_{Fig. 8 - Verificação de antivírus}

Verificação de VM e BIOS

_{Fig. 9 - Verificação de VM e BIOS}

Verificação do sistema operacional e idioma do OS

_{Fig. 10 - Verificação do sistema operacional e idioma do OS}

_{Fig. 11 - Verificação do sistema operacional e idioma do OS (continuação)}

Se todos os critérios acima forem atendidos, ele cria uma pasta na rede HOMEDRIVE e baixa o executável AutoIt e o script codificado na pasta, criando um atalho para essa pasta na inicialização:

_{Fig 12 - Executável AutoIT}

A imagem acima mostra três URLs, que ao serem acessadas, soltam arquivos em uma localização de rede do sistema:

Hxxps://45[.]40.96.231/AutoIt3 – Script AutoIt
Hxxps://45[.]40.96.231/AutoIt3.exe – Executável AutoIt
Hxxps://45[.]40.96.231/jama1crt – Algum arquivo de dependência responsável pela atividade maliciosa

A partir daqui, cria um atalho que é executado na inicialização:

_{Fig. 13 - Atalho executa na inicialização}

Script AutoIt codificado e decodificado e análise:

_{Fig. 14 - AutoIt encoded header (see top left)}

Script Decodificado

O script decodificado é grande com muitas verificações, principalmente realizando injeção de processos na memória. Uma parte do script decodificado mostra a injeção em um arquivo PE que começa com o cabeçalho 0x4D5A para arquivo Executável, seguido por uma conversão BinaryToString do código hexadecimal responsável por carregar DLL na memória e invocar sua função exportada:

_{Fig. 15 - Script Decodificado}

Ao executar o arquivo codificado AutoIt e o autoit.exe junto com o arquivo de dependência jama1crt mencionado acima, é gerado um arquivo de despejo de memória. Ao analisar estaticamente o arquivo de despejo de memória, descobrimos que ele novamente continha um arquivo AutoIt incorporado:

_{Fig. 16 - Arquivo de despejo de memória contém AutoIt}

Este script codificado realiza o restante da injeção na memória utilizando processos como ALLOCATEEXESPACE, UNMAPVIEWSECTION, ALLOCATEEXESPACEATADDRESS e injeta código malicioso em um dos processos legítimos da Microsoft, mobsync.exe:

_{Fig. 17 - Injeção de código malicioso no mobsync}

_{Fig. 18 - Injeção de código malicioso no mobsync (continuação)}

Alguns comportamentos importantes realizados pelo malware que vale a pena notar: 1) Verifica o idioma e a localização do sistema 2) Adiciona informações do processador ao registro para detectar sandboxing e 3) Verifica informações do sistema

Após a execução e a injeção maliciosa no mobsync.exe, ele se conecta a C2s maliciosos fornecendo informações importantes, como Nome do Computador, Informações do Sistema, Detalhes do Usuário e do administrador, e outras informações importantes.

Conclusão:

O malware é distribuído através de URLs geo-restritas incorporadas no e-mail, com o principal objetivo de roubar as credenciais do sistema da vítima ao infectar o sistema da vítima com injeção de processos usando o script e ferramentas AutoIt. As URLs funcionam principalmente nas regiões da América do Norte e América do Sul com a intenção de roubar informações bancárias e atuar como trojans bancários ou infostealers.

Uma vez acessada a partir do e-mail, a URL baixa um arquivo de arquivo que contém um arquivo .HTA. O arquivo HTA então se conecta a uma URL maliciosa e realiza uma série de atividades, incluindo a navegação de JS codificado através do navegador. Posteriormente, resulta na liberação do script AutoIt, executável e payload de dependência.

Quando todos são executados juntos, eles realizam injeção de processos na memória do sistema. Sendo evasivo por natureza, o arquivo executa verificações no idioma do sistema, localização e outras variáveis de ambiente. Após a execução bem-sucedida, ele se conecta a C2s maliciosos fornecendo informações sensíveis aos atacantes.

Informações Adicionais:

Durante o trabalho na campanha, foi observado que, além de seguir o padrão mencionado anteriormente, também rouba informações ativamente por técnicas de phishing e diretamente ao liberar executáveis em arquivo de arquivo.

Declaração de Proteção

Os clientes da Forcepoint estão protegidos contra esta ameaça nas seguintes etapas do ataque:

Etapa 2 (Isca) – Entregue via URL armada incorporada em um e-mail. E-mails e URLs incorporadas são bloqueados por análises de e-mail, análises da web, respectivamente, e Análises de Segurança em Tempo Real.
Etapa 3 (Redirecionamento) – Redirecionamentos identificados para baixar vários payloads são categorizados e bloqueados sob classificação de segurança.
Etapa 5 (Arquivo Dropper) – Os arquivos dropper são adicionados ao banco de dados de malware da Forcepoint e são bloqueados.
Etapa 6 (Call to Action) – O malware entra em contato com servidores de comando e controle (C&C) para fornecer dados sensíveis do usuário, que são categorizados e bloqueados sob classificação de segurança.

Indicadores de Compromisso:

Padrão de URL inicial	https:\/\/\d{2,3}\.\d{2,3}\.\d{2,3}\.\d{2,3}\.host\.secureserver\.net
Arquivos HTA	37768083ff57e77850667394e0d27e8717e3eb35 c76eff517bd7c5e6d1f8ede73e9d260195e42c42 354b48288f2cc0eeefef2011e5ab38a7cb20fbf7 70ebed2ed13a350e59faa5c254ee099e2653c61e d3402ca43a7ebf6f2b944bf83e62261312761c53
Arquivo VBS	8ae1dfa8e9544c0b9a6079aa18708f5fe5a82ee5 4114fb23a7211f0721f87947e8b5b5258f5ed47a 8655717e2a3ced90d352a7faf2586a73cefea7d8
JScript Ofuscado	e156707c3ee3c40ca64f66447c5e36de3ae90eba
Script AutoIt	c1e2c1fddec0ed9676ed8ce38dbaf2006b50a31e
URLs	hxxp://45.40.96[.]231/AutoIt3 hxxp://45.40.96[.]231/AutoIt3.exe hxxp://45.40.96[.]231/jama1crt hxxps://www.rekemchiwdnas.com\/jm1 hxxps:// 198.148.167[.]72.host.secureserver.net/OQQst11/gV7Pus771.js hxxps://198.148.167[.]72.host.secureserver.net/ VFb51.vbs
C2s	www.rekemchiwdnas[.]com jpmorgan-fisrt.homelinux[.]com

Financial Services Blogs & Insights

Reinventando o Risco e a Conformidade para Serviços Financeiros

Lionel Menchaca

Perigos Ocultos por Trás de URLs Evasivos do Secureserver.net

Prashant Kumar

Reinventing Risk and Compliance for Financial Services

Lionel Menchaca

Unseen Dangers Lurking Behind Evasive Secureserver.net URLs

Prashant Kumar