Campaña RAT Cybergate Falso correo:

"Hola todo el mundo lo sabe menos tu te están engañando abre los ojos‏"

Contiene tres links que descarga un ejecutable con el icono de adobe flash.

http://urlquery.net/report.php?id=1450312796496

http://urlquery.net/report.php?id=1450312974084

Icono

Contiene una capa de Crypter básica pero efectiva, solo 8 antivirus lo reconocían.

Dumpeamos con bp en WriteVirtualMemory

Ahora sin la capa del Crypter la cosa cambia y es detectado por mas A.V.

Strings Interesantes:

Anti-VM

00407AB3   MOV EAX,1.00407B40                        ASCII "VBoxService.exe"

00407B40   ASCII "VBoxService.exe",0

00407B53   PUSH 1.00407B68                           ASCII "SbieDll.dll"

00407B68   ASCII "SbieDll.dll",0

00407B77   PUSH 1.00407B8C                           ASCII "dbghelp.dll"

00407B8C   ASCII "dbghelp.dll",0

00407BA6   PUSH 1.00407C00                           ASCII "Software\Microsoft\Windows\CurrentVersion"

00407BCF   PUSH 1.00407C2C                           ASCII "ProductId"

00407BE2   CMP EAX,1.00407C38                        ASCII "55274-640-2673064-23950"

Anti-Debugging

00407EA6   PUSH 1.00407ED4                           ASCII "IsDebuggerPresent"

00408798   MOV EDX,1.004089E0                        ASCII "Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"

004087E1   MOV EDX,1.004089E0                        ASCII "Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"

0040880F   MOV EDX,1.004089E0                        ASCII "Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"

00408858   MOV EDX,1.004089E0                        ASCII "Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"

00408890   MOV EDX,1.00408A28                        ASCII "Software\Microsoft\Windows\CurrentVersion\Run"

004088D9   MOV EDX,1.00408A28                        ASCII "Software\Microsoft\Windows\CurrentVersion\Run"

00408911   MOV EDX,1.00408A28                        ASCII "Software\Microsoft\Windows\CurrentVersion\Run"

0040895A   MOV EDX,1.00408A28                        ASCII "Software\Microsoft\Windows\CurrentVersion\Run"

004089D4   ASCII "\",0

En el analisis Dinámico vemos donde se conecta y su persistencia en el sistema.

Archivo Oculto:

Network Traffic

DNS Requests

unshowmas.ddns.net 181.131.80.198 Colombia

analaloca.chickenkiller.com 181.131.80.198 Colombia

unshowmas.no-ip.biz 181.131.80.198 Colombia

Contacted Hosts

191.90.223.133 3460 TCP Colombia

El RAT se inyecta en un proceso Firefox.exe, haciendo un dump de este proceso y luego volcando los strings encontramos lo siguiente:

(para esto podemos utilizar la suite de sysinternals)

unshowmas.no-ip.biz

ALOCA.CHICKENKILLER.COM

unshowmas.no-ip.biz

stem\CurrentControlSet\Services\Tcpip\Parameters

cybergate

CyberGate 

v1.18.0 - Trial version

.txt

Ya sabemos que es el troyano RAT Cybergate, por lo que podemos correr un decoder del config para ver que datos obtenemos.

https://github.com/kevthehermit/RATDecoders/blob/master/CyberGate.py

Key: Activate Keylogger Value: TRUE

Key: Active X Startup Value: {O8WU086S-76RM-CBK3-8KVD-3P1LU050V080}

Key: Change Creation Date Value: TRUE

Key: CyberGate Version Value: 

Key: Domain Value: analaloca.chickenkiller.com|unshowmas.ddns.net|unshowmas.no-ip.biz|

Key: Enable Message Box Value: FALSE

Key: FTP Address Value: ftp.server.com

Key: FTP Directory Value: ./logs

Key: FTP Interval Value: 30

Key: FTP Password Value: password

Key: FTP Port Value: 21

Key: FTP UserName Value: ftp_user

Key: Google Chrome Passwords Value: 

Key: Hide File Value: TRUE

Key: Install Directory Value: install

Key: Install File Name Value: logonwindows.exe

Key: Install Flag Value: TRUE

Key: Install Message Box Value: Remote Administration anywhere in the world.

Key: Install Message Title Value: CyberGate

Key: Keylogger Backspace = Delete Value: TRUE

Key: Keylogger Enable FTP Value: FALSE

Key: Melt File Value: TRUE

Key: Message Box Button Value: 0

Key: Message Box Icon Value: 16

Key: Mutex Value: J00OO266V861S3

Key: P2P Spread Value: 

Key: Password Value: cybergate

Key: Persistance Value: TRUE

Key: Port Value: 3460|3460|3460|

Key: Process Injection Value: Disabled

Key: REG Key HKCU Value: HKCU

Key: REG Key HKLM Value: HKLM

Key: ServerID Value: FOTO

Key: Startup Policies Value: Policies

Key: USB Spread Value: 

La ingeniería social a la orden del día y los .... curiosos...

Muestra: 

https://www.dropbox.com/s/xk35wu39i3v2n3k/Malware%20-%20cybergate-16-12-15.rar?dl=0

Eso es todo por el momento.

@Dkavalanche 2015