Orange Polska S.A. Bezpieczeństwo Systemów Teleinformatycznych / Wydział Operacji Bezpieczeństwa

Wielkość: px

Rozpocząć pokaz od strony:

Download "Orange Polska S.A. Bezpieczeństwo Systemów Teleinformatycznych / Wydział Operacji Bezpieczeństwa"

Daniel Jaworski
7 lat temu
Przeglądów:

1 Warszawa, dnia Analiza kampanii złośliwego Oprogramowania E-Faktura Orange Win32.PWSZbot.fc CERT OPL analiza malware; autor: Iwo Graj Strona 1 z 7

1. Wstęp Znaczna liczba polskich internautów w tym klienci Orange Polska otrzymała we wtorek 2 lutego 2016 roku na swoje skrzynki e-mail wyglądający jak załącznik z fakturą do Orange.

2 1. Wstęp Znaczna liczba polskich internautów w tym klienci Orange Polska otrzymała we wtorek 2 lutego 2016 roku na swoje skrzynki wyglądający jak załącznik z fakturą do Orange. Wiadomość wraz z rozsyłanym załącznikiem posiadała tylko i wyłącznie nadawcę, oraz temat wiadomości Fwd: E-Faktura Orange bez treści. W załączniku wiadomości znajdował się plik o nazwie FAKTURA-P pdf.xml.sig.zip który był skompresowanym archiwum. 2. Analiza Po rozpakowaniu archiwum znajdował się w nim wykonywalny plik binarny z rozszerzeniem.exe o nazwie FAKTURA-P pdf.xml.sig_.png.exe CERT OPL analiza malware; autor: Iwo Graj Strona 2 z 7

Po otworzeniu pliku, złośliwe oprogramowanie tworzyło nowy plik wykonywalny w innym katalogu i lokalizacji w systemie jak również dopisywało do rejestru klucz w celu ponownego uruchomienia się przy

3 Po otworzeniu pliku, złośliwe oprogramowanie tworzyło nowy plik wykonywalny w innym katalogu i lokalizacji w systemie jak również dopisywało do rejestru klucz w celu ponownego uruchomienia się przy starcie systemu oraz tworzyło skrypt, który miał za zadanie usunąć uruchamiany przez użytkownika plik. Procedura zawarta w kodzie wirusa tworzyła skrypt BATCH pod losową nazwą w lokalizacji użytkownika systemu podczas analizy kodu ścieżka wyglądała następująco C:\Users\IwoGraj\AppData\Local\Temp\711B\711B.bat CERT OPL analiza malware; autor: Iwo Graj Strona 3 z 7

$Złośliwy kod tworzył w rejestrze systemowym klucz o losowo wygenerowanej nazwie w lokalizacji HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run a następnie tworzył plik i katalog$

4 Złośliwy kod tworzył w rejestrze systemowym klucz o losowo wygenerowanej nazwie w lokalizacji HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run a następnie tworzył plik i katalog również o losowej nazwie w lokalizacji C:\Users\<Użytkownik>\AppData\Roaming\. Podczas analizy tego przypadku stworzona przez wirusa nazwa pliku to api-esvc.exe w lokalizacji C:\Users\<Użytkownik>\AppData\Roaming\blbrsapi\ Jedną z funkcji malware było przechwytywanie informacji z przeglądarek użytkownika w postaci loginów i haseł, a także zawartości ciasteczek (cookies). Następnie były one kopiowane do lokalizacji C:\Users\<Użytkownik>\AppData\Local\Temp\, gdzie malware tworzył archiwa w postaci plików o losowych nazwach z rozszerzeniem.bin: Po rozpakowaniu archiwum o nazwie E11F.bin w utworzonym katalogu znajdowały się wygenerowane pliki o losowych nazwach bez rozszerzenia. Na potrzeby tej analizy został stworzony użytkownik o nazwie jankowalczyk.1955 oraz haśle qwe.123 następnie tymi danymi zalogowano się na konto pocztowe, by przedstawić sposób działania wirusa. Plik zawierał: - datę oraz czas uruchomienia przeglądarki: :15:42 CERT OPL analiza malware; autor: Iwo Graj Strona 4 z 7

- nazwę użytkownika systemu Windows: Iwo Graj - adres strony na którą wszedł użytkownik: https://poczta.o2.pl/login.html - zawartość cookie - login oraz hasło do poczty: jankowalczyk.1955@o2.pl, qwe.

5 - nazwę użytkownika systemu Windows: Iwo Graj - adres strony na którą wszedł użytkownik: - zawartość cookie - login oraz hasło do poczty: jankowalczyk.1955@o2.pl, qwe.123 W takiej formie wszystkie wykradzione z komputera użytkownika informacje w postaci haseł i loginów trafiają do przestępcy. Następnie malware przesyłał spakowane archiwa z rozszerzeniem.bin z zawartością loginów i haseł oraz innych informacji do Command&Control do dyspozycji cyber-przestępcy. Poniżej dla przykładu komunikacja związana z przesłaniem pliku 62c9.bin z zainfekowanego komputera na jedną z domen wykorzystywanych przez cyberprzestępce na adres mempobuthousesbexecutive.com. Złośliwy kod wykorzystywał wiele inny domen w celach komunikacji ze swoim Command&Control. CERT OPL analiza malware; autor: Iwo Graj Strona 5 z 7

Inną równie ciekawą funkcją wirusa jest logowanie klawiszy wpisanych przez użytkownika. Dla przykładu analizy był to ciąg znakowany złożony z litery a.

6 Inną równie ciekawą funkcją wirusa jest logowanie klawiszy wpisanych przez użytkownika. Dla przykładu analizy był to ciąg znakowany złożony z litery a. Ciąg dwudziestu liter a został wpisany do nowo powstałego dokumentu tekstowego. Na poniższym zrzucie ekranowym można zauważyć, że wirus utworzył archiwum o nazwie 6769.bin. CERT OPL analiza malware; autor: Iwo Graj Strona 6 z 7

$użytkownika: - datę oraz czas uruchomionej aplikacji: 04-02-2016 06:34:22 - ścieżkę do uruchomionej aplikacji: C:\Windows\system32\NOTEPAD.EXE - nazwę pliku - wpisany tekst: aaaaaaaaaaaaaaaaaaaa 3.$

7 Po przeanalizowaniu zawartości archiwum w pliku bez rozszerzenia o losowo wygenerowanej nazwie znajdowała się zawartość ciągu złożonego z dwudziestu liter a oraz inne informacje, dotyczące aktywności użytkownika: - datę oraz czas uruchomionej aplikacji: :34:22 - ścieżkę do uruchomionej aplikacji: C:\Windows\system32\NOTEPAD.EXE - nazwę pliku - wpisany tekst: aaaaaaaaaaaaaaaaaaaa 3. Rekomendacje CERT Orange Polska zaleca stosowanie oprogramowania antywirusowego, które może przyczynić się do uniknięcia i zminimalizowania skutków kolejnych infekcji rożnego rodzaju złośliwym oprogramowaniem w przyszłości. Wszyscy użytkownicy Orange, którzy dostali złośliwy załącznik i go uruchomili są chronieni przed wyciekiem swoich danych za pomocą CyberTarczy. CERT OPL analiza malware; autor: Iwo Graj Strona 7 z 7

Podobne dokumenty

Analiza malware Keylogger ispy

Analiza malware Keylogger ispy Instalacja złośliwego oprogramowania W październiku na skrzynkę funkcyjną CERT Orange Polska otrzymaliśmy przysłany przez użytkownika mail z podejrzanym załącznikiem. Jeśli