Negli ultimi gironi è stata rilevata una nuova campagna di Malspam contenente il malware Ursnif che ha colpito l’Italia.
Il file Zip contiene un file JS che è il Dropper e si collega agli indirizzi:
- https://docs.zohopublic[.]eu/downloaddocument.do?docId=674nid9fbf67b530c494389056fbaf4129f4b&docExtn=zip
- http://josymixmyhome[.]com.br/site/direct.php
- https://docs.zohopublic[.]eu/downloaddocument.do?docId=674ni1c6312a91d7149af89b6475ece38b9b3&docExtn=png
Per scaricare un nuovo sample di Ursnif. Tale Sample viene poi estratto e salvato come direction.dll.
Dalle analisi effettuate, su direction.dll, risulta che il sample adotta un meccanismo di Defense Evasion. Infatti, effettua il controllo sul tipo di ambiente in cui viene eseguito, in modo tale da rilevare l’esecuzione all’interno di una Sandbox e modificare il suo comportamento, rendendo così l’analisi maggiormente complessa.
In oltre, è emerso che il malware accetta parametri di input, per cui il suo comportamento varia in base agli argomenti passati tramite il comando di esecuzione del sample.
| ATT&CK Tactic | ATT&CK Technique |
| DEFENSE EVASION | Virtualization/Sandbox Evasion::System Checks T1497.001 |
| EXECUTION | Command and Scripting Interpreter:: T1059 |
Durante l’esecuzione il sample contatta i server di Comando e Controllo ai domini:
- alliances[.]bar
- allianceline[.]bar
- alliancer[.]bar
Analisi Statica
File JS
Tag
Dropper
Dettagli
| md5 | A8E17B6252ED7E3C9BDA4F55B2E3CAC9 |
| sha1 | E70B1DC096FDCE51C240D02BE32DEA3C6D3CE2E6 |
| sha256 | C36C266157D4E7B7B2DBC36D96BDE0086E31647B541B14DB70D9FE1E36BAE779 |
| file-size | 53939 (bytes) |
| entropy | 4.434 |
| Virustotal | score:26/64 |
direction.dll
Tag
Ursnif
Dettagli
| md5 | 499200F6A8E223C057C6E16701740721 |
| sha1 | EF46F9C62B94715B750173074C51100285FF6FE9 |
| sha256 | D7E64F8E65CE586CE2F0A857810B2A23F85140BF5E52E5A824F09787FB2BF45E |
| file-size | 258504 (bytes) |
| entropy | 6.406 |
| imphash | D34313CE3555DEC95480BCAE2D5DEA6B |
| cpu | 32-bit |
| Virustotal | score:46/64 |
IOC
- Dropper
- MD5: A8E17B6252ED7E3C9BDA4F55B2E3CAC9
- SHA1: E70B1DC096FDCE51C240D02BE32DEA3C6D3CE2E6
- SHA256: C36C266157D4E7B7B2DBC36D96BDE0086E31647B541B14DB70D9FE1E36BAE779
- Ursnif
- MD5: 499200F6A8E223C057C6E16701740721
- SHA1: EF46F9C62B94715B750173074C51100285FF6FE9
- SHA256: D7E64F8E65CE586CE2F0A857810B2A23F85140BF5E52E5A824F09787FB2BF45E
- Domini per download del sample di Ursnif:
- https://docs.zohopublic[.]eu/downloaddocument.do?docId=674nid9fbf67b530c494389056fbaf4129f4b&docExtn=zip
- http://josymixmyhome[.]com.br/site/direct.php
- https://docs.zohopublic[.]eu/downloaddocument.do?docId=674ni1c6312a91d7149af89b6475ece38b9b3&docExtn=png
- Domini server C2:
- alliances[.]bar
- allianceline[.]bar
- alliancer[.]bar
