Gli autori delle minacce dimostrano una profonda conoscenza del sistema fiscale italiano e stanno usando una enorme botnet per rivolgersi alle aziende italiane ed al Ministero degli Interni.
Il 18 gennaio il mio collega Fabrizio mi ha chiamato dicendo che una e-mail maligna era indirizzata a società italiane. Questo è l'inizio della
nostra nuova avventura di analisi che Fabrizio ed io percorriamo insieme.
La e-mail era finta, sembrava inviata dal Ministero dell'Economia e delle Finanze del Dipartimento del Tesoro italiano e trattava argomenti pertinenti come:
- Codici Tributo Acconti
- F24 Acconti-Codice Tributo 4034
L'attaccante conosce molto bene l'annualità fiscale italiana poiché quei moduli sono parecchio utilizzati dalle amministrazioni aziendali in questo periodo dell'anno. L'aggressore probabilmente sfrutta questo percorso di attacco per raggiungere il maggior numero possibile di aziende. L'indirizzo email non proviene affatto dal "Ministero dell'economia e delle finanze", ma dai seguenti indirizzi:
La email appare così:
E-mail dannosa
Un semplice collegamento che punta ad un dominio di alta reputazione stava sfruttando il browser predefinito per scaricare il seguente file Javascript. L'alto livello di offuscamento ed il modo in cui il contenuto è stato fornito era così sospettoso che valeva la pena proseguire nell'analisi.
Infezione: Fase 1 mascherata
Dopo avere deoffuscato il codice, il javascript risulta leggibile.
Infezione: Fase 1 Testo in chiaro
Viene stabilita una sessione "drop and execute". Una connessione GET a 239outdoors.com/themes5.php rilascia un file chiamato 1t.exe ed in seguito lo stesso script è in grado di eseguire il file rilasciato. Il file 1t.exe viene messo in esecuzione sulla macchina vittima contattando il Centro di Comando e Controllo in attesa di ulteriori comandi.
Il nuovo campione assomiglia a GootKit, una versione armata di Banker Malware. Il malware si installa e contatta il Command and Control chiedendo "cosa fare" ed inviando le "credenziali rubate" direttamente al server Command and Control. Dettagli su IP, Persistenze e così via, sono forniti nella sezione IoC, ma oggi abbiamo avuto accesso diretto al sito di dropping.
Vogliamo capire se possiamo aiutare le vittime a disattivare la botnet malevola fornendo il maggior numero possibile di dettagli senza concentrarsi sul backend del malware in quanto sembra essere noto agli addetti ai lavori.
Analizzando ulteriormente il sito web abbiamo immediatamente capito che lo stesso URL stava rilasciando un'altra minaccia. La minaccia parallela che il dropping website stava diffondendo al mondo è chiamata "Nuovo Documento 2008" ed era un file .bat come segue.
Nuova fase della minaccia 1
Il file .bat in una prima fase apre un browser che punta ad un'immagine legittima, ma in seguito usa una famigerata tecnica chiamata "certutil for delivery of file" per eliminare ed eseguire un altro file. Questa tecnica è ben descritta qui da carnal0wnage. Fondamentalmente, l'attaccante usa il programma certutil.exe per scaricare un payload codificato in Base64, decodificarlo ed eseguirlo. Questa tecnica passa mfacilmente inosservata poiché lo User-Agent di certutils.exe non è sospetto perché deve connettersi all'esterno delle reti aziendali per controllare i certificati, quindi non ci sono molte regole IPS su di esso. Il nome file abbandonato unslss.exe sembra essere molto simile a quello precedentemente analizzato (1t.exe) che contatta lo stesso Command & Control e si comporta in modo simile. Analizzando il sito di dropping abbiamo stabilito che un numero significativo di connessioni aveva referrer aggiuntivi, quindi abbiamo deciso di concentrare la nostra attenzione sul numero di DNS che puntavano a tale dominio. L'abbiamo fatto e il risultato è stato piuttosto impressionante (consultare la sezione Dropping URLs IoC)
Seguendo la ricerca sul sito web di dropping, abbiamo trovato un interessante registro di tutte le connessioni provenienti da possibili vittime. Abbiamo raccolto quel registro ed abbiamo creato la seguente lista di possibili vittime. Segue un elenco dettagliato delle possibili reti infette.
Possibili vittime:
ACI informatica s.p.a.
AGOS-AS
AGSM Verona Spa
ASGARR Consortium GARR
Acantho S.p.a
Alfanews S.r.l.
Ambrogio s.r.l.
Asco TLC S.p.A.
Autostrade-as
BT Italia
BT Italia S.p.A.
Banca Monte Dei Paschi Di Siena S.P.A.
Brennercom S.p.A.
COLT Technology Services Group Limited
Camera dei deputati
Cesena Net srl
Clouditalia Telecomunicazioni S.p.A.
Comune Di Brescia
Comune di Bologna
Consortium GARR
Consorzio per il Sistema Informativo
Costacrociere-as
Duebite-as
E4A s.r.l.
Energente S.r.l.
FASTNET SpA
FASTWEB SPA
FINECO Banca del Gruppo Unicredit
Fastweb
Forcepoint Cloud Ltd
GenyCommunications
Global Com Basilicata s.r.l.
H3G Italy
Hynet S.R.L.
IBSNAZ
ICT Valle Umbra s.r.l.
InAsset S.r.l.
InfoCamere SCpA
Infracom Italia S.p.A.
Inrete s.r.l
Insiel- Informatica per il sistema degli enti loca
Integrys.it di Stefania Peragna impresa individual
Intred S.p.A.
KPNQWest Italia S.p.a.
LEPIDA
Lepida S.p.A.
Liguria Digitale S.C.p.A.
Linea Com S R L
Linkem spa
Lombardia Informatica S.p.A.
Mandarin S.p.A.
Mc-link SpA
Metrolink S.R.L.
Ministero dell’Interno
Mnet srl
NGI SpA
Nemo S.r.l.
Nordcom S.p.a.
Officine Informatiche Srl
Progetto Evo S.r.l.
Provincia di Reggio nell’Emilia
Qcom spa
Raiffeisen OnLine GmbH
Regione Basilicata
Regione Toscana
Regione Veneto
STI ADSL
Sardegnait-as
Societa’ Gestione Servizi Bp S.p.A.
TELEX S.r.l.
TWT S.p.A.
Telecom Italia
Terra S.p.a.
Time-net S.r.l.
Tiscali SpA
Trenitalia SpA
Trentino Network S.r.l.
Universita’ degli Studi di Milano
Venis S.p.A.
Videotime SPA
Vodafone Group Services GmbH
Vodafone Italia DSL
Vodafone Omnitel B.V.
Vodafone Omnitel N.v.
WIIT S.p.A.
Welcome Italia S.p.A
Wind Telecomunicazioni
Wind Telecomunicazioni SpA
Abbiamo gestito questa analisi durante la notte, quindi ci potrebbero essere alcune imprecisioni, ma abbiamo preferito accelerare l'intero processo di analisi per doffrire l'opportunità di bloccare la minaccia il prima possibile.