2019/02/28（木）添付ファイル付不審メール（bebloh/ursnif-A）の調査

火曜に引き続き、日本を狙った不正送金マルウェアursnifへの感染を狙った不審メールのばらまきを観測しています。
火曜日と同じくursnif-A系(添付系)のアクターと思われます。
今年に入ってからは週に2度ばらまくことはほぼなかったため、今後活発に活動する傾向かもしれませんので、注意が必要です。

■日時
2019/02/28 16:30～

■件名
※指定請求書
※注文書、請書及び請求書のご送付
※にはRe:、Fwd:、Fw:、RE:、-、（なし）のどれかが入ります

■本文

f:id:bomccss:20190301034306p:plain
※件名同様、本文も幾つかの組み合わせからランダムに生成されます。詳細はJC3の以下を参照ください。

注意情報｜一般財団法人日本サイバー犯罪対策センター

■添付ファイル名
nnnnn_nnnnn_(2019.2).xls
※nnnnnは数字2桁-5桁■添付ファイルサンプル
SHA256: 21cc174826ce5e69aa60445f547b94bb0b544c5d66a01063e37abbfdc91a715f
https://www.virustotal.com/#/file/21cc174826ce5e69aa60445f547b94bb0b544c5d66a01063e37abbfdc91a715f/details
https://any.run/tasks/1ed3b74d-6c89-45f0-a64b-a13331845dac
※添付ファイルのハッシュ値は1つです。

f:id:bomccss:20190301035253p:plain

添付ファイルにはExcelマクロがついており、マクロを有効にすると、ダウンローダが動きます。
ただし、マクロの中でデフォルトが日本語の環境かを調べており、そうでない場合は動作しません。日本語の環境であった場合に、ダウンローダが動作します。
（先週からのxlsにはマクロの保護機能が有効になっており直接参照できませんでしたが、今回は保護機能が有効になっていませんでした）

f:id:bomccss:20190301035401p:plain

マクロの解析については、@nao_sec さんの以下の情報が参考になります。

Japanese #malspam xls -> Macro -> GetUserDefaultLCID + GetLocaleInfo + Get-Culture -> #Bebloh https://t.co/rKNHVdM3Uf https://t.co/EFZDv2bKzE pic.twitter.com/L9jgofXz53
— nao_sec (@nao_sec) February 28, 2019

■通信先
マクロが動作すると、更にcmd.exe、powershell.exeが動き、以下のURLへアクセスし、ダウンロードします。
hxxps://benistora[.]com/uploads/audio.7z
※拡張子は.7zファイルですが、中身はスクリプトファイルです。
このスクリプトを更に動作させ、ダウンローダ型マルウェアのbeblohに感染します。
beblohは定期的（約10分毎）に以下のC2にアクセスします。
・bebloh-C2
hxxps://benistora[.]com/
IP: 5.188.60[.]66
メモリダンプからURLを抽出すると、以下です。cgi-binは1回のみのアクセスで恐らくはログイン、その後tools配下のパスに司令が置かれた場合に更に追加のダウンロードが動くと思われます。
hxxps://benistora[.]com/auth/cgi-bin/
hxxps://benistora[.]com/auth/tools/247xxxxxx/
このbeblohがC2からどういうタイミングで司令がくるのか、という点については不明瞭かです。動く場合もあれば、動かない場合もある、という感じです。
今回は一度感染後、再起動してもう一度感染させた時に追加のダウンロードが動きました。

beblohがursnifを取得するURLも恐らくはursnifのC2ドメインに同居していると思われますが、明確にはなっていません。

ursnifに感染すると定期的（約10分毎）に以下のドメインへアクセスします。

・ursnif-C2
hxxps://mopscat[.]com/images/
IP: 5.188.60[.]65

このエクセルから感染までの動きのプロセス、および通信は以下です。

f:id:bomccss:20190301040730p:plain

f:id:bomccss:20190301040747p:plain

■マルウェア
beblohとursnifは生成後、どちらもexplorer.exeにインジェクションされます。
beblohはexplorer.exeからダンプを取得しました。しかし、ファイルのマジックナンバーが（恐らく意図的に）00になっていたため、そのままでは動作しません。
動作はしませんが、サンプルは以下になります。
https://www.virustotal.com/#/file/0c7adcfc3337484f9ec2b064678a40ea9d82aa5e414700edb9f562dd1eae2051/detection
https://app.any.run/tasks/88f9501f-717c-477b-a623-9c3a047e0c6b

ursnifは作成後自身を消去しメモリ内で生息します。
今のursnifは自身の再実行の設定を、PCを落とすタイミングでPC内に設定をします。
PCを再起動しセーフモードで確認した場合の再実行の設定は以下になります。

f:id:bomccss:20190301041817p:plain