{"id":3010,"date":"2021-08-02T16:20:16","date_gmt":"2021-08-02T16:20:16","guid":{"rendered":"https:\/\/fortgale.com\/news\/?p=3010"},"modified":"2023-09-16T11:07:55","modified_gmt":"2023-09-16T11:07:55","slug":"ursnif-02-08-2021","status":"publish","type":"post","link":"https:\/\/fortgale.com\/blog\/uncategorized-it\/ursnif-02-08-2021\/","title":{"rendered":"Ursnif 02-08-2021"},"content":{"rendered":"\n

Negli ultimi gironi \u00e8 stata rilevata una nuova campagna di Malspam <\/em>contenente il malware Ursnif <\/em>che ha colpito l’Italia.<\/p>\n\n\n\n

\"Immagine\"\/
Da: JAMESWT su Twitter: “@jh__1995 @malwrhunterteam Mentioned<\/a><\/figcaption><\/figure>\n\n\n\n

Il file Zip contiene un file JS che \u00e8 il D<\/em>ropper e si collega agli indirizzi:<\/p>\n\n\n\n

  • https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674nid9fbf67b530c494389056fbaf4129f4b&docExtn=zip <\/li>
  • http:\/\/josymixmyhome[.]com.br\/site\/direct.php <\/li>
  •  https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674ni1c6312a91d7149af89b6475ece38b9b3&docExtn=png <\/li><\/ul>\n\n\n\n

    Per scaricare un nuovo sample di Ursnif<\/strong>. Tale Sample viene poi estratto e salvato come direction.dll<\/strong>.<\/p>\n\n\n\n

    \"\"
    Comando per scaricare il sample di Ursnif<\/figcaption><\/figure>\n\n\n\n

    Dalle analisi effettuate, su direction.dll<\/strong>, risulta che il sample adotta un meccanismo di Defense Evasion<\/em>. Infatti, effettua il controllo sul tipo di ambiente in cui viene eseguito, in modo tale da rilevare l’esecuzione all’interno di una Sandbox e modificare il suo comportamento, rendendo cos\u00ec l’analisi maggiormente complessa.
    In oltre, \u00e8 emerso che il malware accetta parametri di input, per cui il suo comportamento varia in base agli argomenti passati tramite il comando di esecuzione del sample.<\/p>\n\n\n\n

    ATT&CK Tactic<\/strong><\/td>ATT&CK Technique <\/strong><\/td><\/tr>
    DEFENSE EVASION<\/td>Virtualization\/Sandbox Evasion::System Checks T1497.001<\/td><\/tr>
    EXECUTION<\/td>Command and Scripting Interpreter:: T1059<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    Durante l’esecuzione il sample contatta i server di Comando e Controllo ai domini:<\/p>\n\n\n\n

    • alliances[.]bar <\/li>
    • allianceline[.]bar <\/li>
    • alliancer[.]bar <\/li><\/ul>\n\n\n\n
      \"\"
      Connessioni con i server C2 durante l’esecuzione<\/figcaption><\/figure>\n\n\n\n

      Analisi Statica<\/h2>\n\n\n\n

      File JS<\/h2>\n\n\n\n

      Tag<\/h5>\n\n\n\n

      Dropper<\/span><\/span><\/mark><\/p>\n\n\n\n

      Dettagli<\/h5>\n\n\n\n
      md5<\/strong><\/td>A8E17B6252ED7E3C9BDA4F55B2E3CAC9<\/td><\/tr>
      sha1<\/strong><\/td>E70B1DC096FDCE51C240D02BE32DEA3C6D3CE2E6<\/td><\/tr>
      sha256<\/strong><\/td>C36C266157D4E7B7B2DBC36D96BDE0086E31647B541B14DB70D9FE1E36BAE779<\/td><\/tr>
      file-size<\/strong><\/td>53939 (bytes)<\/td><\/tr>
      entropy<\/strong><\/td>4.434<\/td><\/tr>
      Virustotal<\/strong><\/td>score:26\/64<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      direction.dll<\/h2>\n\n\n\n

      Tag<\/h5>\n\n\n\n

      Ursnif<\/span><\/span><\/mark><\/p>\n\n\n\n

      Dettagli<\/h5>\n\n\n\n
      md5<\/strong><\/td>499200F6A8E223C057C6E16701740721<\/td><\/tr>
      sha1<\/strong><\/td>EF46F9C62B94715B750173074C51100285FF6FE9<\/td><\/tr>
      sha256<\/strong><\/td>D7E64F8E65CE586CE2F0A857810B2A23F85140BF5E52E5A824F09787FB2BF45E<\/td><\/tr>
      file-size<\/strong><\/td>258504 (bytes)<\/td><\/tr>
      entropy<\/strong><\/td>6.406<\/td><\/tr>
      imphash<\/strong><\/td>D34313CE3555DEC95480BCAE2D5DEA6B<\/td><\/tr>
      cpu<\/strong><\/td>32-bit<\/td><\/tr>
      Virustotal<\/strong><\/td>score:46\/64<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      IOC<\/h2>\n\n\n\n
      • Dropper <\/strong>
        • MD5<\/strong>: A8E17B6252ED7E3C9BDA4F55B2E3CAC9 <\/li>
        • SHA1<\/strong>: E70B1DC096FDCE51C240D02BE32DEA3C6D3CE2E6 <\/li>
        • SHA256<\/strong>: C36C266157D4E7B7B2DBC36D96BDE0086E31647B541B14DB70D9FE1E36BAE779 <\/li><\/ul><\/li>
        • Ursnif<\/strong>
          • MD5<\/strong>: 499200F6A8E223C057C6E16701740721 <\/li>
          • SHA1<\/strong>: EF46F9C62B94715B750173074C51100285FF6FE9 <\/li>
          • SHA256<\/strong>: D7E64F8E65CE586CE2F0A857810B2A23F85140BF5E52E5A824F09787FB2BF45E <\/li><\/ul><\/li>
          • Domini per download del sample di Ursnif<\/strong>:
            • https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674nid9fbf67b530c494389056fbaf4129f4b&docExtn=zip <\/li>
            • http:\/\/josymixmyhome[.]com.br\/site\/direct.php <\/li>
            •  https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674ni1c6312a91d7149af89b6475ece38b9b3&docExtn=png <\/li><\/ul><\/li>
            • Domini server C2<\/strong>:
              • alliances[.]bar <\/li>
              • allianceline[.]bar <\/li>
              • alliancer[.]bar <\/li><\/ul><\/li><\/ul>\n","protected":false},"excerpt":{"rendered":"

                Negli ultimi gironi \u00e8 stata rilevata una nuova campagna di Malspam contenente il malware Ursnif che ha colpito l’Italia. Il file Zip contiene un file JS che \u00e8 il Dropper e si collega agli indirizzi: https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674nid9fbf67b530c494389056fbaf4129f4b&docExtn=zip http:\/\/josymixmyhome[.]com.br\/site\/direct.php  https:\/\/docs.zohopublic[.]eu\/downloaddocument.do?docId=674ni1c6312a91d7149af89b6475ece38b9b3&docExtn=png Per scaricare un nuovo sample di Ursnif. Tale Sample viene poi estratto e salvato come direction.dll. Dalle […]<\/p>\n","protected":false},"author":1,"featured_media":3031,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[954],"tags":[],"class_list":["post-3010","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized-it"],"_links":{"self":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/3010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/comments?post=3010"}],"version-history":[{"count":1,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/3010\/revisions"}],"predecessor-version":[{"id":4493,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/3010\/revisions\/4493"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/media?parent=3010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/categories?post=3010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/tags?post=3010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}