Utenti Home       Utenti Aziendali       Chi Siamo       Contratto EULA.

Dettaglio news

L'evoluzione di Emotet: in 4 anni si evolve da trojan a complesso distributore di minacce
- GIOVEDÌ 26 LUGLIO 2018


Campagne di diffusione del malware Emotet esistono da molto tempo. Viene diffuso frequentemente a intervalli, con diverse tecniche e versioni in base al tipo di vittima-target. Si distingue per l'uso massiccio di tecniche di offuscamento per evitare l'individuazione da parte degli antivirus. All'inizio del 2017 abbiamo osservato una campagna di distribuzione di Emotet attraverso email contenenti allegati PDF e file JS. In questi giorni invece è in distribuzione tramite documenti di Word Office contenenti una macro altamente offuscata. 

Catena di attacco


Il meccanismo di diffusione nella campagna attuale è l'invio di una mail di phishing. Usa oggetti mail del tipo "Invoice", o "Delivery details", "Shipment details", "Payment details": un piccolo espediente per convincere il destinatario ad aprire la mail per visionarne il contenuto. Queste email rimandano a siti web compromessi o di phishing che scaricano sulla macchina dell'utente un documento Word. Più raramente invece l'allegato viene inviato direttamente assieme alla mail: in quel caso è contenuto in un archivio.


Analisi dettagliata della macro
In questo attacco viene usato come vettore un documento Office contenente una macro che richiede, ovviamente, l'abilitazione per attivarsi. Sotto ne mostriamo un esempio. Il documento in esempio contiene ben due macro altamente offuscate, “prMzoHTQ” w “zdXXRhCd” e un codice di auto esecuzione. 

Nella prima macro, durante la fase di deoffuscamento, abbiamo scoperto che è stato usato molto codice di scarto al solo fine di complicare le operazioni di ingegneria inversa. 

In mezzo a tutto il codice spazzatura, abbiamo individuato lo script PowerShell codificato in base64. Dopo averlo messo in chiaro, ne abbiamo ricavato il seguente codice

Prima e dopo la decriptazione (foto sotto)



Per decriptare lo script però occorrono due passaggi: il primo, ovvero la decodifica della stringa in base64 (vedi sopra), quindi la decompressione dell'output ottenuto. 


Ecco sopra mostrato lo script completamente deoffuscato. Come si può vedere altro non è che una lista di URL dannosi. Lo scirpt scarica il malware da uno di questi URL, lo rinomina usando nomi random e lo salva nella cartella %temp%  con estensione .exe. Infine il malware viene eseguito.

Analisi del Payload
Il payload scaricato [numeri_random].exe viene eseguito dalla cartella %temp%. Nel caso in esempio il nostro payload si chiama “iwamregutilman.exe”. Questo file rinomina la sua istanza e lancia una copia di se stesso dal nome “wsdquota.exe” dalla cartella “C:\Windows\system32”. 

Il flusso di esecuzione. 

Il payload ha una lista predefinita di parole: da questo elenco seleziona 2 parole da combinare con le quali rinominare la seconda copia di se stesso appena creata. Esegue quindi entrambe le copie .exe dalle rispettive location. Il nostro "wsdquota.exe", unisce appunto come prima parola "wsd" e come seconda "quota". Ecco sotto l'elenco completo dei nomi. 


La prima istanza del file copiato contiene una grande quantità di dati criptati: questi vengono decriptati in fase di runtime e scrivono in memoria altri 2 file PE che potranno essere usati per ulteriori processi. Fatto ciò, il processo principale verifica se il processo "secondo" viene generato da solo o meno: in caso contrario genera un mutex, quindi chiude il processo principale e lo esegue come singolo. Il processo appena generato elencherà tutti i processi in esecuzione e li memorizzerà: fatto ciò inizierà l'enumerazione di tutti i processi. 

Individuati, tramite la funzione CreateToolhelp32Snapshot, i dettagli di ogni processo in esecuzione, il malware comincerà a criptare i dati e ad inviarli ad un server dannoso in POST request. 

La richiesta POST

Non tutti i server dannosi sono attivi, quindi non siamo riusciti a individuare l'attività dopo la risposta del malware. Sotto riportiamo l'elenco di URL dannosi presente nel malware, ai quali il malware invia la richiesta POST.


Lista dei Server C&C

Statistiche di individuazione
Quick Heal individua con successo le email di spam che costituiscono il vettore iniziale della campagna di distribuzione di Emotet. Sotto le statistiche di individuazione dell'ultimo mese. 


Nomi di individuazione:
  • MIME.Emotet.Downloader.31464
  • MIME.Emotet.31831
  • MIME.Emotet.31617
  • MIME.Emotet.31618
  • W97M.Emotet.31645
  • W97M.Emotet.31769
  • X97M.Emotet.32092
  • Trojan.Emotet.Y4
  • Trojan.Emotet.X4
Quick Heal individua queste minacce e neutralizza la campagna Emotet grazie alla protezione multi livello che può individuare i malware quando tentano di accede al pc, ma anche quando sono già "entrati" grazie al sistema di individuazione comportamentale. 


Leggi tutte le news     |     Leggi tutti gli update
Ultime news

VENERDÌ 19 OTTOBRE 2018
Hackerati 30 milioni di account Facebook: come sapere se sei tra le vittime
Il mese scorso Facebook ha annunciato la peggiore violazione di sicurezza mai subita, che ha consentito ad un gruppo di sconosciuti cyber attaccanti di rubare i token di ...

leggi tutte le news

Premi e Certificazioni

La qualità dei prodotti Quick Heal vanta innumerevoli premi e certificazioni a testimonianza della sempre crescente importanza del marchi a livello mondiale nel settore Antivirus e sicurezza informatica

Continua a leggere »

Chi siamo
Panoramica
La nostra storia
Premi & Certificazioni
Scheda riepilogativa
Clienti
Dicono di noi
Trova un rivenditore
Manuali e documentazione
Chiedi aiuto
Contatti
Update
Rivenditori
Diventa rivenditore
Strumenti di supporto
Link rapidi
Rinnova ora
File di installazione
Versioni di prova
Supporto
Contratto EULA.
Download Upgrade


S-MART è un marchio di proprietà netWork Sas
P.IVA: 05345670482

© 2018 nwk - Privacy Policy - Cookie Policy - Login