumiaji ni sehemu ya kikoa au la. Hati ya PowerShell iliyoachwa huhifadhiwa katika eneo la %temp% katika umbizo lililofichwa.
Baada ya kukusanya habari inayotakiwa kutoka kwa mashine ya mhasiriwa, upakiaji huanza kuweka data ya kusimba kwa kutumia usimbuaji rahisi wa URL na hutuma data kwa kutumia njia ya POST kwa seva yake ya C2
Mtini. 7: Tuma data kwa kutumia njia ya POST
Hapa kuna picha ya skrini ya data iliyopangwa:
Kielelezo. 8: data iliyopambwa
C2 Server hujibu kwa amri baada ya kupata maelezo.
Kulingana na jibu, mzigo wa malipo hufanya kitendo kwenye mashine ya mwathiriwa inapotekeleza net.exe kwa amri ya " mtumiaji wa wavuti / kikoa " na kukusanya taarifa na kuzituma tena kwenye seva ya C2.
Baadhi ya kazi zifuatazo hutumiwa wakati wa kutuma data kwa seva ya C2.
Mtini. 9: C2 API ya mawasiliano ya API
Upakiaji huu wa malipo pia huunda bubu ya ulimwengu kutekeleza mzigo wa kulipwa kwa tukio moja tu.
Mtini. 10: Unda kimfumo wa kidunia
Kusudi kuu la programu hasidi ni kuunda nyuma ambayo inaweza kutumika kuiba data ya mfumo na ikiwa mfumo uko katika uwanja, inaweza kufanya harakati za baadaye kuunda mtandao wa nyuma.
Hitimisho:
Matumizi ya mbinu za uhandisi wa kijamii ili kuhatarisha mwathiriwa ni njia ya kawaida na wavamizi daima hubadilisha mbinu zao ili kukwepa ugunduzi wa AV kwa kutumia mawazo mapya kama Excel 4.0 macro na mchakato wa windows halisi kama vile msiexec.exe. Uponyaji wa haraka na Seqrite suluhisho za usalama wa biashara kulinda watumiaji wake kutokana na viambatisho hivyo vya barua pepe hasidi na inaweza pia kusaidia katika kutambua mawasiliano ya seva ya Amri na Udhibiti ya mbali. Kwa hivyo, kumbuka kuweka suluhisho za usalama za mwisho inasasishwa kila wakati.
IOC:
78EA9835C2D7F6760315EA043807B8C8
34B769FA431AC1945BE9CC33D4CC2426
DDAE8B7AA9A93CE17610EB063F5838CE
6675C63A2534FD65B3B2DA751F2B393F
Mtaalam wa Mada:
Anjali Raut, Aniruddha Dolas
