Malware Qakbot – Compromissioni Marzo 2022

In questi giorni, come già sottolineato in precedenza (approfondimenti) è evidente un aumento generale delle attività di compromissione.

I gruppi criminali utilizzano i malware per diversi scopi, fra questi l’esecuzione di attacchi Ransomware, l’esfiltrazione di informazioni sensibili, la cattura di credenziali. Il malware Qakbot viene spesso utilizzato per questo genere ti attività, malware noto ormai da tempo, ampiamente descritto nella documentazione MITRE ATT&CK.

Se l’utente vittima potrebbe non riconoscere un attacco di questo tipo, un team di analisti esperti invece ha tutti gli strumenti per poter intervenire in maniera efficace!

A differenza delle precedenti campagne, si evidenzia una maggiore attenzione per la produzione dell’E-Mail di adescamento delle vittime. I criminali che dietro le campagne malware Qakbot si inseriscono nelle conversazioni degli utenti per inviare il malware. Nel caso specifico si tratta di una e-mail con allegato un file .zip (protetto da password) contenente un file Excel (xlsm).

Per assicurarsi di non essere stati impattati da compromissioni malware Qakbot si consiglia di applicare gli indicatori di compromissione presenti alla fine dell’articolo.

Analisi dell’E-Mail

Per massimizzare le possibilità di compromissioni, convincendo le vittime ad aprire l’allegato malevolo, l’attaccante sfrutta la funzione “Rispondi a tutti” inserendo nel corpo del messaggio una frase generica con la richiesta di download di un documento. Questo meccanismo rende più difficile, per le vittime, l’identificazione delle anomalie.

Analisi del file XLSB

Il link contenuto nella mail porta al download di un file zip contenente il file xlsb “oermlrdmroeu.xlsb”. All’apertura del file viene richiesto all’utente di abilitare le macro, questo avvia la compromissione del sistema.

Analisi di rvr1.ocx

L’attivazione della Macro avvia il processo di compromissione del sistema, con una chiamata all’indirizzo ksindesign.com[.]br (IP 108.179.252[.]104) per il download del file rvr1.ocx, al path, C:\Xnvr\rvr1.ocx.

Questo file è una libreria dinamica che viene eseguita tramite regsvr32. L’esecuzione della dll porta all’avvio di OneDriveSetup.exe ed al seguente download e creazione del file: ghdddhopnqk.dll, all’interno di AppData/Roaming/Microsoft/Kleqaiwaulq.

Tramite questo file parte la compromissione.

Malware Qakbot – Analisi di ghdddhopnqk.dll

Dall’analisi dinamica del malware Qakbot è stato possibile identificare le interazioni che avvengono tra il malware e il sistema della vittima. Di seguito sono riportate alcune delle operazioni eseguite dal malware durante la compromissione.

Defense Evasion & Privilege Escalation

La DLL malevola viene creata, all’interno del percorso “AppData/Roaming/Microsoft/Kleqaiwaulq”, attraverso l’uso del processo OneDriveSetup.

Successivamente viene eseguito regsvr32 al quale viene passata la DLL appena creata.

Subito dopo l’esecuzione di questo comando si assiste ad una injection della DLL sul processo di OneDriveSetup.

Questa tecnica viene eseguita per ottenere l’escalation di privilegi, probabilmente attraverso la nota tecnica: Token Impersonation, viene infatti creato un nuovo processo con privilegi elevati il quale permette al malware di eseguire i successivi passaggi per raccogliere ed esfiltrare i dati dalla macchina della vittima.

Credential Access

Il malware raccoglie le informazioni riguardanti le credenziali delle vittime accedendo:

• alle credenziali memorizzate nei Browsers,
• alle password gestite da Credential Manager (lsass)

Tuttavia dall’analisi di questo sample sembrerebbe che il processo che tenta di accedere al Credential Manager non abbia i privilegi necessari per completare l’operazione.

Exfiltration – Command & Control

Durante l’esecuzione viene avviata una connessione attraverso il protocollo SSH (porta 22) all’indirizzo 72.12.115[.]90 e una connessione in HTTPS all’indirizzo102.65.38[.]67 (porta 443)(IP associato a Qakbot).

Indicatori di Compromissione