Mentre completavamo la nostra analisi su una recente ondata di spam malevolo in Russia, abbiamo notato un’altra attività non correlata, basata su JavaScript, che spiccava tra i dati della nostra telemetria. Da una valutazione successiva sembrerebbe che la campagna malspam “Love You” da metà gennaio 2019 sia stata modificata per colpire in particolare il Giappone.
Sulla base dei nostri dati, questa ultima attività di “Love you” è stata lanciata il 28 gennaio 2019, registrando immediatamente un’impennata delle segnalazioni rispetto a quella originale, di quasi il doppio, come mostrato nella Figura 1. Come successo a metà gennaio, le email di spam veicolano un cocktail di codici pericolosi, presentando però anche alcune interessanti novità: durante i nostri test abbiamo riscontrato tentativi di scaricare un cryptominer, uno strumento per modificare le impostazioni di sistema, un downloader dannoso, il worm Phorpiex e il famigerato ransomware GandCrab versione 5.1.
Figura 1 – Rilevamenti di allegati JavaScript dannosi distribuiti nell’ambito della campagna “Love you” e della sua ultima ondata
A partire dal 29 gennaio 2019, la maggior parte delle rilevazioni proviene dal Giappone (95%), con decine di migliaia di email pericolose rilevate ogni ora. Lo stesso giorno, JS/Danger.ScriptAttachment – il nome con cui ESET identifica il JavaScript pericoloso distribuito tramite gli allegati di questo attacco spam – è stata la quarta minaccia più rilevata a livello mondiale e la numero uno in Giappone, come mostrato nella Figura 2.
Figura 2 – JS / Danger.ScriptAttachment la minaccia numero uno in Giappone il 29 gennaio 2019
Scenario di attacco nella campagna con obiettivo il Giappone
In questa ultima campagna, i criminali hanno modificato il contenuto delle email malevole, passando dal tema romantico della campagna “Love You” di metà gennaio a temi dedicati ai cittadini nipponici. Il tratto rimasto comune alle due attività è l’uso massiccio di emoticon sia nell’oggetto delle email sia nel loro contenuto.
Le email che abbiamo potuto analizzare erano incentrate sui seguenti soggetti di interesse:
- : D
- Yui Aragaki;)
- Kyary Pamyu Pamyu;)
- Kyoko Fukada;)
- Yuriko Yoshitaka;)
- Sheena Ringo;)
- Misia;)
( Nota: questi sono tutti famosi intrattenitori giapponesi)
Gli allegati pericolosi di queste email sono file ZIP presentati come file immagine, con nomi nel formato “PIC0- [numero a 9 cifre] 2019-jpg.zip”. La Figura 3 mostra esempi di email pericolose.
Figura 3 – Esempi di email spam utilizzate nella campagna con obiettivo il Giappone
Gli archivi contengono un file JavaScript con lo stesso formato del nome dello zip, ma che termina con “.js”. Una volta estratto e avviato, il file JavaScript scarica la prima payload dal server C & C degli hacker, un file EXE rilevato dai prodotti ESET come Win32/TrojanDownloader.Agent.EJN. Gli URL che ospitano questo codice hanno percorsi che terminano con “bl * wj * b.exe” e “krabler.exe” e vengono automaticamente salvati in “C: \ Users \ [nome utente] \ AppData \ Local \ Temp [Random] .exe”.
Questa payload scarica uno o più delle seguenti minacce dallo stesso server C & C:
- The GandCrab ransomware, versione 5.1
- Un cryptominer
- Il worm di Phorpiex
- Un downloader specifico per la lingua locale (configurato per scaricare ulteriori codici solo se le impostazioni della lingua del computer interessato indicano che la vittima si trova in Cina, Vietnam, Corea del Sud, Giappone, Turchia, Germania, Australia o Regno Unito)
- Uno strumento per modificare le impostazioni di sistema
La versione 5.1 di GandCrab ransomware crittografa i file, aggiunge un’estensione casuale di 5 caratteri ai loro nomi e salva i file di testo contenenti le indicazioni sul pagamento del riscatto in ogni cartella contenente file codificati.
Figura 4 – Istruzioni per il pagamento del riscatto del GandCrab v5.1
I codici malevoli sfruttati in questa campagna aggiornata vengono scaricati dall’indirizzo IP 92.63.197 [.] 153, che sembra di origine ucraina e utilizzato nella campagna “Love you” sin dal suo inizio a metà gennaio.
Come proteggersi
Per evitare di cadere vittima di spam pericoloso, verificare sempre l’autenticità delle email prima di aprire eventuali allegati o fare clic sui collegamenti presenti. Se necessario, verificare contattando direttamente l’azienda mittente via posta elettronica utilizzando gli indirizzi presenti sul sito Web ufficiale.
Per gli utenti di Gmail potrebbe essere utile sapere che Google ha bloccato gli allegati JavaScript sia nelle email ricevute che in quelle inviate già da due anni.
Gli utenti di altri servizi di posta elettronica, inclusi i server di posta aziendali, devono fare affidamento sulla consapevolezza degli utenti, a meno che non utilizzino alcune soluzioni di sicurezza in grado di rilevare e bloccare i file JavaScript dannosi.
Diversi moduli nei prodotti di sicurezza ESET rilevano e bloccano in modo indipendente questi file JavaScript dannosi e/o gli oggetti che successivamente vengono scaricati.
Indicatori di Compromissione (IoC)
Esempi di hash dei file zip allegati
- 8551C5F6BCA1B34D8BE6F1D392A41E91EEA9158B
- BAAA91F700587BEA6FC469FD68BD8DE08A65D5C7
- 9CE6131C0313F6DD7E3A56D30C74D9E8E426D831
- 83A0D471C6425DE421145424E60F9B90B201A3DF
- 57F94E450E2A504837F70D7B6E8E58CDDFA2B026
Nome rilevazione ESET: JS/Danger.ScriptAttachment
Esempi di hash dei downloader JavaScript
- cfe6331bdbd150a8cf9808f0b10e0fad4de5cda2
- c50f080689d9fb2ff6e731f72e18b8fe605f35e8
- 750474ff726bdbd34ffc223f430b021e6a356dd7
- 1445ea29bd624527517bfd34a7b7c0f1cf1787f6
- 791a9770daaf8454782d01a9308f0709576f75f9
Nome rilevazione ESET: JS/TrojanDownloader.Agent.SYW o JS/TrojanDownloader.Nemucod.EDK
Esempi di hash della prima payload
- 47C1F1B9DC715D6054772B028AD5C8DF00A73FF
Nome rilevazione ESET: Win32/TrojanDownloader.Agent.EJ
2 Comments