2018/05/15(火) 『2018.5月分請求データ送付の件』の調査

前日に引き続き、xls形式の添付ファイルがついたメールのばらまきがありました。
これも前日同様に、bebloh、ursnifの流れです。
前日の3種類の合算と同程度の送信量でした。

■日時
2018/05/15(火) 15:35 - 2018/05/16(水) 8:45 頃

■件名
2018.5月分請求データ送付の件

■本文

■添付ファイル
201805請求データ.xls

https://www.hybrid-analysis.com/sample/1657167c98892da382f6e0d7954b44f29bab4832346bd44fa07d1a338e937fcf/5afa81da7ca3e12ba257a0b0
添付ファイルを開き、マクロを有効化すると次のファイルを取得します。

■ダウンロードされるファイル(bebloh)
通信先： hxxp://momerton[.]com/mlsd
https://www.hybrid-analysis.com/sample/80ddbdbeda351b942a6619381744a528974d9c549e6cd9b36993d5dd0313fc42?environmentId=100
IP: 95.213.199[.]61
前日と同一のドメイン名、IPで別ファイルを取得しています。

■追加でダウンロードされるファイル(ursnif)
通信先: hxxp://heizlastberechnung[.]net/referenzen/ieind[.]exe
https://www.hybrid-analysis.com/sample/25901bdf68e68bae55e1ccf8a5eef8b644f3a53e1bbcf096520806becd939601?environmentId=100
IP: 85.13.140[.]187
これも前日と同一のドメイン名ですが別IPで別ファイルを取得しています。

■C2通信先(https)
どちらのマルウェアもexplorer.exeにインジェクションし、以下へ通信します。
どちらのドメインもbeblohをダウンロードするサイトと同じIPです。前日はursnifのC2は別IPでした。
○bebloh
hxxps://conishiret[.]com
IP: 95.213.199[.]61
○ursnif
hxxps://minotaris[.]com
IP: 95.213.199[.]61

■通信のまとめ

■プロセスの動き

Excelマクロがコマンドプロンプトを使用ししPowerShellを実行し、beblohを取得します。
beblohは別名346411.exeでデスクトップに自身をコピーし、Explorerにインジェクションします。
explorerで動くbeblohがursnifをダウンロードし、コマンドプロンプトでバッチを動かして自身のコピーをAudiCore.exeとして実行し、svchost.exeを経由してExplorerにインジェクションしているように見えます。
ursnifはC:\Users\(ユーザ名)\AppData\Roaming\api-clen\AudiCore.exeとして格納されています。

bebloh,ursnifともにログイン時に自動起動するようレジストリに登録しますが、beblohはursnifをダウンロード後、自身を消すため、自動起動されるのはbeblohだけです。

■IoC
○URL
hxxp://momerton[.]com/mlsd
hxxp://heizlastberechnung[.]net/referenzen/ieind[.]exe
hxxps://conishiret[.]com
hxxps://minotaris[.]com
○IP
85.13.140[.]187
95.213.199[.]61
○HASH(SHA256)
1657167c98892da382f6e0d7954b44f29bab4832346bd44fa07d1a338e937fcf
80ddbdbeda351b942a6619381744a528974d9c549e6cd9b36993d5dd0313fc42
25901bdf68e68bae55e1ccf8a5eef8b644f3a53e1bbcf096520806becd939601