2019/06/03（月） 添付ファイル付不審メール（ursnif(B)/Dreambot）の調査

簡易版です。

■日時
2019/06/03 8:00-

■件名
Fw:

■送信者
Haruto Watanabe
※偽装されたものであり、メールアドレスは様々

■本文
「この度は、楽天市場 をご利用いただきまして誠にありがとうございます。
運送状況を、お知らせ致します。
ご注文番号：156967479
----------------------------------------------------
運送会社：佐川急便
詳細状況は添付資料にて送りますので、ご確認ください
Haruto Watanabe
+81 (ランダムな9桁の数字)」

■添付ファイル
doc.doc.js
https://app.any.run/tasks/09c0bd11-864d-41d5-85b2-9344baa1d360/
https://www.virustotal.com/gui/file/02638eda5874939a760e16e51e1645008b71eec3dc0311df98ed2049bfecc6e3/detection
https://app.any.run/tasks/09c0bd11-864d-41d5-85b2-9344baa1d360/

その他、複数のファイル名とハッシュ値が存在する
参考：https://www.daj.jp/bs/d-alert/bref/?bid=27&year=2019&month=6

添付ファイル名：
1.zip
doc.doc.zip
doc.zip
document.zip
kaku.zip
New document.doc.zip
New document.zip
new.zip
1.rar
doc.rar
document.rar
kaku.rar
New document.rar

添付ファイルハッシュ値：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■通信先
・ダウンロード先
hxxp://big-partynew[.]ru/1.doc
https://www.virustotal.com/gui/file/ff2aa9bd3b9b3525bae0832d1e2b7c6dfb988dc7add310088609872ad9a7e714/detection
※不正送金マルウェアのursnifの実行ファイル（拡張子偽装）です。

・C2
hxxp://11totalzaelooop11[.]club/jd/t32.bin (t64.bin) ※IP未割り当て
hxxp://adonis-medicine[.]at/images/…

・ursnifパラメータ
version=217068
id=1002

2019/05/30（木） 添付ファイル付不審メール（bebloh,ursnif(A)）の調査

久しぶりに、1週間に二度、bebloh->ursnifの不正送金マルウェアへの感染を狙ったメールのばらまきを観測しました。
先週にはメールのばらまきがなかった反動かもしれません。
今回は2種類の件名、3種類の添付ファイルがありますが、どれも同じ通信先へ接続します。

■日時
2019/05/30(木)

○15:00頃-
■件名
FW: 【（株) . 】
FW: 【重要連絡】
お支払案内書
5/30送り状Ｎｏ報告
5月請求書の件
0nnnn発注分

■添付ファイル
請求書_00nnnnn.xls
※nnnnnは数字5桁
https://www.virustotal.com/#/file/6f1bcd419a827a9dbdbfef3dfd228d75fdb9844a58f62c9d7a1584dbfb18046a/details

○16:00頃-
■件名
申請書類の提出

■添付ファイル
D O C 00nnnn nnnn2019nnnnn.xls
https://www.virustotal.com/#/file/75d36c18778804666ea78c47498ea7e4e29e788d36866bcbd35db32d64ba2fc5/details

○17:20頃-
■件名
FW: 【（株) . 】
FW: 【重要連絡】
お支払案内書
5/30送り状Ｎｏ報告
5月請求書の件
0nnnn発注分

■添付ファイル
30052019nnnnnnnn.xls
※nnnnnは数字8桁
https://www.virustotal.com/#/file/042af9f28133aedbd4cb819eec856ccfb9efcf25976aac3ff479d589d9db26bf/details

添付ファイルのExcelにはマクロが付いており、外部からマルウェアをダウンロードしてくるダウンローダです。

通信先は以下です。

■通信先(ダウンローダ通信先)
hxxps://berdiset[.]top/uploads/QuotaManager
※ダウンローダ型マルウェアbeblohの実行ファイル(.exe) 
端末上ではOutlooksrss.exeとして実行されます。

ダウンロードした日により、hashは異なります。
・2019/05/30
https://www.virustotal.com/#/file/79fca0988013c19b6bff7d664a033a454e447c3efffebff72a8f913cadd246be/details
・2019/05/31
https://www.virustotal.com/#/file/07c7ec61d9e4fe3af22a80fa206a019ed490aa37a1c1f6c46c3563701adc0510/details

■通信先(bebloh C2)
hxxps://berdiset[.]top/
C2への通信は以下のように出ます。通信先のパスは/auth/配下はランダムです。

■通信先(bebloh取得ファイル)
beblohにより、以下のファイルがダウンロードされます。
・2019/05/30
hxxp://berdiset.top/uploads/orders.rar
・2019/05/31
hxxps://berdiset.top/uploads/tao.zip
※どちらも圧縮ファイルや実行ファイルではない
　beblohはこれを利用し、不正送金マルウェアursnifを作成、感染させます。
beblohからダウンロードの命令が来る場合は以下のようになります。

参考：bebloh(URLZone)の詳細についてはあゆむ(@AES256bit)さんの以下の記事を参考にしています。
http://aes256bit.hatenablog.com/entry/2019/04/09/073259

■ursnif
beblohにより不正送金マルウェアursnifが作成されます。
なお、作成されるマルウェアは環境によりタイムスタンプが異なるためハッシュが異なります。
以下3つのursnifはそれぞれ同じ環境上で別の時刻で作成されたものです。どれもタイムスタンプが異なるのみで、その他の部分は同一です。
https://www.virustotal.com/#/file/93016ae82d67bc8ea3d89958104d6f2024f317cbb8a272fcb628f19914b00b73/detection
https://www.virustotal.com/#/file/7887cc4d577a1559525b30466cd3a31737dbaedf07968328f244d09e7d0d329c/detection
https://www.virustotal.com/#/file/1eca399763808be89d2e58e1b5e242324d60e16c0f3b5012b0070499ab482510/detection
https://app.any.run/tasks/633b6072-a15c-407d-a070-28db2679dc0d/

■ursnif C2
hxxps://paderson.top/

■ursnifコンフィグ
コンフィグは以下です。
・Serpent Key: CBA17F7E892431A1
・Bot version: 3.00.05.4
・Botnet id=1000
・C2 Domain: pilodirsob.com
・C2 server ID: 12
・Soft: 1
（参考）https://pastebin.com/CTeH9XZP

■ursnifの永続化
ursnifは再起動後も動作するよう、以下に設定を残します。
環境により保存先フォルダ名、ファイル名は異なります。
また、設定は通常時は存在せず、PCのシャットダウン処理中にファイルとレジストリキーが作成されます。PCが起動しursnifが自動実行された後にはファイルとレジストリキーは削除されます。

■プロセスの動き
Excel -> wmic.exe -> wmiprvse.exe -> PowerShell.exe -> bebloh.exe -> bebloh.exe(コピー) -> explorer.exe(32bit)(bebloh感染) -> cmd,exe -> chcp.exe , wmic.exe -> ursnif.exe -> ursnif.exe(コピー) -> explorer.exe(64bit) -> explorer.exe(インジェクション)(ursnif感染) -> cmd.exe , systeminfo.exe , net.exe , nslookup.exe , tasklist.exe , driverquery.exe , reg.exe , reg.exe , makecab.exe

■通信先一覧
通信先はbeblohと(bebloh感染後のnet確認のgoogleと)ursnifのC2です。
なお、この日からC2通信先のドメインがこれまでの.comから.topに変わりました。

■マルウェア感染有無の確認
C2サーバへの通信がないか、確認します。ursnifのC2へのアクセスは/images/配下のパスで.gif、.jpeg、.pngへのアクセスになります。
また、ursnifは一定時間毎に%Temp%配下のフォルダ（通常C:\Users\(UserName)\AppData\Local\Temp）にランダムな4桁.binというファイルを作ります。インターネットに接続しない状態でそういったファイルが作られないか確認します。

■マルウェアの無害化
・bebloh
添付ファイルを開き、beblohに感染した場合には、端末を再起動することでマルウェアの感染を駆除することが可能です。
これは、beblohがexplorerにインジェクションするのみでPCに永続化する仕組みを使用しないためです。

・ursnif
ursnifに感染した場合には、セーフモードでPCを再起動し、自動起動のレジストリ「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion」の削除とその値に存在するexeファイルの削除が必要になります。
これは、ursnifは感染中はexplorer.exeにインジェクションしてメモリ上のみに存在しており、ファイルとしては現れないためです。
そのため、乱暴にやるので構わなければ、Explorer.exeを強制終了するか、またはPCを電源ボタン長押し等で強制終了することで、感染を停止させることが可能です。

以上

2019/05/27（月） 添付ファイル付不審メール（bebloh,ursnif(A)）の調査

5/7から20日ぶりにbebloh->ursnifへの感染を狙ったバラマキメールを観測しました。
今回は3種類の件名、添付ファイルがありますが、どれも同じ通信先へ接続します。

■日時
2019/05/27(月)

○16:00頃-
■件名
FW: 【再送】2019/2
【仮版下送付】
【電話未確認】
(※)2019ご請求の件
(※)指定請求書
(※)注文書、請書及び請求書のご送付
(※)はなし、-、Fw:、Fwd:、Re:、RE:のどれか

■添付ファイル
5.(nnnnn)-nnnnn.xls
※nnnnnはそれぞれ数字5桁となります。
https://www.virustotal.com/#/file/531f1134ab8e3cdab18c02af57cd6e64843e696dece9aef0aa88910f3914b0c7/detection
https://app.any.run/tasks/369bfef9-226f-44d4-8f37-b21efce10e31/

○17:10頃-
■件名
修正版
出荷明細添付
紙看板送付の件
券類発注書
(修正依頼）
発注分　追加

■添付ファイル
D O C N.nnnnnn 2019_05.XLS
※nnnnnnは数字6桁
https://www.virustotal.com/#/file/cb0b8a2c1ca33d89a2181e58a0948bd88f478a39af45d0b54c53913cd89a5aba/details

○19:10-
■件名
写真添付
写真送付の件

■添付ファイル
2019_nnnnn_mmmmm.xls
※nnnnn,mmmmmは数字2-5桁
https://www.virustotal.com/#/file/da8ed41834d775e686ce129518e23b9e5f6fb74dc0a55f66d2242862566a3cf0/details

添付ファイルにはマクロが付いており、外部からマルウェアをダウンロードしてくるダウンローダです。
通信先は以下です。

■通信先
hxxps://paterdonga[.]com/uploads/HelpPaneS
※exe形式のbebloh
　2019/05/07ではステガノグラフィからDLL版のbeblohを作成していましたが、再び直接exe形式のbeblohをダウンロードするように動作が変わりました。

https://www.virustotal.com/#/file/6d0728bb6e334f39e683f192d8e2c56b4b13f301263f8b33483c5be038145a65/details
https://www.virustotal.com/#/file/c992a52900003887c978ef4de356678990a8e9182902aa58f28d602ac95a8408/details
ダウンロードした日により、hashは異なりました。1つ目：2019/05/27。2つ目：2019/05/28。

■通信先(bebloh C2)
hxxps://paterdonga[.]com/
C2への通信は、以下のように出ます。通信先のパスは/auth/配下はランダムです。

■通信先(beblohが取得するファイル)
beblohにより、以下のファイルがダウンロードされます。
・2019/05/27時点
hxxps://paterdonga[.]com/uploads/sales.rar
・2019/05/28時点
hxxps://paterdonga[.]com/uploads/sony.rar
※どちらも圧縮ファイルや実行ファイルではない
　beblohはこれを利用し、不正送金マルウェアursnifを作成、感染させます。

beblohからダウンロードの命令が来ない場合は以下のような命令です。

beblohからダウンロードの命令が来る場合は以下のような命令です。

参考：bebloh(URLZone)の詳細についてはあゆむ(@AES256bit)さんの以下の記事を参考にしています。
http://aes256bit.hatenablog.com/entry/2019/04/09/073259

■ursnif(サンプル)
beblohにより作成されるursnifはタイムスタンプが異なるため環境によりハッシュが異なります。
https://www.virustotal.com/#/file/7564942346e166ff21e2e4cb7a07a290b2e3418e639645f17b9ea0d7d7ba5cc4/details
https://app.any.run/tasks/6594fccd-dcfa-41ac-ab44-89b0670ca198/

・version=300054
・id=1000

■通信先(ursnif C2)
hxxps://pilodirsob[.]com

■ursnifの永続化
ursnifは再起動後も動作するよう、以下に設定を残します。
環境により保存先フォルダ名、ファイル名は異なります。
また、設定は通常時は存在せず、PCのシャットダウン処理中にファイルとレジストリキーが作成されます。PCが起動しursnifが自動実行された後にはファイルとレジストリキーは削除されます。

■プロセスの動き
Excel -> wmic.exe -> wmiprvse.exe -> PowerShell.exe -> bebloh.exe -> bebloh.exe(コピー) -> explorer.exe(32bit)(bebloh感染) -> wmic.exe -> ursnif.exe -> ursnif.exe(コピー) -> explorer.exe(64bit) -> explorer.exe(インジェクション)(ursnif感染) -> cmd.exe , systeminfo.exe , net.exe , nslookup.exe , tasklist.exe , driverquery.exe , reg.exe , reg.exe , makecab.exe

■通信先一覧
通信先はbeblohと(bebloh感染後のnet確認のgoogleと)ursnifのC2です。

■マルウェア感染有無の確認
C2サーバへの通信がないか、確認します。ursnifのC2へのアクセスは/images/配下のパスで.gif、.jpeg、.pngへのアクセスになります。
また、ursnifは一定時間毎に%Temp%配下のフォルダ（通常C:\Users\(UserName)\AppData\Local\Temp）にランダムな4桁.binというファイルを作ります。インターネットに接続しない状態でそういったファイルが作られないか確認します。

■マルウェアの無害化
・bebloh
添付ファイルを開き、beblohに感染した場合には、端末を再起動することでマルウェアの感染を駆除することが可能です。
これは、beblohがexplorerにインジェクションするのみでPCに永続化する仕組みを使用しないためです。

・ursnif
ursnifに感染した場合には、セーフモードでPCを再起動し、自動起動のレジストリ「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion」の削除とその値に存在するexeファイルの削除が必要になります。
これは、ursnifは感染中はexplorer.exeにインジェクションしてメモリ上のみに存在しており、ファイルとしては現れないためです。
そのため、乱暴にやるので構わなければ、Explorer.exeを強制終了するか、またはPCを電源ボタン長押し等で強制終了することで、感染を停止させることが可能です。

以上