Campagne di diffusione del malware Emotet esistono da molto tempo. Viene diffuso frequentemente a intervalli, con diverse tecniche e versioni in base al tipo di vittima-target. Si distingue per l'uso massiccio di tecniche di offuscamento per evitare l'individuazione da parte degli antivirus. All'inizio del 2017 abbiamo osservato una campagna di distribuzione di Emotet attraverso email contenenti allegati PDF e file JS. In questi giorni invece è in distribuzione tramite documenti di Word Office contenenti una macro altamente offuscata. 

Il meccanismo di diffusione nella campagna attuale è l'invio di una mail di phishing. Usa oggetti mail del tipo "Invoice", o "Delivery details", "Shipment details", "Payment details": un piccolo espediente per convincere il destinatario ad aprire la mail per visionarne il contenuto. Queste email rimandano a siti web compromessi o di phishing che scaricano sulla macchina dell'utente u documento Word. Più raramente invece l'allegato viene inviato direttamente assieme alla mail: in quel caso è contenuto in un archivio.

In questo attacco viene usato come vettore un documento Office contenente una macro che richiede, ovviamente, l'abilitazione per attivarsi. Sotto ne mostriamo un esempio. Il documento in esempio contiene ben due macro altamente offuscate, “prMzoHTQ” w “zdXXRhCd” e un codice di auto esecuzione. 

Nella prima macro, durante la fase di deoffuscamento, abbiamo scoperto che è stato usato molto codice di scarto al solo fine di complicare le operazioni di ingegneria inversa. 

In mezzo a tutto il codice spazzatura, abbiamo individuato lo script PowerShell codificato in base64. Dopo averlo messo in chiaro, ne abbiamo ricavato il seguente codice

Per decriptare lo script però occorrono due passaggi: il primo, ovvero la decodifica della stringa in base64 (vedi sopra), quindi la decompressione dell'output ottenuto. 

Ecco sopra mostrato lo script completamente deoffuscato. Come si può vedere altro non è che una lista di URL dannosi. Lo scirpt scarica il malware da uno di questi URL, lo rinomina usando nomi random e lo salva nella cartella %temp%  con estensione .exe. Infine il malware viene eseguito.

Il payload scaricato [numeri_random].exe viene eseguito dalla cartella %temp%. Nel caso in esempio il nostro payload si chiama “iwamregutilman.exe”. Questo file rinomina la sua istanza e lancia una copia di se stesso dal nome “wsdquota.exe” dalla cartella “C:\Windows\system32”. 

Il payload ha una lista predefinita di parole: da questo elenco seleziona 2 parole da combinare con le quali rinominare la seconda copia di se stesso appena creata. Esegue quindi entrambe le copie .exe dalle rispettive location. Il nostro "wsdquota.exe", unisce appunto come prima parola "wsd" e come seconda "quota". Ecco sotto l'elenco completo dei nomi. 

La prima istanza del file copiato contiene una grande quantità di dati criptati: questi vengono decriptati in fase di runtime e scrivono in memoria altri 2 file PE che potranno essere usati per ulteriori processi. Fatto ciò, il processo principale verifica se il processo "secondo" viene generato da solo o meno: in caso contrario genera un mutex, quindi chiude il processo principale e lo esegue come singolo. Il processo appena generato elencherà tutti i processi in esecuzione e li memorizzerà: fatto ciò inizierà l'enumerazione di tutti i processi. 

Individuati, tramite la funzione CreateToolhelp32Snapshot, i dettagli di ogni processo in esecuzione, il malware comincerà a criptare i dati e ad inviarli ad un server dannoso in POST request. 

Non tutti i server dannosi sono attivi, quindi non siamo riusciti a individuare l'attività dopo la risposta del malware. Sotto riportiamo l'elenco di URL dannosi presente nel malware, ai quali il malware invia la richiesta POST.

Quick Heal individua con successo le email di spam che costituiscono il vettore iniziale della campagna di distribuzione di Emotet. Sotto le statistiche di individuazione dell'ultimo mese. 

Seqrite individua queste minacce e neutralizza la campagna Emotet grazie alla protezione multi livello che può individuare i malware quando tentano di accede al pc, ma anche quando sono già "entrati" grazie al sistema di individuazione comportamentale.